Adobe lapper først PDF-sårbarhed i januar

Computerworld News Service: Der går hele fire uger, inden Adobe vil rette den nyeste sårbarhed i virksomhedens PDF-software, trods det, at angrebs-kode allerede er udsendt.

I en opdatering til den sikkerhedsvejledning, virksomheden udsendte tirsdag, fortæller Adobe, at sikkerhedsopdateringerne vil blive udsendt 12. januar 2010, hvilket svarer til den næste skemalagte, kvartårlige opdaterings-dag for Adobe Reader og Adobe Acrobat.

Størstedelen af sikkerhedsvejledningen bestod af en bekræftelse af fejlen - som virksomheden første gang afslørede eksistensen af mandag - og en vejledning i, hvordan man blacklister det JavaScript-opkald, der indeholder fejlen.

Andre sikkerhedseksperter anbefaler brugerne at slå JavaScript helt fra i Reader og Acrobat, indtil Adobe får løst problemet.

Adobes plan om at opdatere i næste måned betyder, at de fleste brugere vil være i farezonen indtil da. Der er allerede blevet udviklet en brugbar, om end ikke helt pålidelig, 'exploit' til sårbarheden.

HD Moore, skaberen af det open source-baserede Metasploit-rammeværk til penetrations-test og sikkerhedschef for sikkerhedsfirmaet Rapid7, fortalte i går, at han havde udviklet en angrebskode til Reader/Acrobat 0-dagssårbarheden.

"Det lykkedes os at lave en exploit hurtigere, end jeg havde regnet med," lød det fra ham i en e-mail til Computerworld i går. "Den er nu tilgængelig via Metasploits online opdaterings-feature."

Hackere er allerede i gang