La faille critique d’Adobe Reader menacée par un ‘exploit’

Un chercheur en sécurité a publié une preuve de concept pour une vulnérabilité connue d’Adobe Reader. Le chercheur, connu sous le pseudonyme ‘Cyanid-E’, a dévoilé sa découverte dans une note adressée à la liste de diffusion Full Disclosure. La vulnérabilité a été confirmée sur un système Windows XP entièrement à jour utilisant les programmes Adobe Acrobat Reader 8.1 et Internet Explorer 7.

Les détails de la vulnérabilité ont été publiés fin septembre sur le blog GNU Citizen. Le blog n’avait pas publié le code preuve de concept à ce moment, se doutant qu’Adobe serait lent à réagir. Un code preuve de concept peut être facilement transformé en code d’attaque et la publication aurait par conséquent exposé les utilisateurs à un risque.

La preuve de concept démontre l’exploit en ouvrant l’application de calculatrice à l’ouverture d’un fichier PDF modifié. Si le code n’est pas dangereux en lui-même, les pirates pourraient facilement le modifier pour installer des programmes malveillants ou associer un système à un botnet.

Adobe a reconnu l’existence de la faille en début du mois et publié une solution temporaire pour protéger les utilisateurs. L’éditeur recommande aux utilisateurs d’appliquer la solution temporaire et de faire preuve de la plus grande prudence lors de l’affichage et du téléchargement de « communications non sollicitées ».

Un porte-parole d’Adobe a confié à vnunet.com que l’éditeur connaissait l’existence de cette preuve de concept et qu’il publierait une mise à jour dans un délai de deux semaines.

Traduction et adaptation de l’article « Attack code targets unpatched Adobe Reader flaw » de Vnunet.com en date du 17 octobre 2007.