Sistemate 17 magagne di Adobe Acrobat e Reader, ma è meglio disabilitare Javascript lo stesso

L’articolo è stato aggiornato dopo la pubblicazione iniziale.

Il 29 giugno scorso Adobe ha rilasciato un aggiornamento di Adobe Reader e Acrobat, i popolari programmi di lettura e generazione di documenti in formato PDF installati sul 90% dei computer. L’aggiornamento corregge 17 vulnerabilità documentate e attivamente sfruttate per attacchi che riguardano gli utenti Windows, Mac e UNIX.

Fra le falle turate c’è (almeno secondo Adobe) quella descritta dal ricercatore di sicurezza Didier Stevens ad aprile scorso, che permetteva di infettare un computer inducendo l’utente semplicemente ad aprire un documento PDF appositamente confezionato. Ma un altro ricercatore, il vietnamita Le Manh Tung, ha scoperto che il rattoppo è aggirabile semplicemente mettendo le virgolette intorno al comando ostile usato per infettare il computer della vittima. Questa falla, quindi, rimane aperta, anche se diventa più difficile ingannare la vittima, ma si chiudono le altre.

L’aggiornamento porta Reader e Acrobat alla versione 9.3.3 per Windows, Macintosh e UNIX. Per gli utenti Windows e Mac che non possono aggiornarsi alla versione 9.3.3, esiste un aggiornamento della versione 8, denominata 8.2.3. Le falle sono considerate critiche e Adobe raccomanda agli utenti di aggiornare il proprio software. La procedura di aggiornamento è di norma automatica.

Nonostante la raffica di rattoppi, alcuni esperti consigliano di disattivare comunque Javascript in questi due programmi, perché le vulnerabilità recenti hanno come elemento ricorrente comune proprio il Javascript, che in Reader e Acrobat è abilitato per default. Meglio non correre rischi, anche perché è raro usare Javascript in questo modo. Disabilitarlo è semplice: si va nelle preferenze di ciascun programma, si sceglie la categoria Javascript e si clicca sulla casella di abilitazione del Javascript in modo da far sparire il suo segno di spunta. Infine si clicca su OK per attivare le nuove impostazioni.

Un PDF può diventare un worm

Mi sa che è ora di riscrivere la regola 11 del mio piccolo dodecalogo. Non mi lamento: ha retto benino per quasi sette anni, che in informatica sono un’eternità. Ma il consiglio di usare PDF come formato di scambio sicuro di documenti sta diventando una trappola.

The Register segnala che Didier Stevens, ricercatore di sicurezza, ha dimostrato che è possibile annidare codice ostile eseguibile – un virus, insomma – all’interno di un documento PDF. Aprendo un documento del genere con Adobe Reader, normalmente compare una finestra di dialogo che chiede all’utente se vuole procedere, ma Stevens è riuscito a manipolarne il testo in modo che inganni buona parte degli utenti. Disabilitare Javascript è inutile e non è possibile rimediare aggiornando Reader, perché secondo Stevens non si tratta di una vulnerabilità, ma soltanto di un uso “creativo delle specifiche del linguaggio PDF”. Sono disponibili un video e un PDF dimostrativo.

Stevens ha già condiviso la propria scoperta con Adobe, nella speranza che venga trovata una soluzione. I programmi alternativi di lettura di documenti PDF non se la cavano meglio: fino a pochi giorni fa, Foxit Reader non visualizzava nessun avviso (il problema è stato corretto con la versione 3.2.1, rilasciata il primo d’aprile, secondo questa comunicazione).

Il problema è appunto che l’esecuzione di applicazioni e di Javascript e l’invio di dati a un URL (quindi, per esempio, a un sito Internet) fa parte delle specifiche del formato PDF (tabella 198 delle specifiche stesse, segnalata da F-Secure).

Jeremy Conway di NitroSecurity ha rincarato la dose, partendo dalla segnalazione di Stevens e dimostrando come sia possibile infettare un documento PDF in modo che infetti tutti gli altri PDF del computer e della rete locale (per esempio quella aziendale) in modo invisibile all’utente: un documento PDF diventa insomma un worm. Lo spiegone e il video sono qui su Sudosecure.net (nome quanto mai azzeccato, visto che questa magagna farà sudare di sicuro molti utenti).

Che fare? In attesa che i produttori di software di lettura dei documenti PDF trovino una soluzione, F-Secure consiglia di non aprire i documenti PDF sul proprio computer, ma di visualizzarli tramite servizi come Google Documenti: un’operazione automatizzabile mediante plug-in per i browser, come gPDF (usabile in Chrome, Opera, Firefox e Iron, che è una variante meno ficcanaso di Chrome/Chromium) per i documenti PDF che trovate online, oppure usando un programma di lettura di PDF poco diffuso, sulla base del principio che un programma poco conosciuto sarà oggetto di minore interesse da parte degli aggressori. Conway suggerisce invece l’uso di un programma di lettura minimalista, che non supporti le funzioni avanzate delle specifiche PDF.

Come dargli torto: l’errore di fondo è che l’evoluzione delle specifiche PDF ha snaturato il formato, che era nato per consentire la visualizzazione universale di documenti ma ora ha trasformato i documenti in file eseguibili. Sarò un informatico vecchio stile, ma non mi sembra eccessivo o retrogrado chiedere che un documento resti un documento e non si travesta da programma, visti i rischi che ne derivano. In altre parole, less is more: avere meno funzioni significa avere più sicurezza.

Acrobat e Reader di nuovo fallati e da aggiornare

È passato poco più di un mese dall’ultimo aggiornamento di Adobe Acrobat e Reader, popolarissimi programmi per la generazione e lettura di file PDF, ed è già ora di aggiornarli ancora, sia che usiate Windows, sia che usiate Mac o UNIX. Get Safe Online segnala infatti che c’è una vulnerabilità definita “critica” in Adobe Reader 9.3 per Windows, Mac e Unix, in Adobe Acrobat per Windows e Mac, e in Adobe Reader 8.2 e Acrobat 8.2 per Windows e Mac.

Il bollettino di sicurezza di Adobe aggiunge che c’è anche un’altra falla che può far andare in crash l’applicazione e potrebbe consentire a un aggressore di prendere il controllo del computer interessato.

Adobe consiglia agli utenti di queste versioni dei suoi prodotti di aggiornarsi rispettivamente alle versioni 9.3.1 e 8.2.1, utilizzando la funzione di aggiornamento automatico di questi programmi oppure scaricando manualmente l’aggiornamento di Reader nelle rispettive versioni Windows, Mac e UNIX e di Acrobat per Windows (Standard/Pro, Pro Extended, 3D) e Mac.