Sicherheitslücke in Adobe Reader ermöglicht Zugriff auf lokale Dateien[Update]

Durch eine Sicherheitslücke in Adobes Acrobat und Reader ist es möglich, beliebige lokale Dateien auszulesen und beispielsweise ins Internet zu senden. Jelmer Kuperus, bislang bekannt durch seine Analysen zu Schwachstellen im Internet Explorer, hat ein Demo-PDF auf seinen Seiten veröffentlicht, bei dessen Ansicht mit dem Acrobat 6 und Reader 6 eine lokale Datei ausgelesen und im Internet Explorer angezeigt wird. Durch die Lücke kann ein Angreifer präparierte PDFs auf einem Webserver hinterlegen, um beispielsweise Cookies von den Systemen der Besucher zu kopieren. Allerdings muss der Anwender solch ein Dokument öffnen und der Angreifer muss den Pfad zur auszulesenden Datei kennen.

Ursache der Schwachstelle ist die in Version 6 eingeführte Möglichkeit, Macromedia-Flash-Dateien und Filme (SWF) in PDFs einzubetten. Acrobat und Reader extrahieren die SWF-Datei und legen sie unter einem zufälligen Namen im temporären Verzeichnis des gerade angemeldeten Nutzers ab. Eigentlich sollten Adobes Produkte nur der Zugriff auf diese Datei gewährt sein, stattdessen ist der Lesezugriff auf die gesamte Festplatte möglich. Ein Patch gibt es derzeit nicht.

[Update]
Abhilfe schafft das Deaktivieren der Scripting-Funktion etwa im Reader unter Bearbeiten/Grundeinstellungen. Einige Leser berichten, dass auch das Entfernen des Flash-Plug-ins aus dem Plug-in-Ordner hilft, alternativ unterdrückt das Tool Reader SpeedUp das Laden des Plug-ins beim Start.

Siehe dazu auch: (dab)

• Security Advisory von Jelmer Kuperus