83692

Sicherheitsbedenken gegen Adobe Reader

06.05.2009 | 15:36 Uhr |

Mehrere Sicherheitsfachleute kritisieren Adobe dafür, dass Javascript in dessen PDF-Betrachter enthalten und standardmäßig aktiviert ist und auch nicht wirksam abgeschaltet werden kann.

Der Adobe Reader ist die Standardanwendung zum Anzeigen von PDF-Dateien, auch wenn es inzwischen etliche Alternativen dazu gibt. Adobes PDF-Viewer ist daher auch eines der beliebtesten Angriffsziele von Online-Kriminellen. Sicherheitsfachleute kritisieren, die Unterstützung von Javascript im Adobe Reader biete eine Angriffsfläche, die besonders in Unternehmen zu Problemen führe.

Erik Cabetas, Sicherheitsfachmann bei einem New Yorker Online-Shop, gibt zu bedenken, dass die von Adobe als Vermeidungsstrategie empfohlene Deaktivierung von Javascript im Adobe Reader nicht wirklich funktioniere. Sie führe lediglich dazu, dass Adobe Reader eine Dialogbox öffnet, die den Anwender darauf hinweist, dass Javascript benötigt wird.

Dies geschieht, sobald ein Benutzer eine PDF-Datei öffnen will, die etwa Formularfelder enthält. Der Anwender wird aufgefordert Javascript für diese Datei zu aktivieren. Wählt er "Nein", wird er unter Umständen mehrfach hintereinander gefragt. Er kann auch ankreuzen, dass er nicht wieder danach gefragt werden will.

Cabetas berichtet, er habe ein Script geschrieben, das in seinem Unternehmen Javascript im Adobe Reader auf allen Rechnern abschaltet. Die Folge sind Nachfragen einiger Anwender, ob sie auf "Ja" klicken dürfen - die meisten Anwender klicken jedoch ohne Nachfrage schon aus Gewohnheit auf "Ja" ohne über mögliche Sicherheitsrisiken nachzudenken.

Randy Abrams vom tschechischen Antivirushersteller ESET schlägt in die gleiche Kerbe. Die Angriffsfläche, die mit der Einführung von Javascript im Adobe Reader entstanden sei, könne mit alten Versionen von Microsoft Office vergleichen werden, schreibt Abrams im Blog des Unternehmens. Microsoft habe aus den zahllosen Vorfällen mit Makro-Viren gelernt und die Ausführung von Autostart-Makros inzwischen wirksam unterbunden. Adobe müsse das erst noch lernen.

Bereits im März hatte Adobe Sicherheits-Updates bereit stellen müssen, um einige Schwachstellen zu beseitigen, die von Angreifern aktiv ausgenutzt werden. In der letzten Woche sind zwei weitere Sicherheitslücken bekannt geworden, die mittels Javascript in präparieren PDF-Dateien ausgenutzt werden können. Adobe hat angekündigt am 12. Mai Sicherheits-Updates bereit stellen zu wollen.

Erst kürzlich hatte der Antivirushersteller F-Secure empfohlen den Adobe Reader nicht mehr als PDF-Betrachter zu verwenden und auf alternative Programme auszuweichen. Hierbei kommen etwa der kostenlos erhältlich Foxit Reader oder Sumatra PDF in Betracht, weitere Gratis-Programmen finden Sie auf der Website pdfreaders.org . Allerdings unterstützt auch Foxit Reader Javascript in PDF-Formularen - die Einstellungen bieten jedoch keine Option Javascript zu deaktivieren. Sumatra hingegen unterstützt kein Javascript.

0 Kommentare zu diesem Artikel
83692