Weer zero-day lek in Adobe Reader *Update*
Adobe Reader wordt weer geplaagd door een zero-day beveiligingslek, zo heeft het bedrijf bevestigd. Het gaat hier niet om de kwetsbaarheid waarmee het nieuwe iPhone OS is te jailbreaken, maar een kwetsbaarheid die vorige week tijdens de Black Hat conferentie werd onthuld. Beveiligingsonderzoeker Charlie Miller demonstreerde het lek, waarmee aanvallers via drive-by aanvallen systemen kunnen overnemen.
Patch
Adobe werkt inmiddels aan een update en kan beslissen om die als noodpatch aan te bieden. De volgens patchcyclus staat pas voor 12 oktober gepland. Of er een out-of-band patch komt is vooral afhankelijk of aanvallers het lek zullen misbruiken.
Op de slides en screenshots van Miller staat informatie die een aanvaller mogelijk op weg kunnen helpen bij het ontdekken van de kwetsbaarheid. Adobe onderzoekt nu of de gepresenteerde informatie inderdaad voldoende details bevat en hoelang het duurt voordat er mogelijk een exploit is.
Update 16:20
Het lijkt erop dat niemand meer van de gapende gaten in de software van Adobe staat te kijken. Miller laat via Twitter weten: "De beveiliging van Adobe is zo slecht, dat toen ik een Reader 0-day tijdens mijn lezing bekendmaakte, niemand er over Twitterde. Triest."
Als je er rekening mee houdt er minder tijd aan het zoeken naar lekken in Foxit Reader dan in Adobe Reader wordt gezocht, zou het het aantal gevonden lekken per besteedde uren securiy research wel eens goed bij elkaar in de buurt kunnen komen; ook in Foxit Reader zijn al flink wat lekken gevonden.
Kortom, statistisch ben je minder kwetsbaar, maar ik krijg er geen warm gevoel van.
Reader zo LIGHT mogelijkt, moet zelfs geen **** javascript ondersteunen ..
En steek al die bloated crap in een editor.
Standaard alle pdf's via de reader openen, 98% van de attack vectors valt plots weg aangezien de reader alleen data LEZEN ondersteund ... als je dan toch al eens een pdf tegenkomt met javascript oid in, dan launch je maar even de editor.
De weg die adobe en foxit nu volgen is dezelfde als microsoft heeft voorgehad bij IE (denk ActiveX crap).
Veel te veel programeerbare functionaliteit die je helemaal niet meer veilig kan krijgen.
En dan moetten er lagen tussenkomen waarbij elk stukje logica 5 keer doorspit moet worden om zeker te zijn dat het geen mallicious crap is.
En dat blijkt dan ook weer defective-by-design te zijn, want het laat obfuscated code toe ofzo ...
http://www.security.nl/artikel/34078/1/iPhone_PDF-exploit_schiet_gat_in_Foxit_Reader.html?utm_source=rssfeed&utm_medium=rss&utm_campaign=rssfeed
Reader zo LIGHT mogelijkt, moet zelfs geen **** javascript ondersteunen ..
En steek al die bloated crap in een editor.
Standaard alle pdf's via de reader openen, 98% van de attack vectors valt plots weg aangezien de reader alleen data LEZEN ondersteund ... als je dan toch al eens een pdf tegenkomt met javascript oid in, dan launch je maar even de editor.
Variant op dit idee: maak voor PDF met JavaScript aan boord (en hetzelfde geldt voor elk documenttype met macrocode aan boord) een apart bestandstype aan, en behandel het niet als een PDF-document met uitvoerbare code aan boord maar als een applicatie met een presentatielaag in de vorm van een PDF-document. Andere mime-type, andere extensie, andere signature voorin het bestand, ander icoontje, andere viewer/interpreter. Dan is aan de buitenkant gewoon zichtbaar waar je mee te maken hebt, dan kunnen mail-clients, webbrowsers, en hoe je het allemaal te zien krijgt waarschuwen dat het uitvoeren risico's met zich meebrengt, zoals voor andere uitvoerbare bestanden ook gebeurt.
Deze posting is gelocked. Reageren is niet meer mogelijk.
Specialiseer je in Forensisch ICT
Online informatieavond 19 november
Wil jij je specialiseren in digitaal forensisch onderzoek? Je kennis verbreden en tech-nische vaardigheden ontwikkelen? Ontdek de cursus- en opleidingsmogelijkheden van Hogeschool Leiden:
- Bachelor Informatica Forensisch ICT (deeltijd)
- Master Digital Forensics (vol- en deeltijd)
- Module Mobile Forensics
- Module Data Analytics
Interesse? Meld je aan!
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
