• Thứ Hai, 16/03/2009 09:43 (GMT+7)

    Adobe vá lỗ hổng zero-day trong Acrobat/Reader

    Hôm 10/3/2009, Adobe đã vá lỗ hổng nghiêm trọng trong các phần mềm xem, chỉnh sửa tài liệu PDF mà tin tặc đã khai thác hơn 2 tháng trước đây.

    Bản cập nhật cho Adobe Reader 9 và Adobe Acrobat 9 được đưa ra hôm 10/3/2009, muộn hơn 1 ngày so với thời hạn mà công ty tự đề ra. Ông David Lenoe, người quản lí chương trình bảo mật của Adobe cho biết, Adobe Reader 9.1 và Acrobat 9.1 giải quyết cả vấn đề bảo mật JBIG2 lẫn biến thể “no-click” của lỗi.

    Biến thể “no-click” mà ông Lenoe đề cập là một cách khai thác lỗ hổng mới không phụ thuộc vào việc người dùng phải thực sự mở file PDF “độc”. Đầu tháng 3/2009, nhà nghiên cứu Didier Stevens người Bỉ đã minh họa cách kích hoạt lỗi đơn giản bằng việc gửi đi cho ai đó một tài liệu PDF “độc” được Windows Explorer tự động “đọc”. US-CERT cũng cảnh báo, dịch vụ Windows Indexing Service có thể bị lạm dụng để kích hoạt lỗi mà không cần đến tương tác của người dùng.

    Adobe cho biết, lỗ hổng có thể bị khai thác từ xa, khiến ứng dụng bị treo và có tiềm năng cho phép tin tặc chiếm quyền điều khiển hệ thống bị nhiễm. Thông tin chi tiết hơn sẽ được công bố vào ngày 25/3/2009, khi Adobe có kế hoạch vá các phiên bản Acrobat/Reader trên Linux, Solaris. Công ty dự định vá các phiên bản Acrobat/Reader 7, 8 trên Windows, Mac vào ngày 18/3/2009.

    Người dùng có thể tải các phiên bản Acrobat/Reader 9.1 trên Windows, Mac về từ website của Adobe.

    Bạch Đình Vinh
    Theo Computerworld, 10/3/2009

    ID: O0903_1