SumatraPDF 안전하지 않은 업데이트 PoC

CVE-2026-25961 – 악성 업데이트 서버를 통한 원격 코드 실행

작성자: Mohammed Idrees Banyamer

날짜: 2026년 2월
CVE: CVE-2026-25961
GHSA: GHSA-xpm2-rr5m-x96q
CVSS v3.1: 7.5 높음 (AV:N/AC:H/PR:N/UI:R/S:U/C:H/I:H/A:H)
영향을 받는 버전: SumatraPDF 3.5.0 – 3.5.2
테스트 환경: Windows 10 / Windows 11

취약점

SumatraPDF 3.5.0~3.5.2 버전은 자동 업데이트 확인 중 TLS 호스트 이름 검증을 비활성화하며, 다운로드된 설치 프로그램의 디지털 서명이나 무결성을 확인하지 않습니다.

네트워크 중간자 위치의 공격자는 다음을 수행할 수 있습니다:

• https://www.sumatrapdfreader.org/update-check-rel.txt 요청을 가로채거나 위조
• 공격자가 제어하는 실행 파일을 가리키는 위조된 응답을 반환
• 사용자가 "설치"를 클릭하면 SumatraPDF가 CreateProcess를 통해 해당 파일을 실행

현실적인 공격 경로: 악성 Wi-Fi, 침해된 가정/사무실 라우터, DNS 하이재킹, 투명 프록시 주입 등.

이 PoC의 기능

• 현실적인 update-check-rel.txt 응답을 위조
• 악성 설치 프로그램 파일을 호스팅
• 페이로드가 요청될 때 피해자 IP를 기록
• 간단한 Flask 기반 서버 (배포/수정 용이)

요구 사항

pip install flask

사용 방법

# msfvenom 사용 예시 (선택 사항)
msfvenom -p windows/x64/exec CMD=calc.exe -f exe > malicious_installer.exe
# 서버 실행:
python3 CVE-2026-25961_poc.py