Adobe reader lek!

Onderstaande mededeling is inmiddels weer opgelost – Adobe is weer veilig > december 2013

---

2013

Adobe reader heeft gevaarlijke lek!

Adobe heeft bevestigd dat er niet één maar twee zero-day beveiligingslekken in Adobe Reader en Acrobat zitten waardoor aanvallers op dit moment actief computers overnemen. De kwetsbaarheden bevinden zich in de meest recente versies van Adobe Reader en Acrobat 9.5.3, 10.1.5 (X) en 11.0.01 (XI) voor zowel Windows als Mac.

Volgens een expert van CrySyS hebben de hackers zo een ‘achterdeur’ weten te maken waarmee ze informatie die is opgeslagen op de computers kunnen bekijken. Volgens Kurt Baumgartner, een onderzoeker van het Kaspersky Lab, is dit een nieuwe fenomeen. “Het is een nieuw soort dreiging die nog niet eerder is voorgekomen.”

Het openen van een PDF die via de e-mail wordt verstuurd is voldoende om aanvallers volledige controle over de computer te geven. Het is voor het eerst dat aanvallers erin zijn geslaagd om uit de sandbox-beveiliging van Adobe Reader te beken. Eerdere exploits tegen de PDF-lezer werkten niet tegen de nieuwste versie. Door de sandbox heeft een aanvaller namelijk twee lekken nodig.

Aanval werkt met DLL-bestanden

Bij een succesvolle aanval worden er twee malafide DLL-bestanden gedraaid op Windows. Het eerste bestand toont een zogenaamde foutmelding en opent tegelijkertijd ongemerkt op de achtergrond een PDF-document waarmee gebruikers in de val worden gelokt. Het tweede bestand bevat een callback-component, die over HTTP contact maakt met een domein op afstand.

Ik raad iedereen AF om (voorlopig) PDF-bestanden met Adobe Reader te openen!

Oplossing:

Adobe werkt inmiddels aan een update, maar weet nog niet wanneer die beschikbaar is. Gebruikers van Adobe Reader XI en Acrobat XI voor Windows kunnen zich beschermen door Protected View in te schakelen. Standaard schakelt Adobe Reader de ‘Protected Mode’ in, maar dat geldt niet voor de Protected View. Dit is in te schakelen via Edit > Preferences > Security (Enhanced) menu > “Files from potentially unsafe locations”. Voor systeembeheerders in organisaties is de mogelijkheid om Protected View via een registeraanpassing via GPO of andere methode uit te rollen.

Chris Cornelissen – www.cfiweb.be