Nueva versión de Adobe Acrobat/Reader 8 corrige graves vulnerabilidades conocidas desde hace meses

dobe Acrobat y Adobe Acrobat Reader son programas para visualizar o crear archivos PDF, desde hace tiempo estándar de facto en la visualización de documentos y desde hace poco estándar oficial ISO 19005-1:2005.

Adobe Reader y Acrobat 8.1.2 y anteriores sufren ocho problemas de seguridad. Adobe publicó ayer la versión 8.1.3 que los soluciona. La rama 9 no se ve afectada.

De los ocho problemas, varios son fallos no especificados que podrían permitir la ejecución de código. Uno de los más graves se da en la función JavaScript "util.printf", provocado por un error al procesar cadenas de formato. Adobe fue advertida del problema en abril de este mismo año. Foxit Reader, otro popular lector de PDF, también sufría una vulnerabilidad muy parecida. Foxit lo solucionó un mes después, en abril, mientras que Adobe publicó ayer la solución.

Otro problema se da en el control ActiveX NOS Microsystems getPlus Downloader, un componente que sufre un desbordamiento de memoria intermedia conocido desde mayo. También el problema en la función getCosObj se le notificó entonces y ha sido corregido ahora.

Diferentes fallos en la funciones AcroJS y getCosObj fueron notificados en enero y mayo respectivamente. Por último un error de límites que permite ejecución de código, fue notificado a Adobe en diciembre de 2007. Todos solucionados desde el día 4 de noviembre con la versión 8.1.3

Del fallo en la función util.prinft se han publicado todos los detalles técnicos, por lo que ya se ha hecho público un exploit que permite ejecutar código arbitrario con solo abrir un archivo PDF.

En varias ocasiones en el pasado además, Adobe Reader ha sido usado por las mafias informáticas como vector de ataque para infectar sistemas. Se han enviado archivos PDF a través de spam que permitían la ejecución y descarga de otro malware de forma inadvertida para el usuario.

Las vulnerabilidades están confirmadas para todas las versiones de la rama 8 del software anteriores a la 8.1.3

Se recomienda actualizar cuanto antes a la nueva versión disponible, según versión, desde: