SumatraPDF: Command Injection über manipulierte Links in Benachrichtigungstexten
Zusammenfassung
SumatraPDF bis einschliesslich 3.6.1 übernimmt nicht vertrauenswürdige Dokumentpfade und PDF-Linkziele in Benachrichtigungstexte, die anschliessend als vertrauenswürdiger Tip-Markup interpretiert werden. Klickt ein Benutzer auf einen eingeschleusten Link, wird ein vom Angreifer gewähltes lokales Programm im Kontext des Benutzers ausgeführt. Der Angreifer benötigt ein manipuliertes PDF oder Dokument, das eine Fehlermeldung auslöst, sowie einen Klick des Benutzers; eine Authentifizierung ist nicht erforderlich. Eine korrigierte Version ist nicht verfügbar.
Betroffen
- SumatraPDF 3.6.1 und früher (Windows)
Behoben in
- Unbekannt. Der Herstellner-Commit 8b680387ed69e3504ef296e09d6e032f81076af8 behebt das Problem, es wurde jedoch noch keine Version mit dieser Korrektur identifiziert.
Umgehung
- Der Hersteller veröffentlicht keine Workaround-Massnahme.
- Keine nicht vertrauenswürdigen PDFs oder Dokumente in SumatraPDF öffnen.
- Bis zu einer bestätigten korrigierten Version einen anderen PDF-Reader verwenden.
- Programmausführung aus benutzerschreibbaren Verzeichnissen mit AppLocker oder WDAC einschränken.
Ausnutzung
- CISA SSVC: Exploitation none, nicht automatisierbar, vollständige technische Auswirkung.
- Es ist keine Ausnutzung in freier Wildbahn bekannt.
- Der Status öffentlicher Exploits ist unbestätigt und widersprüchlich.
Unsere Empfehlung
- SumatraPDF-Installationen inventarisieren und Versionen 3.6.1 und früher kennzeichnen.
- SumatraPDF auf Arbeitsstationen mit erhöhtem Risiko ersetzen oder einschränken, bis eine Korrektur bestätigt ist.
- Den Umgang mit PDFs aus E-Mails und Downloads verschärfen und Benutzer für unerwartete Dokumente und Links sensibilisieren.
- GHSA-2wv2-qm2f-vmxh und NVD auf eine korrigierte Version überwachen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- GitHub Security Advisory GHSA-2wv2-qm2f-vmxh github.com
- GitHub commit 8b680387ed69e3504ef296e09d6e032f81076af8 github.com
- OSV: CVE-2026-107732 osv.dev
- VulDB: CVE-2026-107732 vuldb.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 12:42.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.