Adobe gaat beveiligingsproblemen in Reader verhelpen

Adobe gaat deze week twee beveiligingsproblemen oplossen die momenteel in het wild worden misbruikt. Daartoe zal het bedrijf een noodpatch uitbrengen. Beide bugs weten de sandbox-beveiliging van Adobe Reader te omzeilen.

Wanneer de update precies uitkomt is onduidelijk, maar zeker is wel dat dat ergens deze week zal gebeuren, zo heeft Adobe bekendgemaakt. De update komt uit voor Windows, Linux en OS X. De update moet twee beveiligingsproblemen oplossen die in het wild worden misbruikt.

Vorige week bleek al dat er een zogenoemd zero day-beveiligingsprobleem in Adobe Reader zat, die het mogelijk maakte voor aanvallers om eigen code uit te voeren. Zero day-bugs zijn beveiligingsproblemen waarvoor nog geen patch voorhanden is. Later werd bekend dat het om twee vergelijkbare bugs gaat, die het allebei mogelijk maken om de zogeheten sandbox-beveiliging te omzeilen. Sandboxing moet voorkomen dat beveiligingsproblemen in een programma invloed op het besturingssysteem kunnen hebben.

Beide bugs zouden worden gebruikt door dezelfde exploit. Volgens een onderzoeker van Kaspersky zijn de exploit en de malware die ermee wordt geïnstalleerd van het hoogste niveau, zo zei hij tegenover ComputerWorld. Volgens is de exploit onderdeel van een 'digitale spionagecampagne'.

Totdat de update is uitgerold, kunnen Windows-gebruikers zich wapenen tegen de aanval door Protected View in te schakelen. Standaard staat die feature uit. Op OS X en Linux is die beveiligingsfeature niet beschikbaar; beveiligingsexperts raden gebruikers van die besturingssystemen aan om geen documenten van onbekenden te openen of een andere pdf-lezer te gebruiken.

Reacties (45)

Ik wordt een beetje update moe van adobe, om de haverklap staat er een update klaar (zoals voor flash) om vervolgens zonder toestemming een anti virus mee te sturen ( er valt op meerdere forums te lezen dat er standaard opt-in is en er geen vink is om de McAfee antivirus niet te installeren, ik zag bij de update ook geen vink staan!!). Dus ik heb al mijn adobe apps omgeruild naar andere software of update uitgeschakeld. (flash is nu nog de enige van adobe, kan niet wachten op html5).
Persoonlijk vind ik foxit reader een beter alternatief, en als je windows 8 hebt hoef je geen reader te downloaden (zit standaard in pro neem aan ook in andere versies).

Update beleid adobe

[Reactie gewijzigd door D0gtag op 18 februari 2013 11:22]

Waarom deze week? Dit moet toch onmiddellijk verholpen worden en niet "in de loop van de week"? Beetje lui van Adobe, als ik vrijuit mag spreken. Ik gebruik zelf al jaren een ander programma om PDF te lezen, vooral omdat de Adobe versie erg traag opstart naar mijn mening.

Met de snelheid van Adobe heb ik al lange tijd geen problemen meer (zelfs niet als ik de starthelper uitschakel) maar dat Adobe niet binnen 5 minuten een fix presenteert is natuurlijk niet bijzonder.

Zoals al lang bekend is, is het bij alle grote softwarebedrijven noodzakelijk dat er tijd zit tussen het ontdekken van het lek en het uitbrengen van een patch. Onderzoek uitvoeren, aanpassingen maken, aanpassingen testen, implicaties in kaart brengen (breekt de patch niet iets anders dat voorheen wel werkte), etc.

Interne procedures en gestroomlijnde processen (klinkt zweverig) maken dat een en ander wat sneller doorlopen zou kunnen worden maar "in the end" is er gewoon wat tijd nodig en kun je niet de eerste beste codeaanpassing naar miljoenen gebruikers uitrollen en "hopen op het beste".

