Due fra i più noti e diffusi software di Adobe , Acrobat e il gratuito Reader, contengono alcune vulnerabilità di sicurezza utilizzabili per mandare in crash l’applicazione o il browser Web e, nel caso peggiore, per compromettere la sicurezza di un sistema remoto.
FrSIRT, che ha classificato le vulnerabilità come critical , spiega in questo advisory che il controllo ActiveX AcroPDF.dll , utilizzato sia da Acrobat che da Adobe Reader, soffre di alcuni bug legati alla gestione della memoria. Un malintenzionato potrebbe sfruttare le debolezze creando una pagina web che, se aperta con Internet Explorer, esegue del codice dannoso.
Stando a quanto affermato da Adobe in questo advisory , gli utenti di browser diversi da IE non sono interessati dal problema . In realtà lo sono coloro che utilizzano browser basati sullo stesso motore di IE.
Adobe afferma di essere impegnata nello sviluppo di un aggiornamento che risolva quanto prima il problema. In attesa che venga rilasciata la patch, l’azienda suggerisce di cancellare il file AcroPDF.dll dalla cartella dei programmi vulnerabili: così facendo, però, non sarà più possibile aprire i documenti PDF direttamente all’interno di una finestra di IE.
I problemi riportati da FrSIRT interessano le versioni 7.0.x di Adobe Reader, Adobe Acrobat Standard, e Adobe Acrobat Professional.
La scorsa settimana sono state segnalate tre vulnerabilità di AcroPDF anche in questo advisory di Shinnai. L’esperto spiega che un cracker potrebbe sfruttare uno dei bug per mettere nella cartella temporanea di IE un file a sua scelta, anche eseguibile: sebbene questa falla, da sola, non sia particolarmente grave, potrebbe diventarlo in congiunzione con altre vulnerabilità. Le altre due debolezze possono causare in un caso il blocco del browser e nell’altro caso il crash di Adobe Reader.
Ti potrebbe interessare
30 nov 2006