Jugée critique, la faille découverte en septembre dernier sur le format PDF permettait l'exécution de code malveillant. Adobe publie tout juste un correctif.
Mise à jour (le 23 octobre 2007)
Le risque était tel que le hacker à l'origine de la découverte de la vulnérabilité préconisait aux internautes prudents de ne plus ouvrir de PDF... Pourtant, il aura fallu plus d'un mois pour qu'un patch corrigeant la faille soit publié.

Celle-ci pouvait provoquer l'exécution de code malveillant sur un PC. Et ce simplement en cliquant sur une URL menant à un fichier PDF compromis. L'erreur s'exécutait sous Windows XP et Internet Explorer 7. En l'occurrence, le système d'exploitation et le navigateur de Microsoft seraient à l'origine de la faille.

C'est pourtant Adobe, et non Microsoft, qui met à disposition un correctif, au travers d'une mise à jour d' Acrobat Reader . Il ne concerne que les versions 8.1 du lecteur et non les précédentes.

Première publication le 21 septembre 2007

Une faille critique dans les documents PDF

Une vulnérabilité permet l'exécution de code sous Windows XP. La seule solution proposée pour le moment est radicale : ne plus ouvrir de PDF.

Le hacker Petko D. Petkov vient de déceler une vulnérabilité qu'il juge lui-même à haut risque. Ainsi, l'ouverture d'un fichier PDF sous Windows XP autorise l'exécution de code malicieux.

Pour l'instant, la faille a été testée pour les plates-formes Windows XP SP2 et Windows Vista, avec Adobe Reader 7/8.0/8.1 et Internet Explorer 7. Avec la première, la vulnérabilité a été démontrée et les fichiers intégrés dans les pages Web sont également affectés. Les PC sous Windows Vista, en revanche, ne sont pas concernés.

Il ne faut ne plus ouvrir de fichiers PDF

La faille a été confirmée par les équipes d'Adobe. Un correctif n'est pas disponible pour l'instant. Petko D. Petkov suggère, en attendant, de ne plus ouvrir de fichiers PDF. Un conseil qui sera difficile à suivre étant donné la large diffusion de ce format.

Le hacker n'a pas expliqué en détail le fonctionnement de cette faille, pour ne pas contribuer à son exploitation. Il livre, néanmoins, une vidéo de démonstration où l'ouverture d'un fichier PDF compromis génère automatiquement l'ouverture de la calculatrice Windows.

Il y a quinze jours, le même hacker avait déjà découvert une faille importante dans les fichiers vidéo Quicktime, qui, lancés dans Firefox ou Internet Explorer, permettent l'exécution de codes malicieux. Pour l'instant, seule la fondation Mozilla a proposé un correctif de son navigateur.

Source: www.01net.com

---