Google: attenti ad Adobe Reader, soprattutto su Linux!

Adobe, Adobe, Adobe.. ma cosa ci stai combinando?

E dopo la notizia della definitiva morte di Flash player per Android, la nota software house – conosciuta, principalmente, proprio per il riproduttore di contenuti scritti in ActionScript e per diversi programmi dedicati alla grafica - fa ancora parlar di sè, soprattutto per l’utenza del pinguino, in maniera alquanto negativa: i ricercatori di Google Mateusz Jurczyk e Gynvael Coldwind  avevano già avvisato Adobe riguardo alle vulnerabilità del lettore PDF Adobe Reader: in totale 60 problemi, quaranta dei quali definiti potenziali vettori d’attacco, per alcuni dei quali (e sottolineo alcuni) la stessa Adobe aveva promesso soluzioni entro il prossimo ciclo di aggiornamenti.

Detto, fatto: gli aggiornamenti (10.1.4 per Windows e 9.5.2 per MacOSX) rilasciati lo scorso Martedì hanno risolto molti dei problemi sovracitati, anche se dopo un’attenta analisi – sempre da parte di Jurczyk e Coldwind – sono stati trovati ancora 16 bugs irrisolti dei 60 precedentemente trovati. E sebbene Google abbia apertamente dichiarato l’intenzione di pubblicare in maniera chiara (senza usare offuscamento, come invece è stato fatto in questo log già pubblicato) le potenziali modalità di sfruttamento dei bugs, Adobe sembra continuare a dormire sonni tranquilli, crogiolandosi sulla possibilità di poter sfruttare appieno i 60 giorni di tempo passati dalla prima segnalazione dei problemi di sicurezza.

Peccato che questi 60 giorni scadano esattamente il 27 Agosto e che, nè prima nè immediatamente dopo quella data, non sia previsto rilascio di aggiornamento alcuno.

Detto ciò, non so se avete notato una cosa importantissima: nessun aggiornamento è stato rilasciato (nè apparentemente pianificato) per Linux! Occhio, quindi, ad utilizzare il programma per leggere PDF di dubbia provenienza: abbiamo tutte e 60 le vulnerabilità aperte, alcune delle quali potrebbero essere sfruttate da utenti malintenzionati per prendere il controllo di zone di memoria del vostro sistema con tutte le conseguenze del caso. Un PDF infetto… e la frittata sarà fatta!

Particolare attenzione va posta alla navigazione web: vi consiglio di non utilizzare – almeno per il momento – Adobe Reader come lettore integrato del vostro browser, e di porre particolare attenzione alla navigazione web effettuata con Google Chrome che, come certamente saprete, utilizza proprio Adobe Reader come lettore PDF di default.

Piccola dritta per gli utenti Linux: per proteggersi da due delle sessanta vulnerabilità segnalate, è sufficiente cancellare i files Annots.api e PPKLite.api dalla cartella dedicata ai plugins di Adobe Reader (in Ubuntu, tali files si trovano in /opt/Adobe/Reader9/Reader/intellinux/plug_ins/). Occhio, però: le vulerabilità irrisolte restano comunque 58! Il mio consiglio? Il buon vecchio evince, almeno fino al prossimo aggiornamento di Adobe Reader…