Adobe Acrobat 零日漏洞分析

针对 Adobe Acrobat JavaScript 信任模型及其与所报告的涉及特权 Acrobat API 的零日漏洞滥用路径之间关系的逆向工程笔记与支撑材料。

概述

本仓库包含对 Adobe Acrobat 如何通过原生处理器暴露特权 JavaScript 功能、这些处理器如何被门控，以及为何所观察到的问题应被理解为信任/上下文处理缺陷而非简单的缺失访问检查的技术分析。

该分析聚焦于以下已恢复的执行路径：

• util.readFileIntoStream
• app.trustedFunction
• app.beginPriv
• 相关的信任与上下文门控辅助函数

核心结论是，该漏洞行为最符合不受信任的文档 JavaScript 被当作在特权上下文中执行的情况。

主要发现

逆向工程显示以下内容：

• util.readFileIntoStream 通过 Acrobat JavaScript 层导出到原生处理器
• 该原生处理器解析攻击者控制的输入，如文件路径和编码选项
• 访问并非无条件；它受 Batch、Exec 和 Console 等特权执行上下文门控
• app.trustedFunction 同样受门控，且仅在允许的条件下构造受信任的包装器
• app.beginPriv 在进入特权模式前由门控谓词单独保护
• 多个特权路径汇聚到一个共享的拒绝例程

这种结构表明，利用并非依赖于特权 API 完全不受保护，而更可能依赖于错误的信任传播、上下文混淆或对当前执行帧的错误分类。

仓库目标

本仓库旨在记录：

• 来自原生逆向工程的架构证据
• JavaScript 到原生处理器的映射
• 信任包装器与特权进入机制
• 为何所观察到的行为与 Acrobat 信任边界中的逻辑缺陷相符

文档结构

本文档包括：

1. 威胁与漏洞摘要
2. 已恢复的原生处理器映射
3. 对 util.readFileIntoStream 的分析
4. 对 app.trustedFunction 的分析
5. 对 app.beginPriv 的分析
6. 对可能逻辑缺陷的解读
7. 包含图表和注释列表的附录材料

证据要点

已恢复的关键映射包括：

• util.readFileIntoStream -> sub_7F9EF
• app.trustedFunction -> sub_77AF5
• app.beginPriv -> sub_7801F
• app.endPriv -> sub_780BB
• app.isTrusted -> sub_78BF3

本文档还讨论了：

• cDIPath 和 bEncodeBase64 的参数解析
• Batch、Exec、Console、App、Init、Internal、External 的上下文解析
• 通过共享错误路径实现的集中式拒绝行为
• 成功特权访问时基于文件的对象创建