Het advies van de experts "om geen PDF's te lezen van onbekendend" vind ik echter een wassen neus. Ik denk dat 90% van de PDF's van internet afkomt, en dat is per definitie onbekend. In bedrijfssituaties zal het percentage lager liggen maar nog steeds voldoende hoog om het uitvoeren van het advies een onwerkbare situatie op te laten leveren .

[Reactie gewijzigd door Eagle Creek op 18 februari 2013 09:18]

Ik kreeg de update een uurtje geleden binnen.

Onmogelijk omdat hij nog niet beschikbaar is, dit is de plek om in de gaten te houden;
ftp://ftp.adobe.com/pub/adobe/reader/win/11.x/

Versie 9 wordt volgens mij en versie 10 zeker weten nog ondersteund door Adobe, dus neem aan dat deze ook gefixt worden, tenzij ze niet kwetsbaar zijn?

Omdat je nu eenmaal niet zomaar even een patch schrijft op een uurtje en deze vervolgens de wereld in stuurt.
Hier hangen processen aan vast die moeten gevolgd worden om o.a. de kwaliteit te borgen.

En wat dat traag opstarten betreft, vroeger was dat inderdaad zo, maar dat hebben ze toch al een aantal jaar geleden flink verbeterd. Test het nog maar eens uit

Edit: is reactie op KoploperMau

[Reactie gewijzigd door aCCuReRaS op 18 februari 2013 08:32]

En wat dat traag opstarten betreft, vroeger was dat inderdaad zo, maar dat hebben ze toch al een aantal jaar geleden flink verbeterd. Test het nog maar eens uit

Dat hebben ze ook alleen maar verholpen door middel van een opstartproces waardoor Adobe Reader voor een groot deel al bij het opstarten van je computer wordt ingeladen.

Juist ja, die 2 of 3 seconden extra opstarttijd zijn wel dramatisch...

Veel mensen hadden vorige week carnavalverlof.

Inderdaad, een bijna alle Adobe-medewerkers zitten in Limburg, Brazilie en Nordrhein-Westfalen.

Protected view == sandboxing volgens de link naar Adobe uit het artikel...

Protected view == sandboxing volgens de link naar Adobe uit het artikel...

Maar het is protected mode wat ze hebben omzeild, niet protected view. Twee verschillende dingen.

Protected mode = beveiliging voor adobe reader in de browser.
Protected view = beveiliging voor adobe reader stand alone.

Als je dit wil wijzigen via registry moet je op 2 verschillende plaatsen wijzigingen maken:

Protected mode (volgens mij standaard aan): HKEY_CURRENT_USER\Software\Adobe\Acrobat Reader\11.0\Privileged\bProtectedMode
0=uit, 1=aan

Protected view (volgens mij standaard uit): HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Adobe\Acrobat Reader\11.0\FeatureLockDown\iProtectedView
0=uit, 1=bestanden vanuit onveilige locaties, 2=alle bestanden

Handig om te weten voor het beheren van een omgeving.

Adobe PDF Reader lijdt al jaren onder beveiligingslek na beveiligingslek.
Ik snap niet waarom dit nog steeds dé standaard PDF reader voor veel mensen is, terwijl er alternatieven met veel minder risico zijn.

Door Adobe PDF Reader geïnstalleerd te hebben is het voldoende om een website te bezoeken die een gemanipuleerde PDF inlaad, bijvoorbeeld via een besmet banner-netwerk. Dus zelfs als je "veilig surft" kun je een virus oplopen, puur door deze software geïnstalleerd hebben staan.

Even een (waarschijnlijk) domme vraag: maar wat is een goed alternatief (enkel voor read, zo licht mogelijk)?

Windows/Linux: Google Chrome
Pros:
- Geen extra software (mits je Chrome als browser gebruikt)
- Bevat alleen wat nodig is, bekijken/zoomen/printen/ctrl+f.

