Újabb sebezhetőségek az Adobe Readerben

[eWeek/HWSW] Az Adobe figyelmeztetést tett közzé két komoly biztonsági sebezhetőséggel kapcsolatban, amik az Acrobat szoftvereinek Windows, Mac OS X és Unix alatt futó változatait is érintik. A program hiányosságai révén lehetőség nyílik arra, hogy egy e-mailben elküldött PDF fájlban kártékony kód rejtőzzön, és az a célszemély gépén aktiválódjon -- tudatták biztonsági szakértők.

Hibás az Adobe Reader eBook-kezelése

Az első hiba az Adobe Reader 6.0.2-es verzióját érinti, amit a 6-os változat előtt még Adobe Acrobat Readernek neveztek. A Bugtraq levelezőlistára elküldött bejelentés szerint -- amit az iDefense biztonsági kutatásokkal foglalkozó cég tett közzé -- az alkalmazás helytelenül értelmezi az .etd kiterjesztésű fájlokat, amiket eBook-tranzakciók lebonyolításához használnak. Az .etd állományokban megfelelően formázott "title" és "baseurl" mezők megadásával érvénytelen memóriacímek érhetőek el.

Ennek következtében tetszőleges programkód futtatható le a gyanútlan felhasználók számítógépén, méghozzá ugyanazokkal a jogosultságokkal, amikkel az Adobe alkalmazása fut -- ez pedig rendszerint megegyezik az azt futtató felhasználó aktuális privilégiumaival. Ez különösen akkor aggasztó, ha rendszergazda jogosultságokkal rendelkezünk. A probléma előidézhető egy e-mailhez csatolt PDF fájl, vagy akár csak egy PDF-re mutató link segítségével is.

Nagy valószínűséggel az Adobe Reader 6 korábbi változatai is érintettek -- állítja az iDefense. Az Adobe meglepően gyorsan kiadta a PDF-megjelenítő alkalmazás 6.0.3-as verzióját, ami már orvosolja az ismertetett problémát valamennyi célplatformon.

Az iDefense arra is felhívta a figyelmet, hogy a megelőzéshez elegendő a feltelepített Adobe Reader alkalmazás eBook.api fájlnévvel rendelkező plug-injét törölni -- igaz, ez az eBook-alapú szolgáltatások igénybevételét lehetetlenné teszi, de a lokális PDF-ek megtekintését nem befolyásolja. Ez alapértelmezés szerint a "C:Program FilesAdobeAcrobat 6.0Readerplug_inseBook.api" útvonalon található meg.

Unix alapokon más hibát is találtak

A másik felfedezett sebezhetőség a Reader 5.0.9 Unixra írt verziójában fedezhető fel, azon belül is az egyik levélküldéssel kapcsolatos függvényben, a mailListIsPdf-ben. A hiba kihasználásával ugyancsak tetszőleges programkód futtatására nyílik lehetőség. Az Adobe kihangsúlyozta, hogy tudomása szerint még senki sem aknázta ki a hibában rejlő lehetőségeket, de a vállalat természetesen az Acrobat Reader 5.0.10-ben már erre is megoldást nyújt.

Az iDefense hozzátette, hogy vélhetően az Acrobat Reader 5 valamennyi korábbi unixos változata is érintett az utóbbi sebezhetőség kapcsán. A vállalat elmondta, hogy a Unix-felhasználók egy új, nem hivatalos eszköz segítségével tovább növelhetik a PDF fájlok megjelenítésének biztonságosságát, ami ellenőrzi, hogy az acroread shell scriptek lefutásakor az Acrobat Readernek megadott fájlnevek valóban PDF formátumú fájlokat tartalmaznak. Ez azonban az alkalmazásból közvetlenül megnyitott fájlokat már nem képes vizsgálni.

A független, biztonsági kutatásokkal foglalkozó Secunia a Unix alatt megtalálható sebezhetőséget "kiemelkedően kritikus" besorolással látta el. Az iDefense állítása szerint mindkét bugot október közepén fedezték fel, kijavításuk azonban a jelek szerint hosszabb időt vett igénybe.

A sebezhetőségek a nemrég megjelent Adobe Reader 7.0-s verziót nem érintik.