CVE-2020-9715 EDR 验证 PoC

Adobe Acrobat Reader DC 的 EScript.api ESObject 缓存中存在释放后使用漏洞。仅限授权红队进行EDR测试。

漏洞

Adobe Acrobat Reader DC <= 2020.009.20063。EScript 引擎缓存数据 ESObject 时，使用的键保留了原始编码（ANSI 或 Unicode）。删除操作始终构造 Unicode 键，因此 ANSI 命名的条目永远不会从缓存中清除。在 GC 释放底层对象后，过期的缓存条目变成悬空指针。

PoC 的功能

1. 在 PDF 中嵌入一个具有 ANSI 编码名称的数据对象
2. JavaScript OpenAction 访问 dataObjects 以填充 ESObject 缓存
3. 移除引用并强制垃圾回收
4. 使用 ArrayBuffer 分配进行堆喷射以回收释放的内存
5. 重新访问过期的缓存 ESObject，触发释放后使用

此 PoC 触发了漏洞模式，但不包含武器化负载（无 shellcode，无 ROP 链）。它旨在验证您的 EDR 是否检测到了该利用技术。

使用方法

python generate_poc.py              # Generates CVE-2020-9715.pdf
python generate_poc.py -o custom.pdf  # Custom output path

无外部依赖——仅使用 Python 标准库。

测试

1. 在工作站上生成 PDF
2. 将其传输到黄金镜像测试机
3. 在 Adobe Acrobat Reader DC 中打开
4. 观察 EDR 行为：
   • 通过：EDR 对 JS 堆喷射 + UAF 访问模式进行阻止/告警
   • 失败：PDF 在无 EDR 干预下打开，Reader 可能崩溃

EDR 检测信号

您的 EDR 应关注以下一项或多项：

• JavaScript 堆喷射模式（ArrayBuffer 大量分配）
• 访问 dataObjects 后强制 GC 并重新访问（UAF 模式）
• 嵌入式 JS 中的已知 CVE-2020-9715 特征码
• 可疑的 PDF 结构：OpenAction + EmbeddedFiles + JavaScript

受影响版本

• Adobe Acrobat Reader DC <= 2020.009.20063
• Adobe Acrobat Reader 2017 <= 2017.011.30171
• Adobe Acrobat Reader 2015 <= 2015.006.30523

已在 APSB20-48（2020年8月）中修补。