Bản cập nhật của Adobe tiết lộ thông tin về lỗ hổng bảo mật trong phần mềm Adobe Reader

Adobe mới đây vừa phát hành một bản vá cho lỗ hổng bảo mật 0-day được phát hiện vào ngày 28/01/2019 trên các phiên bản dành cho hệ điều hành Windows mà MacOS của phần mềm Adobe Acrobat Reader.

Bản cập nhật của Adobe tiết lộ thông tin về lỗ hổng bảo mật trong phần mềm Adobe Reader - Cybersec365.org

Theo đó, lỗ hổng 0-day này (có mã hiệu CVE-2019-7089) được phát hiện bởi Alex Inführ - một nhà nghiên cứu bảo mật thuộc nhóm bảo mật Cure53 vào ngày 28/01/2019, ảnh hưởng đến tất cả các phiên bản của phần mềm Adobe Acrobat Reader DC. Tuy nhiên, trong bản cập nhật bảo mật định kỳ vào ngày 12/2/2019, Adobe đã phớt lờ và không phát hành bản vá cho lỗ hổng bảo mật này.

Được biết, lỗ hổng CVE-2019-7089 có thể cho phép các tập tin PDF chứa mã độc có thể liên lạc và gởi các giá trị NTLM hash (chuỗi băm dùng để xác thực người dùng của Windows) đến máy chủ của tin tặc dưới dạng các request SMB.

Trong bảng tin bảo mật APSB19-13 mới nhất, Adobe đã công bố thêm một lỗ hổng bảo mật có mã hiệu CVE-2019-7815 với mức độ nguy hiểm của lỗ hổng là "Nghiêm trọng".

Bản cập nhật của Adobe tiết lộ thông tin về lỗ hổng bảo mật trong phần mềm Adobe Reader - Cybersec365.org

Cũng trong bảng tin này, Adobe cũng công bố các phiên bản phần mềm bị ảnh hưởng bởi lỗ hổng và cập nhật bảng vá cho các phiên bản phần mềm đó.

Bản cập nhật của Adobe tiết lộ thông tin về lỗ hổng bảo mật trong phần mềm Adobe Reader - Cybersec365.org

Theo Mitja Kolsek, Giám đốc điều hành tại hãng bảo mật ACROS Security - Công ty đứng sau nền tảng 0patch đã phát hành bản vã lỗi này cho biết lỗ hổng 0day được phát hiện bởi Inführ có mã hiệu CVE 2019-7089 và CVE-2019-7815 đều tương tự nhau và đã được báo cáo bởi Check Point trong năm 2018:

This vulnerability, similar to CVE-2018-4993, the so-called Bad-PDF reported by CheckPoint in April last year, allows a remote attacker to steal user's NTLM hash included in the SMB request. It also allows a document to "phone home", i.e., to let the sender know that the user has viewed the document. Obviously, neither of these is desirable.

Nguồn: bleepingcomputer