AdobeがAcrobatユーザーに警告：サードパーティのセキュリティパッチをインストールしないでください

Adobeは今週初め、人気のPDFソフトウェアAcrobatに潜在的なセキュリティリスクがあることをユーザーに警告しましたが、今回、この問題を修正すると謳うサードパーティ製のパッチをインストールしないようユーザーに注意を促しました。Adobeのサイトで詳細が説明されているこの脆弱性は、Mac OS X、Windows、Linux、Androidなど、様々なOSに対応したAdobe AcrobatおよびReaderの全バージョンに影響します。

セキュリティ企業 RamzAfzar が昨日リリースしたサードパーティパッチは、2 時間で開発されたとされており、Adobe 公式パッチのリリース予定日である 10 月 4 日よりもかなり早くリリースされました。

オタクな詳細

セキュリティに詳しくない方は、次のセクションまで飛ばしてください。そうでない場合は、このまま読み進めてください。

この脆弱性自体は、メモリ操作に安全でない方法を使用していることに起因しており、RamzAfzar 氏は、この脆弱性を悪用して攻撃者が標的のコンピュータを制御できないようにするコードに安全でない呼び出しを置き換えることで修正したと主張している。

Adobe が、プログラムコードを含む非公式にパッチされた DLL をインストールすること自体がリスクであるとユーザーに警告するのは正しいが、元のバグはほとんどのソフトウェアでよく知られた攻撃ベクトルであり、簡単に防ぐことができたことを考慮すると、恥ずかしく、コストがかかるものであることは事実である。

この問題の核心となる関数呼び出しは「strcat」です。これは、あるメモリ位置から別のメモリ位置にデータをコピーしますが、転送する情報の量を検証しません。一方、改訂された「strncat」は、この種の脆弱性を防ぐために特別に開発されました。

バグの回避

Adobe Readerをご利用の場合、Adobeがアップデートをリリースするまでは、このバグを回避する方法はあまりありません。ただし、Windows版Foxit Readerなどの代替PDFリーダーをインストールすると、Adobe Readerへの攻撃を回避できます。Macユーザーは、Mac OS Xにバンドルされている画像ビューア「Preview」をご利用ください。Adobeの公式アップデートがリリースされ次第、お知らせいたします。

[Threatpost経由]