Adobe Readerに未解決の脆弱性、アップデートは準備中:任意のコード実行の恐れ
Adobe Readerに深刻な脆弱性が報告され、Adobeは解決のためのアップデートを開発している。
Adobe Readerに未解決の脆弱性が報告され、米Adobe SystemsとUS-CERTが4月28日付で注意を促した。
US-CERTによると、この脆弱性はJavaScript機能関連の「customDictionaryOpen()」と「getAnnots()」の引数処理エラーに起因する。悪用された場合、リモートの攻撃者に任意のコードを実行される恐れがある。
Adobeも脆弱性の存在を認め、ブログで情報を公開した。それによると、影響を受けるのはAdobe ReaderとAcrobatの現行バージョンである9.1と8.1.4、7.1.1までの全バージョン。Adobeは各バージョンとOS向けに、脆弱性解決のためのアップデートを開発中。リリース日程が決まり次第、公開する予定だとしている。
この脆弱性を突いたエクスプロイトが出回っているとの情報は現時点で入っていないとAdobeは述べている。一方、セキュリティ情報サイトのSecurityFocusには、この脆弱性のコンセプト実証(PoC)コードと称するリンクが掲載されている。
Adobeはアップデートが公開されるまでの回避措置として、Adobe ReaderとAcrobatでJavaScriptを無効にする方法を紹介している。また、JPCERT コーディネーションセンターは29日に情報を公開し、Annots.apiのファイル名の変更または削除する方法を紹介。なお、この方法はgetAnnots()への対策となり、customDictionaryOpen()での対策にはならない。
関連記事
- Adobe製品やUSBメモリを悪用する脅威が増加――シマンテックが報告
シマンテックは2008年のセキュリティ脅威動向をまとめた報告書で、Webサイトとサードパーティー製アプリケーションやUSBメモリなどを悪用する手口が増加したと警告している。 - Adobe、AcrobatとAdobe Readerの修正版を追加公開
バージョン9.1にアップデートできないユーザーのために、Acrobat 8.1.4と7.1.1、Reader 8.1.4と7.1.1が公開された。 - Adobe、ReaderとAcrobatの脆弱性に対処
AdobeはReader 9とAcrobat 9のユーザーに対し、バージョン9.1へのアップデートを促している。 - Adobe ReaderとAcrobatの脆弱性突くゼロデイ攻撃発生
Adobe ReaderとAcrobatに未修正の深刻な脆弱性が見つかり、この問題を悪用する不正なPDFファイルが出現した。
関連リンク
Copyright © ITmedia, Inc. All Rights Reserved.