Laut McAfee, das in einem Blog vor dem Sicherheitsleck warnt, sind alle Versionen der PDF-Software inklusive Reader XI (11.0.2) von dem Sicherheitsleck betroffen. Das Unternehmen hatte den Fehler bei einer Untersuchung ungewöhnlicher PDF-Dateien entdeckt.
Das Problem tritt demnach auf, wenn ein Nutzer mithilfe einer JavaScript-API einen in einer PDF-Datei eingebetteten Link zu einer Adresse im Netzwerk oder im Internet aufruft. Normalerweise erscheint dann ein Warnhinweis.
Durch einen zusätzlichen Parameter lässt sich McAfee zufolge aber das Verhalten der Programmierschnittstelle verändern. Wenn der externe Link nicht existiert, öffnet sich keine Meldung. Stattdessen werden im Hintergrund bestimmte Informationen verschickt, unter anderem der Speicherort der PDF-Datei und die IP-Adresse des Systems.
“Ist das ein ernstes Problem? Nein, wir wollen es nicht überbewerten”, schreibt McAfee-Mitarbeiter Haifei Li. “Trotzdem betrachten wir den Fehler als eine Sicherheitslücke. Entsprechend haben wir Adobe informiert und warten auf ihre Bestätigung und einen Patch. Außerdem halten wir die Schlüsseldetails der Anfälligkeit geheim, um Nutzer von Adobe Reader zu schützen.”
Die Schwachstelle lasse sich beispielsweise ausnutzen, um für zielgerichtete Angriffe benötigte Daten auszuspähen. “Im ersten Schritt werden oft Informationen über das Opfer gesammelt und dieser Fehler öffnet die Tür.” Durch den Aufruf anderer PDF-JavaScript-APIs sei es möglich, weitere Informationen zu erhalten. Die Lücke werde bereits aktiv ausgenutzt.
Haifei empfiehlt, bis zur Veröffentlichung eines Patches JavaScript in Adobe Reader zu deaktivieren. Die Funktion lässt sich in den Voreinstellungen unter dem Punkt “JavaScript” abschalten.
Durch eine Sicherheitslücke in Adobe Reader lässt sich unter anderem der Speicherort von PDF-Dateien ausspähen. McAfee hat den zugehörigen Traffic analysiert (Bild: McAfee).
[mit Material von Stefan Beiersmann, ZDNet.de]
Tipp: Wie sicher sind Sie bei der Sicherheit? Überprüfen Sie Ihr Wissen – mit 15 Fragen auf silicon.de
Assistenzsysteme unterstützen Monteure bei der Arbeit. Zu oft zahlt man jedoch mit den eigenen Daten…
Hersteller werden stärker in die Pflicht genommen, den gesamten Lebenszyklus ihrer Produkte in den Blick…
LLMs besitzen einerseits innovative neue Fähigkeiten, stellen Unternehmen allerdings auch vor diverse Herausforderungen: ob EU…
Server-Ausbau in den USA und China macht große Fortschritte, deutscher Weltmarktanteil sinkt. Lichtblicke in Frankfurt…
Der Markt für Workplace Services gerät in Bewegung. Das bestmögliche digitale Nutzererlebnis gilt als Schlüssel…
Schutz für 10.000 Postfächer über rund 200 Domains: Private-Stack-Variante kombiniert Vorteile einer Cloud-Lösung mit Sicherheit…
