|
|
Vulnérabilité combinée pour le couple PDF/IE7
Par Ludovic Blin,
secuobs.com
Le 23/10/2007
Résumé : La combinaison d’une « fonction » mal sécurisée de Windows, utilisée par le lecteur PDF, et d’un bug présent dans le navigateur de Microsoft permet la compromission d’un utilisateur par un simple clic sur un lien. - Lire l'article
Parfois plusieurs bugs qui, pris séparément, peuvent être considérés comme présentant peu de risques, peuvent finalement entraîner des conséquences fortement nuisibles lorsqu’ils sont combinés.
C’est le cas de la récente faille PDF, publiée au début du mois sur le blog GNUCitizen.org. Celle-ci permet de lancer un exécutable depuis un fichier PDF, via la commande ShellExecute de Windows. Le comportement normal voulu par les développeurs est de permettre l’ouverture par exemple d’un lien mailto par un document PDF. On peut cependant se demander tout d’abord si une telle fonction, qui ne requiert pas de clic de l’utilisateur, est réellement nécessaire par défaut. D’autant plus que le lecteur d’Adobe n’inspectait pas consciencieusement l’URI envoyée à Windows par l’intermédiaire de cette fonction. Hors, sur les systèmes Windows XP doté d’Internet Explorer 7, le code traitant cette URI a été modifié, et ne valide pas suffisamment le paramètre transmis, entraînant la possibilité de lancer un exécutable depuis un document PDF. Précisons que seul le lecteur PDF externe à Internet Explorer est vulnérable, et non le composant Active X permettant de lire un document à l’intérieur du navigateur.
Mais un second bug peut être utilisé en même temps, de manière à forcer l’ouverture du lecteur externe lorsque l’utilisateur clique sur un fichier PDF. Ce problème est du à un problème de filtrage des extensions de fichier. Précisons que le même type de bug était également présent dans IE6SP2.
Après avoir publié des instructions permettant de se protéger de cette vulnérabilité au début du mois, Adobe a mis en ligne la version 8.1.1 du lecteur PDF, remédiant à ce problème. Microsoft devrait publier également prochainement une mise à jour de son système pour mettre fin à ce souci également.
Il est donc conseillé aux utilisateurs du couple IE7/Windows XP de mettre à jour leur lecteur PDF. Les utilisateurs de Vista ne sont pas affectés par ce problème.
La nouvelle version de PDF :
lien
L’alerte de Microsoft :
lien
L’alerte de Adobe :
lien
La vulnérabilité permettant d’ouvrir un fichier PDF sans passer par le composant ActiveX :
lien
lien
- Article suivant : Des spams au format MP3
- Article précédent : [Sécurité avec Microsoft Internet Explorer – Partie 7] Crédits & références
- Article suivant dans la catégorie Failles : Une porte dérobée de la NSA dans un standard du NIST sur les générateurs de nombres aléatoires ?
- Article précédent dans la catégorie Failles : Les gadgets de Vista pratiques mais risqués
| Mini-Tagwall des articles publiés sur SecuObs : | | | | sécurité, exploit, windows, attaque, outil, microsoft, réseau, audit, metasploit, vulnérabilité, système, virus, internet, usbsploit, données, source, linux, protocol, présentation, scanne, réseaux, scanner, bluetooth, conférence, reverse, shell, meterpreter, vista, rootkit, détection, mobile, security, malicieux, engineering, téléphone, paquet, trames, https, noyau, utilisant, intel, wishmaster, google, sysun, libre |
| Mini-Tagwall de l'annuaire video : | | | | curit, security, biomet, metasploit, biometric, cking, password, windows, botnet, defcon, tutorial, crypt, xploit, exploit, lockpicking, linux, attack, wireshark, vmware, rootkit, conference, network, shmoocon, backtrack, virus, conficker, elcom, etter, elcomsoft, server, meterpreter, openvpn, ettercap, openbs, iphone, shell, openbsd, iptables, securitytube, deepsec, source, office, systm, openssh, radio |
| Mini-Tagwall des articles de la revue de presse : | | | | security, microsoft, windows, hacker, attack, network, vulnerability, google, exploit, malware, internet, remote, iphone, server, inject, patch, apple, twitter, mobile, virus, ebook, facebook, vulnérabilité, crypt, source, linux, password, intel, research, virtual, phish, access, tutorial, trojan, social, privacy, firefox, adobe, overflow, office, cisco, conficker, botnet, pirate, sécurité |
| Mini-Tagwall des Tweets de la revue Twitter : | | | | security, linux, botnet, attack, metasploit, cisco, defcon, phish, exploit, google, inject, server, firewall, network, twitter, vmware, windows, microsoft, compliance, vulnerability, python, engineering, source, kernel, crypt, social, overflow, nessus, crack, hacker, virus, iphone, patch, virtual, javascript, malware, conficker, pentest, research, email, password, adobe, apache, proxy, backtrack |
|
|
|
|
|
