Qualys

Security CommunityLa communauté des experts sécuritéen savoir plus

SecurityVibesQualys Community

Left content

Confirmation d’une vulnérabilité critique dans Adobe Reader et Acrobat

auteur de l'article Aurélien Cabezon , dans la rubrique Menaces

Commentaires Commentaires fermés sur Confirmation d’une vulnérabilité critique dans Adobe Reader et Acrobat

L’inventeur du format PDF a confirmé qu’une vulnérabilité critique place sous la menace d’une attaque les utilisateurs des dernières versions 8.1 et inférieures d’Adobe Reader et Acrobat sous Windows XP, avec Internet Explorer 7 installé. Les utilisateurs de Vista ne sont par contre pas concernés.


Depuis près de trois semaines, nombreux sont les experts en sécurité informatique à être sur le qui-vive, dans l’attente de la confirmation d’une vulnérabilité découverte par Petko D. Petkov et affectant notamment le lecteur PDF Adobe Reader, très répandu en milieu professionnel. Andrew Storms de nCircle Network, a par exemple déclaré que les quelques éléments d’information qu’il avait en sa disposition l’inquiétaient au plus haut point car la faille supposée n’intéressait pas, comme cela a pu être cas par le passé, une version spécifique d’Adobe Reader, et était due à un problème architectural inhérent à la façon dont les fichiers PDF sont lus. Des craintes plus ou moins avérées avec la récente publication d’un bulletin d’alerte émis par Adobe.

Cette faille est donc devenue une certitude et selon l’éditeur américain, elle affecte Adobe Reader, Adobe Acrobat Standard, Profesional et Elements dans leurs versions 8.1 et inférieures ainsi que Adobe Reader 3D. Adobe ne propose pour l’heure aucun correctif mais assure qu’une mise à jour pour les produits concernés sera disponible d’ici à la fin du mois d’octobre. En attendant et même si aucun exploit n’est encore remonté à la surface, un palliatif est proposé et consiste à désactiver le protocole mailto directement via les options des applications inscrites dans la base de registre Windows et plus exactement Windows XP.

En effet, la vulnérabilité a été rapportée dans les produits précédemment cités et ce sous Windows XP avec de surcroît le navigateur Internet Explorer 7 installé, ce qui constitue un peu la norme actuelle. Elle résulte d’une erreur présente au niveau du traitement d’arguments envoyés par l’intermédiaire de certains protocoles URI à l’instar de mailto. Petkov a ainsi indiqué qu’un attaquant distant peut prendre le contrôle d’un système vulnérable en incitant l’utilisateur pris pour cible à ouvrir un document PDF spécialement conçu, depuis ou à travers une page Web piégée.

Evidemment, le fait que l’exploitation de ladite vulnérabilité que l’on pourrait qualifier de type URI, nécessite la présence d’Internet Explorer 7, amène inévitablement à se poser des questions sur la responsabilité de Microsoft dans cette affaire, qui a connu des précédents similaires avec Firefox par exemple, ou encore Skype. L’installation de la dernière mouture du navigateur Web phare de Redmond sous XP implique des changements dans la manipulation de certains URI par le système et ces changements posent apparemment des problèmes à plusieurs applications en les rendant potentiellement vulnérables. Microsoft semble toutefois considérer pour l’instant que c’est aux applications tierces à s’adapter à cet environnement légèrement remanié.


Vous avez aimé cet article?

Cliquez sur le bouton J'AIME ou partagez le avec vos amis!

Notez L'article

Participez ou lancez la discussion!

Les commentaires sont fermés.

Catégories

Étiquettes

Archives

Ce site est une archive des messages à SecurityVibes de Septembre 2000 à Juillet 2014. S'il vous plaît visitez le Qualys Community pour les dernières nouvelles.