Hoy se ha realizado el lanzamiento de la versión 3.5.29 de DjVuLibre, una actualización que aborda una vulnerabilidad crítica identificada como CVE-2025-53367. Este fallo permite el acceso no autorizado a la memoria a través del método MMRDecoder::scanruns, lo que podría facilitar la ejecución de código malicioso en sistemas Linux Desktop al abrir documentos especialmente diseñados para explotar esta debilidad.

DjVu, un formato de archivo similar al PDF, se utiliza principalmente para la visualización de documentos. Muchas distribuciones de Linux incluyen visualizadores predeterminados como Evince y Papers, que poseen la capacidad de detectar archivos DjVu, incluso cuando están disfrazados con la extensión .pdf, procesándolos mediante DjVuLibre.

El descubrimiento de la vulnerabilidad fue realizado por Antonio durante una investigación sobre el lector de documentos Evince, utilizando técnicas de fuzzing. Posteriormente, Kev desarrolló una prueba de concepto que ilustra cómo esta falla podría ser explotada. En una demostración, un documento DjVu malicioso, camuflado con la extensión .pdf, logra ejecutar un comando que abre un video de Rick Astley cuando se carga en el visualizador predeterminado.

Aunque el exploit desarrollado logra evadir ciertas medidas de seguridad, como el ASLR, su eficacia es inconsistente, funcionando repetidamente en ocasiones y fallando en otras. A pesar de esto, los desarrolladores advierten sobre la posibilidad de crear un exploit más robusto.

Es relevante mencionar que el perfil de seguridad de AppArmor del visualizador impide la ejecución de procesos arbitrarios, salvo una excepción específica para google-chrome. Esto provocó que en la demostración se optara por reproducir un video en lugar de ejecutar una calculadora. Sin embargo, el perfil de AppArmor no es completamente restrictivo, dejando abierta la posibilidad de que un atacante determinado pueda ejecutar código malicioso.

La actualización de DjVuLibre se lanzó apenas 48 horas después de que se notificara la vulnerabilidad a los desarrolladores, evidenciando una rápida respuesta de la comunidad de desarrollo. Se tiene planificado publicar el código fuente del exploit en las próximas semanas para aumentar la conciencia sobre esta vulnerabilidad y su posible aprovechamiento.