Acrobat Reader Sicherheitslücken
“Microsoft, bitte baut einen einfachen PDF-Reader in Windows ein” – mit dieser ungewöhnlichen Bitte wendet sich der F-Secure-Mitarbeiter Sean Sullivan an den Windows-Hersteller. Ein einfacher Viewer wie in Mac OS X würde vollkommen ausreichen. Anlass des Ersuchens seien die ständig neuen Sicherheitslücken im Adobe Reader – oft aufgrund zusätzlicher Optionen, die man für das einfache Anschauen eines Dokuments gar nicht benötige, beispielsweise die /launch-Funktion, die Unterstützung von JavaScript und die Fähigkeit Audio- und Videodateien abzuspielen.
Sullivans frommer Wunsch lässt jedoch außer Acht, dass auch abgespeckte PDF-Viewer Sicherheitslücken aufweisen. Insbesondere für das exemplarisch angeführte “PDF Preview” unter Mac OS X hat der Hacker und Pwn0wn-Gewinner Charlie Miller kürzlich angekündigt, nicht weniger als 20 Sicherheitslücken veröffentlichen zu wollen. Da auch alternative PDF-Viewer wie Foxit immer wieder Schwachstellen aufweisen, hat das Bundesamt für Sicherheit in der Informationstechnik (BSI) im Jahr 2009 sogar darüber nachgedacht, ob es sinnvoll ist, einen eigenen, sicheren PDF-Viewer zu entwickeln.
Mit eingebautem Bundestrojaner? LOL!
viaheise online – F-Secure: “Microsoft, bitte einen einfachen PDF-Viewer”.
Gezielte Angriffe auf Unternehmen gehen weiter
Die Lücke im Internet Explorer, die bei den Angriffen auf Google benutzt wurde, ist zwar derzeit in aller Munde, doch Ungemach droht auch weiterhin aus anderer Richtung: präparierte PDF-Dokumente. Adobe hat zwar letzte Woche ein Update für seinen kostenlosen Reader veröffentlicht, doch offenbar setzen Kriminelle und Spione weiterhin darauf, dass noch nicht alle Anwender und Firmen die Updates installiert haben.
F-Secure berichtet von einem Angriff auf ein US-Unternehmen, das beim US-Verteidigungsministerium unter Vertrag steht. Vermutlich taiwanische Angreifer hatten vergangene Woche ein täuschend echtes Dokument dorthin verschickt, das eine seit mehreren Wochen bekannte Lücke (doc.media.newPlayer) im Reader ausnutzte, um auf einem Windows-PC eine Backdoor zu installieren. Das Update von Adobe schließt genau diese Lücke.
viaheise Security – Gezielte Angriffe auf Unternehmen gehen weiter.
