- 21 January 2007
- 21,651
Adobe CS5.1 win&mac vulnerable to TIFF exploit (leads to arbitrary code execution)
Adobe CS5.1 win&mac vulnerable to TIFF exploit (leads to arbitrary code execution)
http://www.securityfocus.com/bid/52634/info
Adobe Photoshop is prone to a use-after-free memory-corruption vulnerability.
Attackers may exploit this issue to execute arbitrary code in the context of the user running the affected application.
Adobe Photoshop CS5.1 (version 12.1) is vulnerable; other versions may also be affected.
http://www.adobe.com/support/security/bulletins/apsb12-11.html
Solution
Adobe has released Adobe Photoshop CS6 (paid upgrade), which addresses these vulnerabilities. For users who cannot upgrade to Adobe Photoshop CS6, Adobe recommends users follow security best practices and exercise caution when opening files from unknown or untrusted sources.
http://www.protekresearchlab.com/index.php?option=com_content&view=article&id=40&Itemid=40
Όπως θα παρατηρήσετε υπάρχει και Proof of Concept Code.
Τρύπες και προβλήματα υπάρχουν παντού δεν είναι εκεί το θέμα.
Το θέμα είναι η λύση που προσφέρει η Adobe 180 μέρες αφού έχει μάθει για το πρόβλημα.
Η λύση δεν είναι κάποιο Patch
Αλλά το upgrade σε CS6, με ότι *κόστος* έχει αυτό.
Δηλαδή όλοι όσοι χρησιμοποιούν CS5.1 θα μείνουν με μια τρύπα ανοιχτή ΚΑΙ με μια συμβουλή:
Μην ανοίγετε TIFF από άλλες πηγές καθώς αυτά μπορεί να είναι ύποπτα και να κολλήσετε οτιδήποτε μπορείτε να φανταστείτε.
Φυσικά μέρος της δουλειάς του οποιουδήποτε γραφίστα είναι να ανταλλάσει αρχεία με τους συνεργάτες του … οπότε η συμβουλή αυτή είναι εντελώς κουφή.
Κρίμα για την αντιμετώπιση αυτή από την Adobe που είχε άλλωστε 180 μέρες στη διάθεσή της για να σκεφτεί τι να κάνει για τους πελάτες της.
Με το παραπάνω Proof of Concept, είναι δυνατή η κατασκευή οτιδήποτε τύπου κακόβουλου λογισμικού μπορείτε να φανταστείτε ο οποίος θα τρέξει στο pc/mac σας απλά ανοίγοντας ένα tiff αρχείο.
Οκ άρα θεωρήστε ότι η Adobe μας προειδοποίησε: upgrade , ή μην ανοίγετε Tiff από άλλες πηγές.
Adobe CS5.1 win&mac vulnerable to TIFF exploit (leads to arbitrary code execution)
http://www.securityfocus.com/bid/52634/info
Adobe Photoshop is prone to a use-after-free memory-corruption vulnerability.
Attackers may exploit this issue to execute arbitrary code in the context of the user running the affected application.
Adobe Photoshop CS5.1 (version 12.1) is vulnerable; other versions may also be affected.
http://www.adobe.com/support/security/bulletins/apsb12-11.html
Solution
Adobe has released Adobe Photoshop CS6 (paid upgrade), which addresses these vulnerabilities. For users who cannot upgrade to Adobe Photoshop CS6, Adobe recommends users follow security best practices and exercise caution when opening files from unknown or untrusted sources.
http://www.protekresearchlab.com/index.php?option=com_content&view=article&id=40&Itemid=40
Όπως θα παρατηρήσετε υπάρχει και Proof of Concept Code.
Τρύπες και προβλήματα υπάρχουν παντού δεν είναι εκεί το θέμα.
Το θέμα είναι η λύση που προσφέρει η Adobe 180 μέρες αφού έχει μάθει για το πρόβλημα.
Η λύση δεν είναι κάποιο Patch
Αλλά το upgrade σε CS6, με ότι *κόστος* έχει αυτό.
Δηλαδή όλοι όσοι χρησιμοποιούν CS5.1 θα μείνουν με μια τρύπα ανοιχτή ΚΑΙ με μια συμβουλή:
Μην ανοίγετε TIFF από άλλες πηγές καθώς αυτά μπορεί να είναι ύποπτα και να κολλήσετε οτιδήποτε μπορείτε να φανταστείτε.
Φυσικά μέρος της δουλειάς του οποιουδήποτε γραφίστα είναι να ανταλλάσει αρχεία με τους συνεργάτες του … οπότε η συμβουλή αυτή είναι εντελώς κουφή.
Κρίμα για την αντιμετώπιση αυτή από την Adobe που είχε άλλωστε 180 μέρες στη διάθεσή της για να σκεφτεί τι να κάνει για τους πελάτες της.
Με το παραπάνω Proof of Concept, είναι δυνατή η κατασκευή οτιδήποτε τύπου κακόβουλου λογισμικού μπορείτε να φανταστείτε ο οποίος θα τρέξει στο pc/mac σας απλά ανοίγοντας ένα tiff αρχείο.
Οκ άρα θεωρήστε ότι η Adobe μας προειδοποίησε: upgrade , ή μην ανοίγετε Tiff από άλλες πηγές.