Adobe Readerに未解決の脆弱性、アップデートは準備中：任意のコード実行の恐れ

Adobe Readerに深刻な脆弱性が報告され、Adobeは解決のためのアップデートを開発している。

[ITmedia]

　Adobe Readerに未解決の脆弱性が報告され、米Adobe SystemsとUS-CERTが4月28日付で注意を促した。

　US-CERTによると、この脆弱性はJavaScript機能関連の「customDictionaryOpen()」と「getAnnots()」の引数処理エラーに起因する。悪用された場合、リモートの攻撃者に任意のコードを実行される恐れがある。

　Adobeも脆弱性の存在を認め、ブログで情報を公開した。それによると、影響を受けるのはAdobe ReaderとAcrobatの現行バージョンである9.1と8.1.4、7.1.1までの全バージョン。Adobeは各バージョンとOS向けに、脆弱性解決のためのアップデートを開発中。リリース日程が決まり次第、公開する予定だとしている。

　この脆弱性を突いたエクスプロイトが出回っているとの情報は現時点で入っていないとAdobeは述べている。一方、セキュリティ情報サイトのSecurityFocusには、この脆弱性のコンセプト実証（PoC）コードと称するリンクが掲載されている。

　Adobeはアップデートが公開されるまでの回避措置として、Adobe ReaderとAcrobatでJavaScriptを無効にする方法を紹介している。また、JPCERT コーディネーションセンターは29日に情報を公開し、Annots.apiのファイル名の変更または削除する方法を紹介。なお、この方法はgetAnnots()への対策となり、customDictionaryOpen()での対策にはならない。

過去のセキュリティニュース一覧はこちら