De maker van de meestgebruikte PDF-software komt over anderhalve week met een noodpatch. Die moet het gat dichten waarbij lettertypes (fonts) in malafide PDF-documenten code kunnen bevatten die automatisch wordt uitgevoerd op een computer zodra het document geopend wordt. Dat openen kan ook automatisch via de browser.

Niet wachten tot oktober

Dit lek is in combinatie met een beveiligingsgat in de kernel van Apple's iOS al gebruikt om een zeer makkelijke jailbreak-hack te maken voor de iPhone. De PDF-fout zit daarbij in de PDF-programmatuur die Apple heeft ingebouwd in zijn mobiele besturingssysteem. Het lek is ook aanwezig in Adobe's PDF-software, draaiend op Windows, Mac OS X en Unix. Laatstgenoemde besturingssysteem betreft Suns Unix-variant Solaris (tegenwoordig van Oracle) en Linux.

De reguliere volgende ronde in Adobe's patchcyclus is pas in oktober. Het bedrijf benadrukt in zijn vooraankondiging van de noodpatch dat het zich op dit moment niet bewust is van exploits die 'in het wild' rondwaren. Het doelt daarmee op kwaadaardige code die daadwerkelijk wordt ingezet om computers aan te vallen.

De iPhone-jailbreak is wel een exploit, zij het niet kwaadaardig en niet in Adobe's PDF-software. Het is volgens securitybedrijven als Symantec en McAfee echter een kwestie van tijd voordat malware opduikt voor dit fundamentele gat. Zij hebben het daarbij vooral over het lek in de iPhone, en ook de iPod Touch en iPad, maar de onderliggende problematiek geldt ook voor andere PDF-applicaties.

Isoleren

Ondertussen heeft Adobe ook een betere beveiliging voor zijn PDF-software gemaakt, die binnenkort wordt uigebracht. Het is nog niet bekend wanneer. Met hulp van Microsofts Office-ontwikkelteam en Google's Chrome-team heeft Adobe sandboxing-technologie ingebouwd in zijn PDF-reader. Die isoleert PDF-bestanden zodat exploits niet kunnen doordringen naar bijvoorbeeld het besturingssysteem. "Dit helpt tegen malafide PDF-bestanden," legt security-topman Brad Arkin uit aan Webwereld.

Bron: Webwereld.nl