Tweet

0

Kritieke update Adobe Reader 8

Gevaarlijke lekken gerepareerd

Adobe heeft dinsdag een kritieke beveiligingsupdate van Adobe Reader en Acrobat 8 vrijgegeven, ter reparatie van acht lekken in versie 8.1.2 en ouder. De kwetsbaarheden kunnen de computer laten crashen of een aanvaller de kans geven om het systeem op afstand over te nemen. 

Een van de lekken kan worden misbruikt door het slachtoffer over te halen een pdf-bestand met kwaadaardig Javascript te openen. Zodra het bestand is geopend, manipuleert de code het geheugenverbruik van het programma en ontstaat een opening voor de aanvaller om willekeurige code op de machine uit te voeren.

Versie 9 niet kwetsbaar
Adobe Reader 8 is al in juni dit jaar vervangen door Adobe Reader 9; een versie die niet kwetsbaar is. Toch worden de oudere versies nog veel gebruikt. Adobe raadt gebruikers aan om te upgraden naar de dinsdag uitgebrachte versie 8.1.3. Als dit niet direct mogelijk is, dan wordt aangeraden om de Javascript-functionaliteit uit te schakelen in het Edit|Preferences-menu van de software

Veelvoorkomende fout
De fout is aan Adobe gerapporteerd door Core Security. Het lek is eerder dit jaar aan het licht gekomen tijdens onderzoek van een vergelijkbaar probleem in de alternatieve pdf-viewer Foxit Reader, zegt Ivan Arce, technisch directeur van Core Security.

Het gaat volgens hem om een implementatiefout van het soort dat vaak opduikt in veelzijdige en complexe programma's zoals Adobe Reader. "We hebben in het verleden vergelijkbare kwetsbaarheden gezien in Javascript-motoren in Adobe-software en in andere applicaties. Het is moeilijk om implementatiefouten zoals deze te vermijden."

Leren van rivalen
Arce wijst op de vergelijkbare, eerder aangetroffen fout in Foxit Reader. "Dit toont aan dat veelvoorkomende implementatiefouten frequent worden 'gedeeld' door verschillende verkopers." Zodra dergelijke fouten bij rivalen aan het licht komen, zouden softwarebedrijven dan ook hun eigen producten erop moeten checken, meent hij.

Met een bijdrage van Elinor Mills

bron: ZDNet