Adobe Reader et sécurité : publication en urgence

La semaine du 16 août, Adobe va faire une nouvelle exception à ses publications trimestrielles de sécurité afin de prodiguer un patch correctif pour Adobe Reader et Acrobat. Pour toutes les plateformes supportées, les versions les plus à jour ( 9.3.3 ) et antérieures seront concernées.

Découverte par le chercheur en sécurité Charlie Miller lors de la conférence Black Hat qui s'est tenue fin juillet, une vulnérabilité permet l'exécution de code arbitraire à distance en tirant parti d'un problème de traitement au niveau des polices de caractères.

Alors que cette vulnérabilité n'est pas sans rappeler celle utilisée pour le jailbreak de l'iPhone via un accès direct à la page JailbreakMe.com ( les deux failles touchent au traitement des polices de caractères dans les fichiers PDF ), elles sont toutefois bien distinctes.

Malgré cette publication en urgence, Adobe indique ne pas être au courant d'une exploitation active de la vulnérabilité. Par ailleurs, l'éditeur confirme que sa mise à jour trimestrielle pour Adobe Reader et Acrobat sera bien maintenue le 12 octobre 2010.

Rappelons par ailleurs un point d'importance. Adobe prévoit avec la version 10 de Reader ( Windows ) d'implémenter une technologie de sandbox. De fait, l'action d'un document malveillant sera confinée à un espace isolé.

Consulter le bulletin d'alerte du CERTA