首頁 -> 安全研究

安全研究

緊急通告
綠盟科技緊急通告(Alert2010-03)

NSFOCUS安全小組([email protected])
http://www.nsfocus.com

Adobe Reader和Acrobat TIFF圖像處理緩沖區溢出漏洞

發布日期:2010-02-22

CVE ID:CVE-2010-0188,CVE-2006-3459
BUGTRAQ ID:38195

受影響的軟件及系統:
====================
Adobe Acrobat < 9.3.1
Adobe Acrobat < 8.2.1
Adobe Reader < 9.3.1
Adobe Reader < 8.2.1

未受影響的軟件及系統:
======================
Adobe Acrobat 9.3.1
Adobe Acrobat 8.2.1
Adobe Reader 9.3.1
Adobe Reader 8.2.1

綜述:
======
Adobe Reader和Acrobat是目前極為流行的文檔查看工具,其支持的PDF格式文檔已經成為事實上的文檔發布標準,被大量的企業組織所采用。Adobe Reader和Acrobat在處理文檔中包含的TIFF圖像數據時存在嚴重安全漏洞,遠程攻擊者可能利用此漏洞通過誘使用戶打開惡意的PDF文檔在用戶系統上執行任意指令,最終控制用戶系統。

分析:
======
Adobe Reader和Acrobat采用的開源TIFF圖像解析庫libtiff實現上存在緩沖區溢出漏洞,遠程攻擊者可能利用此漏洞通過誘使用戶打開處理包含惡意TIFF圖像的PDF文檔在用戶系統上執行任意指令。此漏洞是一個老漏洞(CVE-2006-3459)在Adobe產品中的重現,相關的技術細節在幾年前已經公布,從技術上說是一個典型的堆棧溢出問題,可以得到非常穩定的利用,因此極大地提升了威脅程度。

攻擊者可以通過在網頁中加入到惡意PDF文件的鏈接誘使用戶點擊,瀏覽器在處理鏈接時可能會調用默認注冊的Adobe Reader或Acrobat進行處理,從而觸發漏洞。攻擊者也有可能把惡意PDF文件通過電子郵件直接發送給攻擊目標而執行針對性的攻擊。

此漏洞的技術細節已經公開,出現可用的利用代碼或工具只是時間問題,同時由于Adobe Reader和Acrobat極大的流行程度,很有可能出現針對此漏洞的攻擊,因此此漏洞所造成的總體威脅不可忽視。

解決方法:
==========
* 禁止瀏覽器自動打開PDF文檔。
* 確信PDF文檔的來源可靠,不打開來源不明的文檔。

廠商狀態:
==========
目前廠商已經發布了安全公告并提供安全補丁修復此漏洞,我們強烈建議使用此軟件的用戶升級到8.2.1或者9.3.1以免受此漏洞的影響。用戶可以在Adobe Reader和Acrobat的幫助->檢查更新中手工進行在線更新,也可以參考廠商公告手工下載并安裝更新:

http://www.adobe.com/support/security/bulletins/apsb10-07.html

附加信息:
==========
1. http://www.uaeogq.live/vulndb/14512
2. http://secunia.com/blog/76
3. http://www.adobe.com/support/security/bulletins/apsb10-07.html

聲 明
==========

本安全公告僅用來描述可能存在的安全問題,綠盟科技不為此安全公告提供任何保證或承諾。由于傳播、利用此安全公告所提供的信息而造成的任何直接或者間接的后果及損失,均由使用者本人負責,綠盟科技以及安全公告作者不為此承擔任何責任。綠盟科技擁有對此安全公告的修改和解釋權。如欲轉載或傳播此安全公告,必須保證此安全公告的完整性,包括版權聲明等全部內容。未經綠盟科技允許,不得任意修改或者增減此安全公告內容,不得以任何方式將其用于商業目的。

關于綠盟科技
============

綠盟科技(NSFOCUS Co., Ltd.)是中國網絡安全領域的領導企業,致力于網絡和系統安全問題的研究、高端網絡安全產品的研發、銷售與網絡安全服務,在入侵檢測/保護、遠程評估、 DDoS攻擊防護等方面提供具有國際競爭能力的先進產品,是國內最具安全服務經驗的專業公司。有關綠盟科技的詳情請參見: http://www.nsfocus.com

© 2019 綠盟科技
重庆时时彩计划准不准 跑马精准计划 江苏快三预测专家 河北十一选五开奖号 7k7k小游戏捕鱼王 北京pk拾彩票改20分钟 重庆时时彩走势图 时时彩二星和值规律 内蒙古11选5开奖规则 老快3遗漏号36o 最新电玩导航 东京时时彩一天多少期 幸福西饼月饼赚钱吗