Adobe hat ein außerplanmäßiges Sicherheitsupdate für Reader und Acrobat bereitgestellt. Es schließt eine als kritisch eingestufte Sicherheitslücke, die dazu führen kann, dass die PDF-Anwendungen vertrauliche Daten eines Nutzers preisgeben.
In seinem Security Bulletin weist Adobe darauf hin, dass es sich um ein ergänzendes Update für den bereits am 12. Februar veröffentlichten Patch handelt. Dem Entdecker der Schwachstelle zufolge war der ursprünglich von Adobe entwickelte Fix nicht ausreichend – dem deutschen Sicherheitsforscher Alex Infuhr gelang es nach eigenen Angaben, die Korrektur zu umgehen, wie ThreatPost berichtet.
Betroffen sind die Versionen 2019.010.20091 und früher von Acrobat DC und Reader DC für Windows und macOS, 2017.011.30120 und früher von Acrobat 2017 und Reader 2017 für Windows sowie 2015.006.30475 und früher von Acrobat DC und Reader DC Classic 2015 für Windows. Deren Nutzer sollten auf die fehlerbereinigten Versionen 2019.010.20098, 2017.011.30127 oder 2015.006.30482 umsteigen.
Die Anfälligkeit erlaubt es einem PDF-Dokument, automatisch eine SMB-Anfrage an einen vordefinierten Server – beispielsweise eines Angreifers – zu senden, sobald das Dokument geöffnet wird. In diesen Anfragen wiederum sind standardmäßig NTLM-Hashes enthalten, die zur Authentifizierung benutzt werden. Der Angreifer erhält also Zugriff auf einen Hashwert des Benutzerpassworts.
Laut Mitja Kolsek vom Sicherheitsanbieter 0Patch erlaubt es die Schwachstelle einem PDF-Dokument aber auch, „nach Hause zu telefonieren“. Der Absender wisse also, ob und wann das Dokument geöffnet worden sei. „Offensichtlich ist nichts davon erstrebenswert“, schreibt er in einem Blogeintrag.
Infuhr ist einem Tweet zufolge bereits am 13. Februar aufgefallen, dass Adobes ursprünglicher Patch unwirksam ist. „Es scheint nicht richtig gepatcht worden zu sein, da ich einen Bypass entdeckt habe. Werde Adobe davon berichten“, twitterte er in der vergangenen Woche. Laut Adobe war der Forscher an der Entwicklung des neuen Patches beteiligt.
Quelle: Adobe veröffentlicht außerplanmäßiges Sicherheitsupdate für Reader und Acrobat | ZDNet.de