Archivio » 2006 » settembre » martedì 19 »

Sicurezza: Acrobat vulnerabile? No, è il Web a esserlo!

Scritto da Guido Sintoni

Un ricercatore inglese dimostra come le funzioni orientate al Web e alla rete del popolare prodotto di casa Adobe possano essere usate come efficace vettore d’attacco. Non è un allarme, ma un suggerimento a pensare sistemi di blocco più efficaci

Gli exploit, ovvero codici maligni rilasciati per sfruttare vulnerabilità note? Superati. Gli zero day exploit, ovvero gli stessi codici che si riferiscono a falle non ancora corrette (per fissare le idee, quelle che sistematicamente si presentano all’inizio del mese in vari componenti di Microsoft Office)? Troppo difficili da ricercare.

State sicuri David Kierznowski, un ricercatore inglese, è partito da questi presupposti per realizzare un interessante esperimento con Adobe Acrobat (Reader e Professional), uno dei software più diffusi sul pianeta, e dimostrare che alcune sue funzioni, opportunamente usate, permettono di compiere sul sistema che lo ospita un buon numero di operazioni potenzialmente pericolose.

Due sono le proof of concept (che abbiamo scelto di non pubblicare, ma che sono facilmente reperibili sul Web): la prima è una backdoor che sfrutta semplicemente un link a un file Pdf. Una volta aperto il documento, il browser dell’utente viene lanciato in automatico e punta verso il link contenuto nel documento stesso. L’indirizzo richiamato può contenere qualsiasi codice, che viene eseguito senza tanti complimenti (e soprattutto, senza nessun avviso).

Anche la seconda è una backdoor e si riferisce ad Adobe Professional: sfrutta la connettività ai database nonché il supporto ai Webservice per fare (potenzialmente) danni. Il risultato? Per il ricercatore, c’è “la possibilità di accedere a una base dati interna mediante un semplice browser Web”. Uno scenario, questo, che potrebbe preoccupare molte aziende.

Non è un atto di accusa contro Adobe: il ricercatore sostiene infatti che “Il futuro degli exploit è nel Web, tanto più che molti utenti interni hanno una relazione di fiducia con la rete circostante”. E quindi? Se Adobe ha promesso con le consuete dichiarazioni ufficiali un’analisi attenta del caso (già: ma a noi gli exploit hanno funzionato correttamente), l’auspicio è che Adobe stessa, e magari i vendor che realizzano prodotti aperti al Web (come il già citato Microsoft Office, ad esempio) realizzino qualche controllo più restrittivo per l’accesso fuori dall’applicazione sul desktop.