Portada
mis comunidades
otras secciones
#7:
Por cierto, se me olvidó
tsdgeos@bluebox:~$ acroread
bash: acroread: command not found
Yo no soy vulnerable
tsdgeos@bluebox:~$ acroread
bash: acroread: command not found
Yo no soy vulnerable
Comentarios
Por cierto, se me olvidó
tsdgeos@bluebox:~$ acroread
bash: acroread: command not found
Yo no soy vulnerable
Hay que aclarar que el "todos" no es cierto, yo no uso el plugin de adobe, sólo el kpdf
#4 La actualización no resuelve el problema, ya que se requiere que todos los usuarios actualicen y eso no es posible. Primero porque llevará mucho tiempo que todo el mundo use la 8.0 y segundo porque sólo está disponible para Windows.
Así que sigue leyendo
estaba leyendo...
Solution
Download it to fix the issue http://www.adobe.com/products/acrobat/readstep2.html
Thanks to Adobe Psirt people, they where very kind and professional.
#8 Yo aun diria mas, todas las versiones de Acrobat Reader son terribles: tarda mil años en cargar, esta lleno de herramientas inecesarias, te instala basura en el ordenador, etc... Suerte que tenemos alternativas como Foxit.
En el mismo post de kriptoolis se ha añadido ahora una posible solución a emplear en httpd.conf de apache o en el .htaccess si no disponemos de acceso al httpd.conf
SetEnvIf Request_URI ".pdf$" requested_pdf=pdf
Header add Content-Disposition "Attachment" env=requested_pdf
Con esas dos líneas se obliga a que el PDF se baje y no se pueda ejecutar nada. Si administras alguna web y cuelgas pdf (creo que todo el mundo los tiene) ya estás tardando en parchear eso (de momento parece que se soluciona el problema).
He probado con Foxit y no se ejecuta al java.
pues yo uso KPDF, y mi navegador principal es el Konqueror. Cuando no va, uso el Firefox
http://www.foxitsoftware.com/pdf/rd_intro.php
Viva el sensacionalismo
Bajo los archivos con el famoso javascript y nada.
... ah espera, necesito que Júpiter este alineado con Saturno y dar un giro triple mortal para que funcione....
¿"todos"? "apaga y vámonos" mmm pues yo no, no todos usamos plugins adobe.
A esperar que saquen un parche, mientras navegaré muy asustado...
[/ironic]
#11 No hay sensacionalismo. Todos se refiere a todos los sitios web. Los usuarios sólo son afectados de rebote.
De este fallo sólo se libran los sitios que no albergan PDF. De ahí el "todos".
Repasa XSS.
http://www.disenchant.ch/blog/hacking-with-browser-plugins/34
¿Lo lógico no sería que los que se protegieran fueran los usuarios y no las webs?
Según lo veo yo, el fallo esta del lado del cliente, su plugin permite ejecución de código. Aunque parcheemos todas nuestras webs, seguirá habiendo millones que permitirán visualizarlo incrustado en el navegador.
#2 java != javascript http://www.ericgiguere.com/articles/javascript-is-not-java.html
UPDATE
Subsequent testing has shown that systems running Internet Explorer 6 and Acrobat 7 on Windows XP SP1, and systems with Internet Explorer 6 and Acrobat 4 on Windows XP SP2 are also vulnerable to the attack.
La versión 8 de Adobe Acrobat es terrible y muchas herramientas quedan escondidas.
Para aquellos que utilizamos el acroread puede venir bien la extensión Link Alert, que muestra un icono describiendo el tipo de documento al que apunta un enlace
https://addons.mozilla.org/firefox/3199/
Sólo afecta a sistemas windows. A usuarios de Linux y Mac no les afecta.
Esta vulnerabilidad afecta al plugin de Acrobat, por ende el que no lo tiene nada tiene q temer. Funciona en cualquier explorador (FF, Opera, IE, etc) con el plugin instalado. Parte de solución para los usuarios es actualizar a la version 8 (o mejor cambiar de plugin). Lo q parece pasarse bastante por alto es que los usuarios son parte del problema. Los grandes afectados son los sitios que alojan PDF ya que con este ataque se permite XSS con lo q podría ser aprovechado para instalar malware o hacer phishing. Algunas img del funcionamiento: http://seguinfo.blogspot.com/2007/01/hacking-con-browser-plugins.html
#15 Me sigue pareciendo sensacionalismo, tomando en cuenta que ese "todos" es mas bien "aquellos que" tienen dicho plugin instalado.
La solución más obvia para quienes usan ese plugin es usar la versión ya disponible del "derrochador de recursos adobe".
#9 Eso no soluciona el problema, ya que por culpa de las administraciones, ya que algunas páginas te obligan a acceder al contenido mediante el plugin para el explorador, imposibilitando la descarga.
Nota: esta vulnerabilidad solo afecta a Firefox y el plugin de Adobe.
http://www.symantec.com/enterprise/security_response/weblog/2007/01/when_pdfs_attack.html
#12 Ramen
Principio de Peter para el software: "todo software sin fallos, útil y adecuado a su función termina añadiendo funciones innecesarias hasta que por fín la gente deja de usarlo"