Hoy se ha lanzado la versión 3.5.29 de DjVuLibre, que incluye una corrección crítica para una vulnerabilidad importante, identificada como CVE-2025-53367. Esta falla permitía acceso no autorizado a la memoria en el método MMRDecoder::scanruns, lo que potencialmente podría resultar en la ejecución de código malicioso en sistemas Linux Desktop al abrir un documento creado para explotar esta debilidad.
DjVu, un formato de archivo utilizado principalmente para la visualización de documentos, es similar al PDF. Muchas distribuciones de Linux incluyen visualizadores predeterminados como Evince y Papers que detectan automáticamente archivos DjVu, incluso si tienen una extensión .pdf, procesándolos mediante DjVuLibre.
La vulnerabilidad fue descubierta por Antonio durante su investigación sobre el lector de documentos Evince utilizando técnicas de fuzzing. Kev realizó un concepto de prueba que demostró cómo esta falla podría explotarse. En la demostración, un documento DjVu malicioso disfrazado con una extensión .pdf podría desencadenar la ejecución de un comando que abre un video de Rick Astley cuando se carga en el visualizador predeterminado.
Aunque el exploit presentado evita ciertas medidas de seguridad como la distribución aleatoria del espacio de direcciones (ASLR), su eficacia es inestable, funcionando intermitentemente. A pesar de ello, los desarrolladores creen que es posible crear un exploit más robusto.
Es importante señalar que el perfil de seguridad AppArmor del visualizador impide ejecutar procesos arbitrarios, excepto para google-chrome. Esto llevó a la elección de reproducir un video en lugar de abrir una calculadora durante la demostración. No obstante, el perfil de AppArmor no es completamente restrictivo, permitiendo que un atacante determinado pueda ejecutar código malicioso.
El lanzamiento de esta actualización se produjo menos de 48 horas después de que se notificara la vulnerabilidad a los desarrolladores, destacando una respuesta rápida de la comunidad de desarrollo. Se planea publicar el código fuente del exploit en las próximas semanas para aumentar la conciencia sobre esta vulnerabilidad y su posible explotación.
