HSC : vulnérabilités dans Adobe Acrobat et Adobe Reader
avril 2009 par HSC
– Date : 30-04-2009
– Criticité HSC : 4/5 - haute
– Avis public : Oui
– Exploitation : Disponible et publique
– Source : Adobe
– Objet : Adobe Acrobat
- Description :
Au moins deux failles ont été découvertes dans les produits Adobe,
menant à l’exécution de code arbitraire lors de l’ouverture d’un
document PDF contenant du code JavaScript malveillant.
Les méthodes "customDictionaryOpen()" et "GetAnnots()" peuvent en effet
recevoir des chaînes de caractères en paramètre, dont la taille n’est
pas vérifiée. En leur passant un paramètre particulièrement long, il est
alors possible de corrompre la mémoire du programme et d’y exécuter du
code arbitraire.
L’exploitation de cette vulnérabilité nécessite que la victime ouvre le
document spécifiquement forgé, et que l’exécution de code JavaScript
soit autorisée. Le code arbitraire sera exécuté avec les privilèges de
l’utilisateur ayant ouvert le document malveillant.
Note : des codes d’exploitation publics et fonctionnels circulent déjà
Références :
http://blogs.adobe.com/psirt/2009/04/update_on_adobe_reader_issue.html