PDF-Attacke ohne Exploit

Allerdings muss der Nutzer in einer Dialogbox zustimmen, dass er die Ausführung des Codes genehmigt. Der Angreifer kann jedoch zumindest teilweise den Inhalt dieser Dialogbox selbst bestimmen. Über so genanntes social Engineering ließe sich der Anwender täuschen, so dass er der Ausführung des Codes zustimmt, erklärt Conway in einem Blog. Weitere Informationen zu dem Hack gibt es hier.

Bei diesem Angriff werde kein JavaScript verwendet und auch kein “verrücktes Zero-Day”-Leck ausgenutzt, betont Conway. Vielmehr liege die Sicherheitslücke in dem Programm selbst. Die Update-Funktion für inkrementelle Updates kann als Angriffs-Vektor verwendet werden, so der Sicherheitsforscher.

Der belgische Sicherheitsforscher Didier Stevens hat vor einigen Tagen ebenfalls vor diesem Leck gewarnt. Stevens konnte über einen komplexen Script-Prozess in einem PDF ein Kommando ausführen. Adobe und Foxit Software prüfen derzeit die Attacken und versuchen einen Weg zu finden, das Sicherheitsrisiko zu minimieren.

Adobe bestätigte inzwischen die von Didier Stevens aufgezeigte Möglichkeit des Missbrauchs. Diese Funktionalität sei ein “Beispiel für eine mächtige Funktion, die eben auch Risiken beinhaltet, wenn sie falsch gebraucht wird. Die Meldung, die Adobe Reader und Adobe Acrobat ausgibt, warnt in deutlichen Worten, Dokumente nur dann zu öffnen und auszuführen, wenn sie aus einer vertrauenswürdigen Quelle stammen.

Auch Foxit Software bemühe sich um eine bestmögliche Sicherheit und werde in Kürze mit einer neuen Version das Problem beheben, teilt das Unternehmen mit.

Silicon-Redaktion

Recent Posts

Bau-Spezialist Schöck: Migration von SAP ECC ERP auf S/4HANA

Bau- und Fertigungsspezialist investiert in die S/4HANA-Migration und geht mit RISE WITH SAP in die…

2 Tagen ago

Pure Storage: Cloud, KI und Energieeffizienz

Trends 2025: Rasante Entwicklungen bei Automatisierung, KI und in vielen anderen Bereichen lassen Unternehmen nicht…

3 Tagen ago

GenKI verbessert Datenmanagement und Angebotsgenauigkeit

DHL Supply Chain nutzt generative KI-Anwendungen für Datenbereinigung und präzisere Beantwortung von Angebotsanforderungen (RFQ).

4 Tagen ago

Rolls-Royce Power Systems nutzt industrielle KI aus der IFS Cloud​

Marke mtu will globale Serviceabläufe optimieren und strategische Ziele hinsichtlich Effizienz, Nachhaltigkeit und Wachstum unterstützen.

4 Tagen ago

Thomas-Krenn.AG: viele Pflichten, knappe Ressourcen, mehr freie IT-Welt

IT-Infrastruktur-Trends 2025: Open-Source-Projekte sowie aufwändige regulatorische und Pflichtaufgaben werden das Jahr prägen.

4 Tagen ago

Stadt Kempen nutzt Onsite Colocation-Lösung

IT-Systeme werden vor Ort in einem hochsicheren IT-Safe betrieben, ohne auf bauliche Maßnahmen wie die…

5 Tagen ago