CVE-2026-46529

Resumo

Atril Document Viewer é o leitor de documentos padrão do ambiente de desktop MATE para Linux. Uma vulnerabilidade de execução remota de código com um único clique em versões anteriores a 1.26.3 e 1.28.4 permite que um atacante alcance execução arbitrária de código como o usuário, enganando-o para clicar em um link dentro de um documento PDF malicioso. O PDF pode ser empacotado como um arquivo poliglota que é simultaneamente um PDF válido e uma biblioteca compartilhada ELF válida, tornando o ataque um RCE de arquivo único, clique único e independente de configuração em instalações atril padrão. A causa raiz é `shell/ev-application.c:ev_spawn`, que constrói uma linha de comando a partir de campos de destino de link controlados pelo atacante no PDF sem aplicar `g_shell_quote`. A linha de comando é então entregue a `g_app_info_create_from_commandline`, que a analisa via shell de volta para argv — dividindo qualquer `--gtk-module=PATH` embutido em um elemento argv separado. O GTK então executa `dlopen()` no caminho durante a inicialização, executando qualquer `__attribute__((constructor))` que encontrar. As versões 1.26.3 e 1.28.4 contêm um patch para o problema. Esta é a mesma classe de defeito do CVE-2023-51698 (injeção de `--checkpoint-action` do CBT em `comics-document.c`, corrigida na 1.6.2), mas em um caminho de código diferente (`shell/ev-application.c`) que o patch original não tocou.

• document-viewer-link-handler-security-assessmentInformativo

  Relatório profissional de avaliação de vulnerabilidade para risco de manipulador de links em visualizador de documentos, incluindo análise de impacto, remediação e estratégia de mitigação.