[NEWS] Adobe Reader, la falla oltre la sandbox

[c.m.g]

venerdì 9 novembre 2012

Spoiler:

Il popolare lettore di documenti PDF sarebbe affetto da una vulnerabilità zero-day per cui è già in circolazione (a caro prezzo) un exploit funzionante. A rischio tutti i browser tranne Chrome, Adobe indaga

Roma - A breve distanza dalla pubblicazione di una patch contro le falle di Flash, Adobe torna nel mirino di cracker e cyber-criminali con una nuova vulnerabilità zero-day presumibilmente presente in Reader: il lettore di documenti PDF più popolare sarebbe "bucabile" nonostante le misure di sicurezza aggiuntive recentemente introdotte dalla software house statunitense.

A dare notizia dell'esistenza della falla sono i ricercatori di Group-IB: la nuova vulnerabilità affligge le ultime versioni di Reader (X e il recentemente introdotto XI), dicono gli esperti moscoviti, è in grado di bypassare la sandbox di protezione del software (implementata a partire da Reader X) e permette l'esecuzione di codice potenzialmente malevolo persino nel caso in cui sia disabilitato il caricamento di codice JavaScript durante il rendering dei documenti PDF.

http://www.youtube.com/watch?feature...&v=uGF8VDBkK0M

Per quanto riguarda la vulnerabilità per i vari browser per cui esistono plug-in di Reader, sostengono da Group-IB, Firefox e Internet Explorer risultano potenzialmente a rischio mentre le misure di sicurezza aggiuntive di Chrome bloccano il funzionamento dell'exploit.Il codice capace di sfruttare la falla viene attualmente venduto sul mercato nero a un prezzo che arriva fino a 50mila dollari, dicono i ricercatori, ed è già stato inserito in una versione "custom" del celebre kit di exploit noto come Blackhole.

E Adobe? La casa di Acrobat e Photoshop dice di aver tentato di contattare il gruppo russo per conoscere i dettagli della falla, ma al momento non ha ricevuto risposta. Il monitoraggio sullo "scenario delle minacce" per i prodotti Adobe continua, dice la società, così come la collaborazione con i partner per la sicurezza.

Alfonso Maruccia





Fonte: Punto Informatico

[c.m.g]

Adobe Reader X, una falla da 50 mila dollari su webnews