Confirmation d'une vulnérabilité critique dans Adobe Reader et Acrobat

Depuis près de trois semaines, nombreux sont les experts en sécurité informatique à être sur le qui-vive, dans l'attente de la confirmation d'une vulnérabilité découverte par Petko D. Petkov et affectant notamment le lecteur PDF Adobe Reader, très répandu en milieu professionnel. Andrew Storms de nCircle Network, a par exemple déclaré que les quelques éléments d'information qu'il avait en sa disposition l'inquiétaient au plus haut point car la faille supposée n'intéressait pas, comme cela a pu être cas par le passé, une version spécifique d'Adobe Reader, et était due à un problème architectural inhérent à la façon dont les fichiers PDF sont lus. Des craintes plus ou moins avérées avec la récente publication d'un bulletin d'alerte émis par Adobe.

Cette faille est donc devenue une certitude et selon l'éditeur américain, elle affecte Adobe Reader, Adobe Acrobat Standard, Profesional et Elements dans leurs versions 8.1 et inférieures ainsi que Adobe Reader 3D. Adobe ne propose pour l'heure aucun correctif mais assure qu'une mise à jour pour les produits concernés sera disponible d'ici à la fin du mois d'octobre. En attendant et même si aucun exploit n'est encore remonté à la surface, un palliatif est proposé et consiste à désactiver le protocole mailto directement via les options des applications inscrites dans la base de registre Windows et plus exactement Windows XP.

En effet, la vulnérabilité a été rapportée dans les produits précédemment cités et ce sous Windows XP avec de surcroît le navigateur Internet Explorer 7 installé, ce qui constitue un peu la norme actuelle. Elle résulte d'une erreur présente au niveau du traitement d'arguments envoyés par l'intermédiaire de certains protocoles URI à l'instar de mailto. Petkov a ainsi indiqué qu'un attaquant distant peut prendre le contrôle d'un système vulnérable en incitant l'utilisateur pris pour cible à ouvrir un document PDF spécialement conçu, depuis ou à travers une page Web piégée.

Evidemment, le fait que l'exploitation de ladite vulnérabilité que l'on pourrait qualifier de type URI, nécessite la présence d'Internet Explorer 7, amène inévitablement à se poser des questions sur la responsabilité de Microsoft dans cette affaire, qui a connu des précédents similaires avec Firefox par exemple, ou encore Skype. L'installation de la dernière mouture du navigateur Web phare de Redmond sous XP implique des changements dans la manipulation de certains URI par le système et ces changements posent apparemment des problèmes à plusieurs applications en les rendant potentiellement vulnérables. Microsoft semble toutefois considérer pour l'instant que c'est aux applications tierces à s'adapter à cet environnement légèrement remanié.

Mots clés : adobe pdf reader, faille pdf, windows xp microsoft, uri