Adobe Reader y Acrobat - Javascript Vulnerabilidades

Adobe ha liberado el Boletin de Seguridad APS09-06, el cual describe las actualizaciones para Adobe Reader y Acrobat, que se refieren a dos vulnerabilidades Javascript que podrian permitir a un atacante ejecutar codigo arbitrario.

Descripcion

• Una vulnerabilidad en el método getAnnots() afecta a Adobe Reader y Acrobat para Windows, Apple OS X, y UNIX.


• Una vulnerabilidad en customDictionaryOpen() que afecta solamente a Adobe Reader para UNIX

Efectos

Un atacante podría explotar estas vulnerabilidades convenciendo al usuario abrir un documento PDF especialmente manipulado. Ya que Acrobat se integra con los navegadores mas populares, vistando un sitio web es usualmente suficiente para causar que Adobe Reader y Acrobat desplieguen un documento PDF.

Impacto

Convenciendo al usuario de abrir un archivo PDF especialmente manipulado, un atacante remoto, no autentificado puede ser capaz de ejecutar codigo arbitrario.

Solucion

Actualizacion

Adobe ha liberado las actualizaciones que corrige estas vulnerabilidades. Se le recomienda a todos los usuarios actualizar sus versiones de Adobe Reader y Acrobat actualmente instalados en sus sistemas; estas vulnerabilidades se corrigen en las versiones 9.1.1, 8.1.5 y 7.1.2 de Acrobat y Adobe Reader.

Deshabilitar Javascript en Adobe Reader y Acrobat

Deshabilitando Javascript en Adobe Reader y Acrobat previene que las vulnerabilidades antes mencionadas sean explotadas, lo que reduce el impacto. Si esta caracteristica es aplicada a versiones actualizadas de Adober Reader y Acrobat, puede proteger significativamente para posteriores vulnerabilidades.

Como deshabilitar Javascript en Adobe Reader

1. Abrir el menu Editar.


2. Seleccionar la opción Preferencias...


3. Seleccionar la sección Javascript


4. Desactivar la opcion Activar Acrobat Javascript

Deshabilitando Javascript no resoverá estas vulnerabilidades, solamente deshabilitará el componente Javascript, por lo tanto se requiere actualización forzada de los productos Adobe mencionados. Cuando Javascript está deshabilitado, Adober Reader y Acrobat mostrarán un dialogo para re-habilitar Javascript cuando abra un documento PDF que contiene Javascript.

Prevenir que Internet Explorer abra automáticamente un documento PDF

El instalador de Adobe Reader y Acrobat configura Internet Explorer para automáticamente desplegar un documento PDF sin interacción del usuario. Este comportamiento puede ser revertido a una opcion segura de preguntar al usuario; esto se logra importando la siguiente clave al Registro de Windows.

 
Windows Registry Editor Version 5.00
[HKEY_CLASSES_ROOT\AcroExch.Document.7]
"EditFlags"=hex:00,00,00,00

Deshabilitar el despliegue de documentos PDF en el navegador

Previniendo al explorador de desplegar documentos PDF reduce el éxito de ataque. Nuevamente, si esta caracteristica es aplicada a versiones ya actualizadas, puede proteger contra vulnerabilidades posteriores ( relacionadas a la ejecuion de codigo javascript dentro de documentos PDF). Para prevenir que un documento PDF sea desplegado automáticamente en un navegador con Adobe Reader:
En Adober Reader..

1. Abrir el menu Editar


2. Seleccionar la opcion Preferencias


3. Seleccionar la opcion Internet


4. Deshabilitar la opcion "Mostrar PDF en el navegador"

Renombrar o Eliminar Annots.api

Deshabilitando el metodo vulnerable getAnnots(), ya sea renombrandolo o eliminandolo.
Esto deshabilitara algunas funcionalidades de Annotations, pero aun podrán ser visualizadas. Esto no protege contra la vulnerabilidad en customDictionaryOpen(). En Windows, Annots.api tipicamente se localiza en :

"Archivos de programa\Adobe\Reader 9.0\Reader\plug_ins"

En GNU/Linux:

/opt/Adobe/Reader8/Reader/intellinux/plug_ins/Annots.api

No accese a documentos PDF que provienen de fuentes no confiables

No abra documentos PDF de fuentes desconocidas. Esto presupone que el atacante hará todo lo que este dentro de sus posibilidades de "engañarlo" para abrir un documento PDF especialmente maninulado.

Referencias

http://www.adobe.com/support/security/bulletins/apsb09-06.html