Adobe Scrambles k odstranění chyby PDF

Společnost Adobe vydala bezpečnostní bulletin, který oznamuje připravovanou aktualizaci pro Adobe Reader 9.3.3 pro Windows, Mac OS X a UNIX a Adobe Acrobat pro Windows a Mac a Reader a Acrobat verze 8.2.3 pro stejné platformy pro vyřešení řady bezpečnostních problémů. Adobe uvedl, že "tyto aktualizace představují vyřazené vydání. V současné době má společnost Adobe v úmyslu uvolnit další čtvrtletní aktualizaci zabezpečení pro aplikace Adobe Reader a Acrobat 12. října 2010."

Společnost Microsoft také uvolnila mimo pásmo patch pro zranitelnost zkratky systému Windows - pouze týden před plánovaným aktualizací patch úterý. Rychlý obrat firmy Adobe ze zjištění zranitelnosti na opravu je chvályhodný, avšak nárůst počtu explozí nuly, který nutí společnost Adobe i společnost Microsoft, aby častěji poskytovaly aktualizace mimo běžný cyklus uvolnění patchů, hrozí vyvrácení výhod plynoucích z pravidelného naplánování uvolňování patchů

Problém, který Adobe řeší, je zranitelnost v aplikaci Adobe Reader, která byla odhalena v Black Hat výzkumným pracovníkem v oblasti bezpečnosti Charlie Miller. Miller si udělal jméno pro sebe tím, že opakovaně vyhrál soutěž Pwn2Own na konferenci zabezpečení CanSec West.

Poradenství společnosti Secunia týkající se chyby Adobe vysvětluje: "Chyba zabezpečení je způsobena celočíselnou chybou přetečení v souboru CoolType.dll při analýze Hodnota pole "maxCompositePoints" v tabulce TrueType "maxp" (Maximální profil). Může být využita k poškození paměti prostřednictvím souboru PDF obsahujícího speciálně vytvořený TrueType font. "

Shrnuto v jednoduché angličtině, že administrátoři IT a uživatelé, kteří nejsou vývojáři, mohou pochopit, Secunia dodává: "Úspěšné vykořisťování může umožnit spuštění libovolného kódu." Bottom line: Útočník by mohl zneužít chybu aplikace Adobe Reader, aby převzal kontrolu nad zranitelným systémem a nainstaloval nebo spustil jiný škodlivý software.

Zajímavé je, že je to nedostatek způsobu, jakým jsou fonty vykresleny v dokumentech PDF, které umožňují webovou stránku JailbreakMe obcházet ochranu iPhone a změnit základní funkce operačního systému pro smartphony. Nicméně, podle Millera jsou nedostatky vzájemně nespojené. Naštěstí Apple tvrdě pracuje na aktualizaci iOS, aby se tento problém vypořádal.

IT administrátoři, kteří se obávají, že budou vystaveni potenciálnímu zneužití této zranitelnosti, dokud se aktualizace od společnosti Adobe nebude moci podívat na alternativní čtečky PDF, jako jsou FoxIt Reader a Nuance PDF Reader.