PDF-be ágyazott végrehajtható állomány futtatás tényleges sebezhetőség kihasználása nélkül

Titkosítás, biztonság, privát szféra

Didier Stevens egy blogbejegyzésben számol be arról, hogy előállított egy olyan proof-of-concept PDF fájlt, amelyből sikerült végrehajtható állományt futtatnia anélkül, hogy bármilyen sebezhetőséget is ki kellett volna használnia. Az Adobe Reader-t futtató felhasználók ugyan kapnak egy figyelmeztető ablakot azelőtt, mielőtt a futtatásra sor kerülne, de a párbeszédablakban megjelenő üzentet a hacker részben tudja befolyásolni. Egy kis social engineering-gel kombinálva felhasználható lehet parancsok, script-ek futtatására az áldozat gépén.

A Foxit Reader például figyelmeztetést sem ad a felhasználó számára a futtatáskor, egyszerűen lefuttatja a parancsot felhasználói közreműködés nélkül.

Az Adobe szerint a termékeibe épített figyelmeztetés elegendő a felhasználók megvédéséhez.

A részletek itt, itt és itt.

( axt v | 2010. 04. 02., p – 09:25 )

A "vicc", hogy ez szűkebb körben (Canvas D2 exploit pack felhasználók) már két éve ismert bug, de azért mindenki teszi az ártatlant, hogy mekkora újdonság :-)
referencia

( Cobalt | 2010. 04. 02., p – 10:10 )

A legszornyubb az egeszben, hogy nem bug, hanem a specifikacioban definialt feature.

( szemet | 2010. 04. 02., p – 13:42 )

Hát ez koncepcióbeli összevisszaság a legrosszabb ami mostanában van ezügyben...

Vagy legyen következetesen kód=adat koncepció annak minden előnyével, olyan mint mondjuk egy smalltalk imageban.
Vagy legyen kód!=adat következetesen, annak minden szigorúságával.

De mostanában még egy szakembernek is nehéz követnie, hogy melyik adatformátum, melyik olvasására használható programmal, milyen szintű és jogkörű kódokat futtathat, ráadásul nem bug hanem feature alapon... :(

szerk.: természetesen nem várom el ezt globálisan (egész rendszer összehangoltan, mindent mindenki ugyanúgy csináljon), de legalább egyes formátumokra legyen tisztességesre megcsinálva...

( tombenko v | 2010. 04. 02., p – 14:33 )

Xpdf?
--
Fight / For The Freedom / Fighting With Steel