Zranitelnost PDF: Soukromá firma vytvořila opravu dříve než Adobe

Oprava kritické zranitelnosti, která dokáže obcházet bezpečnostní mechanizmy Windows (více o ní najdete v článku PDF soubory opět vystavují Windows vážnému riziku, varují experti), je již na světě a to díky nepříliš známé bezpečnostní firmě RamzAfzar, která vydala svépomocí vytvořenou opravu pro Adobe Reader, jež zabraňuje jeho exploitování útočníky. Volně ke stažení je z adresy https://www.rafzar.com/node/22.

Bezpečnostní experti konkrétně předělali link v knihovně, v němž nahrazují zranitelné API strcat mnohem bezpečnější alternativou strncat. Navíc to není poprvé, co někdo předběhl Adobe ve vydání opravy pro Reader. V únoru 2008 vydal neoficiální záplatu pro Reader například bezpečnostní expert Lurene Grenier, který také využil přesměrování dynamické knihovny. Obecně je ovšem vydávání neautorizovaných oprav spíše výjimečné a výrobci původního softwaru jej nepřijímají s nadšením.

K zabezpečení aplikace Adobe Reader stačí stáhnout upravený soubor CoolType.dll, vytvořený RamzAfzarem a ten zkopírovat do složky Windows, kde jsou umístěny DLL knihovny aplikace od Adobe. Zástupci společnosti Adobe již sice potvrdili, že se zdá, že oprava, kterou vydal RamzAfzar, skutečně zamezuje pádu aplikace při pokusu o penetraci škodlivým kódem, ale zda je opravdu zcela spolehlivá nebylo dosud ze strany Adobe prozkoumáno a uživatelé by do svého počítače údajně neměli instalovat neautorizované knihovny. Oficiální opravy bychom se měli dočkat ovšem až 4. října, takže pokud se uživatelé budou řídit radou zástupců Adobe, budou vystaveni skoro tři týdny riziku.

Exploit pro objevenou zranitelnost  je bezpečnostními experty označován jedním dechem jako chytrý, ale i jako děsivý, protože dokáže velmi elegantně obejít bezpečnostní technologie ASLR a DEP, které jsou obsaženy ve Windows a byl zjevně dílem technicky zručného hackera. K útoku se využívají e-maily se škodlivým PDF souborem, jenž vzbuzuje důvěru proto, že je digitálně podepsaný americkou společností Vantage Credit Union.