Специалисты ACROS Security выпустили временный патч, устраняющий опасную уязвимость в Adobe Reader, которая предоставляла злоумышленникам возможность похитить NTLM-хэши.
Данная уязвимость (пока ей не присвоен идентификатор CVE) позволяет PDF-документу автоматически отправлять SMB-запрос на сервер сразу после того, как документ будет открыт. SMB-протокол позволяет приложению или пользователю получить доступ к файлам на удаленном сервере. SMB-запросы включают NTLM-хэши (NT LAN Manager), которые атакующие могут выкрасть. Кроме того, уязвимость позволяет злоумышленнику узнать, когда пользователь просмотрел документ.
Уязвимость затрагивает последнюю версию Adobe Reader DC (2019.010.20069) и, как полагают исследователи, ей могут быть подвержены предыдущие релизы ПО.
Уязвимость была обнаружена исследователем безопасности Алексом Инфюром (Alex Inführ) в конце января 2019 года. Он также опубликовал PoC-код для ее эксплуатации.
Выявленная проблема была схожа с ранее описанной CVE-2018-4993 в элементе PDF-документов, позволявшей автоматическую загрузку другого PDF-файла с удаленного общедоступного ресурса. Adobe исправила данную проблему, добавив предупреждение при попытке документа отравить запрос к удаленной общедоступной папке.
В отличие от CVE-2018-4993, эксплуатирующей запись /F для удаленной загрузки файлов, новая уязвимость использует возможность загрузки удаленных XML-таблиц стилей через SMB-запросы. Что интересно, при загрузке XML-таблиц по протоколу HTTP отображается соответствующее уведомление, однако при использовании UNC-пути предупреждение не выдается.
Временный патч добавляет предупреждение при загрузке таблиц стилей через UNC, когда документ пытается получить доступ к файлу в сети. По словам представителей Adobe, компания планирует выпустить официальный патч на этой неделе.
Источник: securitylab.ru