Cons:
- Geen paging
- Geen positie wordt onthouden bij refresh (handig als je papers schrijft in LaTeX), dit zit overigens maar in weinig pdf viewers

OSX: Preview, bevat alles wat ik nodig heb gehad en zit standaard bij OSX.

De Chrome PDF viewer print niet altijd correct. Het gebeurt regelmatig dat pdf exports van DB entries of excel bestanden niet correct worden geprint in de Chrome PDF viewer terwijl Adobe viewer wel correct print.
Hier op mijn werk gebruiken we ook Foxit PDF viewer en die print ook correct.

PDF-XChange Viewer:
http://www.tracker-software.com/product/pdf-xchange-viewer

Zelf heb ik goede ervaring met Foxit Reader; dat gaat hier standaard op alle PCs.. . Licht, snel en compleet met browser-integratie..

Sumatra PDF
http://blog.kowalczyk.inf...apdf/free-pdf-reader.html

Ik gebruik Nitro Reader al lange tijd naar tevredenheid (ooit overgestapt van Foxit reader)

[Reactie gewijzigd door Timfonie op 18 februari 2013 08:57]

Akkoord.

Ik begrijp het hele Adobe verhaal ook niet:
- waarom moet je in een PDF reader een sandbox hebben?
- waarom heb je in een PDF reader zoveel security bugs?
- waarom moet een PDF reader 50MB wegen (Foxit doet het met 15, PDF X-change met 19)

De enige functie die het ding moet kunnen is PDFs op het scherm weergeven. Als we dan nog een feature bij willen dan kun je forms invullen erbij aanvinken.
Nee, mij krijg je het niet uitgelegd. Ik ben dan ook al een tijdje over.

Niet alleen Adobe heeft dit, maar ook bijvoorbeeld Foxit. Binnen het PDF formaat kan bijvoorbeeld javascript worden opgeroepen. Dit is de reden dat er een sandbox mode is. De sandbox isoleert alle 'write' acties. Dit maakt het lastiger om malware etc. te installeren.

Microsoft Office 2013 heeft ook native PDF lees mogelijkheden. (dus mocht je die al hebben...)

Op OS X gebruik je toch preview op pdf's te bekijken? Althans ik heb nog nooit Adobe reader gebruikt op een Mac.

Dat geldt trouwens ook voor Linux, althans in Mint. Daar open je pdf gewoon met document viewer.
Ik heb op de windows bak in de browser A Reader verwijderd. Ik werk met de Pro versie, en het naast elkaar hebben van die twee programmas werkt niet lekker.

Klopt op Linux heb je doorsnee de adobe reader niet nodig.
Tenzij je een PDF krijgt met bepaalde beveiligingstroep erin zoals het UWV stuurd

Die document viewer is Evince, er is daarvan ook een wondowsversie.

hij werkt op Windos op dezelfde manier, en je kan veel meer aanpassen wat je wel en niet wil

Klopt, is eigenlijk ook helemaal niet nodig om die Adobe reader te installeren op OSX, OSX bied al heel veel ondersteuning aan voor PDF's. Je kan standaard al alles opslaan als PDF en je kan PDF's ook openen en zelfs mergen e.d.

Adobe heeft al jarenlang problemen met de beveiliging van hun producten; vnl Adobe Flash en Adobe Reader. Ik snap niet dat zo'n groot bedrijf al die jaren nodig heeft om hun policy op orde te krijgen. Zelfs Microsoft doet het (veel) beter na alle problemen begin vorig decennium.

Momenteel haal ik bij familie of vrienden op een verse Windows 7 alles van Adobe Flash en Reader eraf, deinstalleer Java, en raad aan om Chrome en een alternatieve PDF reader te gebruiken. Dat in combinatie met een goede virusscanner maakt zaken al wat veiliger. Hoewel ik slecht op de hoogte ben van Windows security.. (OSX is mijn main os).

Wel bijzonder dat hier niet iedereen roept: "Ik gooi de Reader van mijn PC en ga voor wat anders.", terwijl bij Java een hoop mensen wel roepen Java eraf te willen gooien.

