🇰🇷 한글 설명
SumatraPDF 3.6.1 및 이전 버전에서 신뢰할 수 없는 문서 경로와 PDF 링크 대상이 ParseTip() 함수에 의해 신뢰할 수 있는 팁 마크업으로 해석되는 취약점이 발견되었습니다. 공격자가 삽입한 링크를 사용자가 클릭하면 ExecuteTipLink() 함수가 CmdExec 명령을 실행하여 사용자의 권한으로 임의의 로컬 프로그램을 실행할 수 있습니다.
💡 쉬운 설명
PDF 파일을 읽는 프로그램인 SumatraPDF에서 악성 링크를 클릭하면 해커가 원하는 프로그램을 몰래 실행할 수 있는 보안 약점이 있습니다. 사용자가 링크를 누르는 순간 공격자가 심어놓은 명령이 컴퓨터에서 작동할 수 있어 주의가 필요합니다.
🇺🇸 원문 (English)
SumatraPDF is a multi-format reader for Windows. In 3.6.1 and earlier, untrusted document paths and PDF link targets are interpolated into notification text that ParseTip() interprets as trusted tip markup. When a user clicks an injected link, ExecuteTipLink() dispatches its CmdExec command and can execute an attacker-selected local program in the user's context. No broader impact is claimed beyond the advisory-supported conditions. No fixed version is available as of this review.
📍 영향받는 시스템
SumatraPDF 3.6.1 및 그 이전 버전
⚔️ 공격 벡터
악성 링크가 포함된 PDF 문서를 사용자에게 전달하여 클릭을 유도하는 방식
🛡️ 대응 방법
현재 수정 버전이 없으므로 신뢰할 수 없는 출처의 PDF 문서를 열지 않도록 주의하고, 향후 보안 패치가 출시되면 즉시 업데이트해야 합니다.
🔧 검증 코드
출력된 버전 번호가 3.6.1 이하인지 확인하여 취약 여부를 판단합니다.
sumatrapdf --version 2>/dev/null || echo 'SumatraPDF not found'
💻 영향받는 소프트웨어
Storage Protect Snapshot for Windows