Faille Acrobat et Reader : il est urgent d’attendre selon Adobe
Malgré une faille susceptible d’être activement exploitée sur deux de ses produits phares, Adobe préfère attendre la traditionnelle réactualisation de sécurité du trimestre pour colmater la brèche.
Une faille sur deux des principaux logiciels d’Adobe (Acrobat et Reader) inquiètent les experts de la sécurité IT. Car, en attendant un patch de l’éditeur attendu le 12 janvier, cette vulnérabilité serait exploitée de manière active par des pirates.
Ainsi, sur son blog, l’éditeur de solutions de sécurité Trend Micro indue qu’il a repéré un nouvel échantillon PDF présentant la faille non corrigée d’Adobe (TROJ_PIDIEF.WIA) et susceptible d’injecter du code malicieux (fichier BKDR_POISON.UC) dans les systèmes informatiques. En cas d’exécution, une instance Internet Explorer s’ouvre. Ce qui permettrait à un pirate d’injecter des commandes sur le système affecté.
Adobe préfère ne pas perturber le rythme trimestriel des réactualisations de sécurité de ses produits. Le fait de proposer un patch plus tôt pour cette faille critique spécifique aurait un impact négatif sur le processus global de l’update, selon une contribution blog du 16 décembre 2009 de Brad Arkin, Responsable en charge de la sécurité et des problématiques de confidentialité des produits Adobe.
En attendant, il est recommandé aux particuliers et entreprises de désactiver la fonction JavaScript dans Reader et Acrobat.
Selon Trend Micro, Adobe projette en complément de livrer un outil automatique de gestion des correctifs (automatic/silent updater) qui ne nécessitera pas d’intervention humaine. Et ce afin de limiter les dégâts en cas de laxisme des administrateurs qui ne seraient pas suffisamment rigoureux dans l’application des patches dès leur disponibilité.