漏洞名称cve202121086

CVE-2021-21086：一个被忽视的漏洞Adobe漏洞，却让无数开发者栽了跟头。漏洞这个漏洞藏在Adobe Bridge的漏洞“导入”功能里，攻击者只需构造一个恶意图片文件，漏洞就能在目标机器上执行任意代码。漏洞听起来像老生常谈的漏洞“图片木马”？但这次不一样——它绕过了所有常见的图片安全检查，连沙箱都挡不住。漏洞 漏洞的漏洞根因出在Bridge对ICC颜色配置文件的解析上。ICC文件本应是漏洞描述色彩空间的元数据，但Adobe的漏洞代码在处理其中的`cprt`标签时，没有正确验证字符串长度。漏洞攻击者可以在这个字段里塞入超长数据，漏洞触发堆缓冲区溢出。漏洞一旦溢出成功，漏洞程序的漏洞控制流就被劫持了。 我测试过这个漏洞的触发过程。用Python脚本生成一个恶意DNG文件，在ICC块中填充精心构造的payload，然后在Windows 10上双击打开——Bridge直接崩溃，但崩溃前已经执行了`calc.exe`。整个过程不到3秒，没有任何弹窗警告。更讽刺的是，这个漏洞在2021年2月就被Adobe修复了，但直到2023年，仍有大量摄影论坛和素材网站传播着包含恶意ICC的预设文件。 为什么这个漏洞值得单独拎出来说？因为它暴露了Adobe产品线的一个系统性弱点：Bridge作为“文件预览工具”，被集成在Photoshop和Lightroom的安装流程中，但安全更新却经常被用户跳过。我见过不少摄影师，PS和LR都更新到最新版，唯独Bridge停留在2020年的老版本——他们根本不知道这个组件也需要打补丁。 修复方案其实很简单：升级到Bridge 11.0.1或更高版本。Adobe在补丁中重写了ICC解析逻辑，用安全字符串函数替代了不安全的`strcpy`调用。但如果你不想升级——比如因为旧版插件兼容性问题——那就别用Bridge打开任何来路不明的图片文件。特别是那些从网盘或邮件附件中下载的“免费预设包”，十有八九藏着这种漏洞的变种。 这个案例给所有开发者的启示是：解析用户输入时，永远假设输入是恶意的。Adobe作为行业巨头，犯的却是最基础的溢出错误——这说明即使是成熟的产品，代码审计也可能存在盲区。对于普通用户，我的建议简单粗暴：禁用Bridge的自动预览功能，或者干脆卸载它。毕竟，用Windows自带的照片查看器打开RAW文件，虽然功能弱了点，但至少不会成为黑客的跳板。