Adobe, bug zero-day in Flash, Acrobat e Reader

Problemi di sicurezza per Adobe, che annuncia sul proprio sito ufficiale di aver rintracciato un bug piuttosto importante in tre dei principali software appartenenti al proprio catalogo di applicazioni: il riproduttore di contenuti multimediali sul web Flash ed i programmi per la gestione di documenti Acrobat e Reader. Ad essere coinvolti sono un pò tutti i sistemi operativi per cui Adobe sviluppa tali software, con diverse versioni afflitte dal bug.

Per quanto riguarda Flash, ad essere interessata è la versione 10.2.152.33 per Windows, Linux, Mac e Solaris, oltre che la 101.106.16 per Android. La stessa falla sembra essere presente nella libreria authplay.dll, distribuita insieme ad Adobe Acrobat e Reader X, in particolare nelle versioni 9.x e 10.x degli stessi software. Per quanto grave, il bug è stato seguito da un solo exploit: inviando un documento Excel contenente al suo interno un file in formato Flash opportunamente realizzato è possibile mandare in crash il sistema operativo o addirittura prenderne completamente il controllo.

Roel Schouwenberg, importante ricercatore Kaspersky, ha etichettato tale problema come «il classico esempio di come troppe funzionalità possano essere nocive». Schouwenberg non riesce infatti a trovare alcuna utilità nel supporto ai file Flash in Excel, invitando Microsoft ad inserire un sistema che permetta agli utenti di disabilitare alcune funzionalità superflue. Non mancano poi le critiche nei confronti di Adobe, che secondo il ricercatore dovrebbe integrare i propri strumenti esclusivamente con applicazioni in cui passono essere effettivamente utili.

Il team di sicurezza Adobe è al momento al lavoro per porre rimedio al problema: la promessa è quella di rilasciare un aggiornamento entro il 21 marzo che permetta di arginare la falla. L’utilizzo di una modalità protetta in Reader X per Windows permette però agli sviluppatori di procedere con maggiore calma: in tale circostanza l’utilizzo di un exploit in grado di sfruttare tale bug risulta particolarmente complicato, per cui l’aggiornamento relativo a tale software sarà distribuito nel mese di giugno.