Adobe veröffentlicht außerplanmäßiges Sicherheitsupdate für Reader und Acrobat

Es korrigiert einen vor einer Woche veröffentlichten Patch. Angreifer erhalten unter Umständen Zugriff auf gehashte Passwörter. Betroffen sind Reader und Acrobat für Windows und macOS.

Adobe hat ein außerplanmäßiges Sicherheitsupdate für Reader und Acrobat bereitgestellt. Es schließt eine als kritisch eingestufte Sicherheitslücke, die dazu führen kann, dass die PDF-Anwendungen vertrauliche Daten eines Nutzers preisgeben.

Adobe Reader: Sicherheitslücken (Bild: ZDNet.de)In seinem Security Bulletin weist Adobe darauf hin, dass es sich um ein ergänzendes Update für den bereits am 12. Februar veröffentlichten Patch handelt. Dem Entdecker der Schwachstelle zufolge war der ursprünglich von Adobe entwickelte Fix nicht ausreichend – dem deutschen Sicherheitsforscher Alex Infuhr gelang es nach eigenen Angaben, die Korrektur zu umgehen, wie ThreatPost berichtet.

Betroffen sind die Versionen 2019.010.20091 und früher von Acrobat DC und Reader DC für Windows und macOS, 2017.011.30120 und früher von Acrobat 2017 und Reader 2017 für Windows sowie 2015.006.30475 und früher von Acrobat DC und Reader DC Classic 2015 für Windows. Deren Nutzer sollten auf die fehlerbereinigten Versionen 2019.010.20098, 2017.011.30127 oder 2015.006.30482 umsteigen.

Die Anfälligkeit erlaubt es einem PDF-Dokument, automatisch eine SMB-Anfrage an einen vordefinierten Server – beispielsweise eines Angreifers – zu senden, sobald das Dokument geöffnet wird. In diesen Anfragen wiederum sind standardmäßig NTLM-Hashes enthalten, die zur Authentifizierung benutzt werden. Der Angreifer erhält also Zugriff auf einen Hashwert des Benutzerpassworts.

Laut Mitja Kolsek vom Sicherheitsanbieter 0Patch erlaubt es die Schwachstelle einem PDF-Dokument aber auch, „nach Hause zu telefonieren“. Der Absender wisse also, ob und wann das Dokument geöffnet worden sei. „Offensichtlich ist nichts davon erstrebenswert“, schreibt er in einem Blogeintrag.

Infuhr ist einem Tweet zufolge bereits am 13. Februar aufgefallen, dass Adobes ursprünglicher Patch unwirksam ist. „Es scheint nicht richtig gepatcht worden zu sein, da ich einen Bypass entdeckt habe. Werde Adobe davon berichten“, twitterte er in der vergangenen Woche. Laut Adobe war der Forscher an der Entwicklung des neuen Patches beteiligt.

Whitepaper

Studie zu Filesharing im Unternehmen: Kollaboration im sicheren und skalierbaren Umfeld

Im Rahmen der von techconsult im Auftrag von ownCloud und IBM durchgeführten Studie wurde das Filesharing in deutschen Unternehmen ab 500 Mitarbeitern im Kontext organisatorischer, technischer und sicherheitsrelevanter Aspekte untersucht, um gegenwärtige Zustände, Bedürfnisse und Optimierungspotentiale aufzuzeigen. Jetzt herunterladen!

Themenseiten: Adobe, PDF, Security, Sicherheit

Fanden Sie diesen Artikel nützlich?
Content Loading ...
Whitepaper

ZDNet für mobile Geräte
ZDNet-App für Android herunterladen ZDNet-App für iOS

Artikel empfehlen:

Neueste Kommentare 

Noch keine Kommentare zu Adobe veröffentlicht außerplanmäßiges Sicherheitsupdate für Reader und Acrobat

Kommentar hinzufügen

Schreibe einen Kommentar

Deine E-Mail-Adresse wird nicht veröffentlicht. Erforderliche Felder sind markiert *