Uitschakelen JavaScript helpt niet bij PDF-gat

Adobe is nog altijd spaarzaam met details over het beveiligingslek in de PDF-software. Het bedrijf laat nu wel weten dat alleen het uitschakelen van JavaScript niet helpt. Die stap werd aangeraden als tijdelijke maatregel tegen misbruik.

Daarnaast is er een patch van een derde partij verschenen. De behoefte aan deze noodoplossingen is volgens experts groot. Het gat is namelijk ernstig, er is al malware voor. Er doen bijvoorbeeld al malafide PDF-bestanden met ingebouwde Trojans de ronde. En leverancier Adobe komt pas op 11 maart met patches. Die zijn dan voor de PDF-applicaties Adobe Reader 9 en Acrobat 9. Patches voor oudere versies volgen later.

De applicatieleverancier meldt dat het uitzetten van JavaScript weliswaar beschermt tegen huidige exploitcode, maar dat daarmee het gat zelf niet is afgedekt. "De kwetsbaarheid bevindt zich niet in de scripting engine. Het uitschakelen van JavaScript elimineert dus niet alle risico's", blogt het Product Security Incident Response Team van Adobe. Security-bedrijf Secunia heeft zelfs al een methode gevonden om dit gat te misbruiken zonder JavaScript.

Toch neemt Adobe geen andere maatregelen. Het verwijst wel naar security-bedrijven, wiens producten zijn bijgewerkt om deze dreiging te detecteren en onderscheppen. Security-leveranciers krijgen hiervoor informatie van Adobe, en doen ook eigen onderzoek.

Externe analyses van de PDF-dreiging voor Adobe's software zijn echter beperkt. Niet alleen is de maker de enige met de broncode van de kwetsbare producten, het ontbreekt ook nog aan details over de zwakke plek. Het security-team van Adobe meldt wel dat de fout niet in de engine voor JavaScript zit, maar vertelt er niet bij waar het dan wel aan ligt.

Diverse beveiligingsexperts en hackers stellen dat de beste verdediging juist het delen van informatie is. Die mening staat meestal haaks op de houding van leveranciers, die details over security-kwesties juist onder de pet willen houden. Zulke informatie zou de malwaremakers namelijk helpen, zo luidt het argument van de 'stilhouders'. Het bestaan van malware meteen na de ontdekking van een gat - en ruim voor de beschikbaarheid van informatie of patches - ontkracht dat echter.

Bron: Webwereld.nl

Bron: Techworld