LSH

Ob Panikmache oder sinnvoller Hinweis mag jeder für sich selbst beurteilen. Aber als Mahnung, nicht zu sorglos alles zu bestätigen, dient es allemal.


Quelle : http://wdrblog.de/joergschieb/archives/2...bepdf.html

Zitat:Freitag, 16.04.2010
Sicherheitslücke in Adobe Reader bereitet Experten Kummer

Datendiebe am Rechner

Die meisten denken reflexartig an Windows, Internet Explorer oder Outlook, wenn das Reizwort "Sicherheitslücke" fällt.

Verständlich. Allerdings weder gerecht noch sinnvoll. Denn auch andere Betriebssysteme und Programme haben Sicherheitslücken, manche sogar derart gravierende, dass sich die Fachwelt fragt: Wieso werden diese Lücken eigentlich nicht sofort gestopft?

Eine solche Lücke gibt es zum Beispiel in der aktuellen Version des Adobe PDF-Readers, der auf den allermeisten PCs installiert ist. Erstaunlicherweise ist der Adobe Reader ohnehin eine der Blog: löchrigsten Anwendungen überhaupt. Doch der PDF-Experte Didier Stevens hat ein Sicherheitsleck entdeckt und in seinem Blog veröffentlicht, das sehr bedenklich ist.

Eine "Launch Actions/Launch File" genannte Funktion im PDF.Format erlaubt - und das völlig offiziell! -, ein im PDF-Dokument eingebettetes Skript zu starten, sogar der Start eines beliebigen Programms auf der Festplatte ist möglich. Eigentlich fatal, denn so lassen sich nicht nur beliebige Programme auf der Festplatte starten und ausführen, sondern auch beliebiger Programmcode in einen PC einschleusen.

Zwar fragt der Adobe Reader nach, ob der Benutzer dem Starten der Anwendung zustimmen möchte. Das Problem ist allerdings, dass kaum ein Anwender die Brisanz der Nachfrage korrekt einzuordnen weiß. Die meisten User werden die nicht besonders gefährlich klingende Sicherheitsabfrage arglos bestätigen.

Was in der Sicherheitsmeldung erscheint, lässt sich teilweise sogar frei bestimmen. Klar, dass ein wirklich gefährliches Programm versuchen wird, möglichst harmlos auszusehen und zum Klicken auf "OK" zu motivieren. Wie einfach es ist, die User zu täuschen, hat das auf IT-Sicherheit spezialisierte Unternehmen Sophos demonstriert: Im Firmenblog gibt es ein Beispiel-PDF, das zeigt, wie so etwas aussehen kann.

Andere Sicherheitsunternehmen berichten, dass bereits entsprechend präparierte PDF-Dokumente im Internet kursieren, die diese Sicherheitslücke ausnutzen - und versuchen, einen Bot im System zu installieren, ein Programm, das die Fernsteuerung des PCs ermöglicht.

Ganz schön gefährlich, da eventuell installierte Sicherheits-Software wie Virenscanner oder Firewalls kaum in der Lage sind, hier etwas zu unternehmen oder auch nur misstrauisch zu werden.

Deshalb sind sich die meisten Sicherheitsexperten einig: Diese Lücke im PDF, die keine Sicherheitslücke im traditionellen Sinne ist, da es sich um keinen Programmierfehler handelt, wird mit Gewissheit in Zukunft oft ausgenutzt. Denn kaum ein Anwender vermutet in einem PDF-Dokument etwas Gefährliches - und fast jeder benutzt heute PDFs. Ein idealer Nährboden für Missbrauch.

Adobe stuft das Problem übrigens nicht als "kritisch" ein. Im Gegenteil: Eigentlich handele es sich dabei doch vielmehr um ein sinnvolles Feature, das nur durch missbräuchliche Verwendung zum Problem werde. Außerdem erhalte der Benutzer einen Warnhinweis und könne in einem Dialog reagieren.

Technisch gesprochen alles zutreffend. Praktisch gesehen allerdings ein fatales Herunterspielen des Sicherheitsproblems. Der Hersteller empfiehlt lapidar, unter dem Menüpunkt "Bearbeiten > Voreinstellungen > Berechtigungen" die Option "Nicht-PDF-Dateianlagen dürfen in externen Anwendungen geöffnet werden" zu deaktivieren, da sie standardmäßig eingeschaltet ist.

Da kann man wirklich nur den Kopf schütteln. Adobe sollte seiner Verantwortung schleunigst gerecht werden und das wirklich besorgniserregende Sicherheitsproblem beseitigen. Sofort.

Denn eins steht fest: Betrüger stürzen sich mit Vorliebe auf solche Sicherheitslecks. Die Funktion, die zu diesem eklatanten Problem führt, hat in einem PDF-Dokument in meinen Augen ohnehin nichts verloren. Man braucht sie in regulären PDF-Dokumenten schlichtweg nicht. Also deshalb: Weg damit. Im Interesse der Sicherheit.