Difetti di protezione critici della patch in Adobe Reader e Acrobat

Come annunciato in precedenza, Adobe ha rilasciato un aggiornamento out-of-band per Reader e Acrobat che risolve le vulnerabilità rivelate alla conferenza sulla sicurezza di Black Hat il mese scorso. L'aggiornamento è valutato come critico e dovrebbe essere applicato immediatamente ai sistemi interessati.

In base a un post sul blog PSIRT (Adobe Product Security Incident Response Team), "Gli aggiornamenti risolvono problemi di sicurezza critici nei prodotti, incluso CVE-2010 -2862 discusso in occasione della recente conferenza sulla sicurezza e vulnerabilità di Black Hat USA 2010 affrontata nell'aggiornamento di Adobe Flash Player del 10 agosto, come indicato nel bollettino sulla sicurezza APSB10-16, che consiglia agli utenti di applicare gli aggiornamenti per le installazioni dei loro prodotti. "

Adobe anche ha sottolineato che non è a conoscenza di alcun exploit in natura per nessuno dei problemi affrontati in questo bollettino sulla sicurezza e che questa versione non influisce sulla data del prossimo aggiornamento trimestrale pianificato, che rimane il 12 ottobre 2010.

[Ulteriori letture: Come rimuovere il malware dal PC Windows]

Apparentemente, in passato ho erroneamente corretto l'ambito del ciclo di aggiornamento trimestrale. Un portavoce di Adobe mi ha contattato per chiarire il processo di Adobe, spiegando che "il ciclo di aggiornamento trimestrale è specifico per Adobe Reader e Acrobat." Gli altri team di prodotto di Adobe collaborano con il team di Adobe per la protezione del software (ASSET) per fornire aggiornamenti appropriati. il ciclo di patch per Adobe Reader e Acrobat. "

Andrew Storms, Director of Security Operations per nCircle, ha commentato il bollettino Adobe. "Adobe ha sicuramente migliorato il meccanismo di rilascio, questa volta ha inviato una comunicazione in cui affermava che avrebbe consegnato una patch fuori banda. Purtroppo, dal primo annuncio, la data esatta per la versione è cambiata, lasciando i team di sicurezza aziendali grattarsi teste ", aggiungendo" l'iniziale incapacità di Adobe di fornire una data di rilascio esatta lasciano molti utenti a sentirsi nauseati riguardo al loro ciclo di rilascio del rilascio. "

Storms ritiene inoltre che i dettagli e le indicazioni di Adobe lasciano un po 'a desiderare" Adobe ancora ha una lunga strada da percorrere nel fornire dettagli utili con i loro bollettini sulla sicurezza, soprattutto rispetto ad altri fornitori. Come al solito, questo manca di dettagli utili e informazioni di mitigazione. "

Come notato da Storms, Adobe sta migliorando. Il portavoce di Adobe ha commentato "data l'ubiquità relativa e la portata multipiattaforma di molti dei nostri prodotti, in particolare i nostri clienti, Adobe ha attirato e probabilmente continuerà ad attirare l'attenzione degli autori di attacchi. le pratiche e i processi di ingegneria del software di sicurezza nella creazione dei nostri prodotti e la risposta ai problemi di sicurezza e la sicurezza dei nostri clienti sarà sempre una priorità fondamentale per Adobe. "

L'implementazione all'inizio di quest'anno di un'utilità di aggiornamento per automatizzare le patch per i prodotti Adobe, unito agli sforzi per creare ulteriori misure di sicurezza come il sandboxing nelle versioni future del prodotto, e gli sforzi di Adobe di collaborare direttamente con Microsoft e i principali fornitori di sicurezza per migliorare la sicurezza del prodotto e ridurre il tempo necessario per sviluppare patch critiche dimostrano l'impegno di Adobe nei confronti della sicurezza. > Speriamo che in futuro Adobe fornirà maggiori dettagli sulle specifiche dei difetti e su come possono fare p essere sfruttato in modo ottimale, oltre a mitigazioni che possono prevenire attacchi invece di applicare l'aggiornamento. Gli amministratori IT necessitano di tali informazioni per consentire un'adeguata analisi dei rischi e fornire mezzi alternativi di protezione contro l'exploit in attesa di implementazione dell'aggiornamento, o nei casi in cui un sistema non può essere riparato per qualche motivo.

Per ora, ti consiglio di applicare gli aggiornamenti di Adobe Reader, Acrobat e Flash su tutti i sistemi vulnerabili prima che gli sviluppatori di malware recuperino e inizino a sfruttare queste vulnerabilità.

Segui TechAudit su Twitter.