Op mijn werk kan ik Adobe Reader er niet afgooien, dat is zo'n beetje het enige programma dat ze via policies beveiligd hebben. Maar dat weerhoudt mij er niet van om gewoon een alternatieve reader naast Adobe reader te installeren Al was het maar omdat Adobe Reader altijd crashed als ik iets naar de printer wil sturen

DE oplossing voor alle Adobe producten is heel simpel. Gebruik een alternatief.

Helaas is dat niet bij alle Adobe producten zo makkelijk.. voor het veelgebruikte Flash / Shockwave is er zover ik weet (helaas ) geen alternatief beschikbaar..

Er zijn zeker wel alternatieven, zoals bijvoorbeeld Gnash. Deze kunnen de meeste videospelers in flash wel draaien. Veel dingen werken helaas echter ook niet, maar het is een begin.

Er zijn zeker wel alternatieven, zoals bijvoorbeeld Gnash. Deze kunnen de meeste videospelers in flash wel draaien. Veel dingen werken helaas echter ook niet, maar het is een begin.

En dus raad je het Jan met de Pet niet aan! Wat ik meestal doe is een programma als PSI installeren met automatische update functionaliteit. Vangt de meeste outdated software redelijk af. Het gebeurd wel eens dat het niet helemaal goed gaat, maar dat is weer af te vangen door de gebruiker een korte instructie te geven. De meeste mensen nemen dit ter harte en mijn ervaring is dat het 9/10x goed gaat.

Is de oplossing op je werk niet gewoon heel simpel. Geen dubieuze websites bezoeken en alleen eigen pdf's en pdf's van betrouwbare klanten/bedrijven openen.

En een virusscanner op de pc is ook niet nodig zeker? Als je maar geen dubieuze websites bezoekt en alleen betrouwbare documenten en applicaties start?

Ik snap opmerkingen als jij neer zet niet. Stel dat ik vandaag een upgrade wil doen van Exchange en ik Google voor meer informatie dan is mijn eerste hit een website welke ik niet ken. Is deze site dan betrouwbaar, omdat deze als eerste binnen Google naar voren komt. Of is deze niet betrouwbaar, omdat ik hem niet ken?

En wat als een nog voor mij onbekend bedrijf een RFP stuur naar mijn mail in PDF formaat. Ga ik deze dan niet openen, omdat ik de klant niet ken? Ga ik de potentiele klant een mail sturen of ze het document in een ander document kunnen sturen ivm een lek en Adobe?

Het is niet van te voren vast te stellen welke documenten/websites wel of geen gevaar opleveren. Het is naief zo te denken. Het gaat in 99,9% van de gevallen goed, maar net die 0,1% waarneer het fout gaat is het probleem.

[Reactie gewijzigd door SirDarkAngel op 18 februari 2013 13:09]

Misschien slimmer om een los extra programma te gebruiken als sandbox in plaats van het in elk programma in te bouwen.
Zeker als die implementatie lek is.
Zoiets als SELinux of AppArmor dus, (ok dat zijn niet echt losse programma's maar maken het wel veiliger).

[Reactie gewijzigd door Soldaatje op 18 februari 2013 08:26]

Zou dit beveilingsprobleem het mogelijk maken om alleen specifiek de sandbox behorend bij Adobe Reader te omzeilen, of ook algemene sandbox omgevingen zoals Sandboxy? Dat laatste hoop ik toch niet.

Op Linux gebruik ik de ingebouwde document viewer en op Windows maak ik gebruik van de PDF viewer van Firefox, gebaseerd op HTML en Javascript geloof ik. Java gedeinstalleerd, alleen flash is helaas nog geen vervanger voor.

Ik werd de Abobe updates zat en heb maar Google Chrome als default PDF reader ingesteld

Gelukkig brengt Google nooit een update uit voor Chrome

Voordeel is natuurlijk dat Chrome de update wel op de achtergrond uitvoerd.