昨日アドビ社は、セキュリティアドバイザリでAdobe ReaderとAcrobatの更新について発表。リリース予定は10月13日木曜日。尚、同日はマイクロソフトのセキュリティ・パッチ・ディでもある。

ReaderとAcrobatには、PDFドキュメントの処理方法に脆弱性があり、セキュリティ上問題があると警告。悪意のあるPDFファイルをダウンロードすると、ハッカーはこの脆弱性を利用し、コードを実行、コンピュータの権限を掌握する可能性がある。

ハッカーはすでにAdobe PDFの脆弱性を利用しているとの報告もあるが、アドビ社は限定されたターゲット型攻撃であると主張している。パッチのない現状の利用は問題があるため、次の防衛策を実施すべきである。 防衛策は、次の通り：

1. このエクスプロイトの稼働にはJavaScriptが必要であり、JavaScriptをブロックすれば、攻撃を防ぐことが可能である。NoScriptは、Firefoxの拡張機能でJavaScriptをブロック可能である。アドビは、JavaScriptを使用しないエクスプロイトコードが作成されると警告しており、この方法だけに頼らないこと。
2. PDFファイルを一時的にブロックする。WatchGuard Fireboxを含むいくつかのゲートウェイデバイスは、拡張子を元にファイルをブロックすることが可能。
3. アンチウィルス（AV）ソフトウェアを使用し、最新の状態に保つ。アドビは、本件についてアンチウィルス（AV）とセキュリティベンダに連絡することを推奨しており、ベンダが本件に関するシグネチャを用意していることを期待する。

WatchGuardは、米国時間10月13日（木）にこれらの修正に関して、LiveSecurityとLiveSecurity Informerを通じて情報を公表する。

Corey Nachreiner, CISSP

【原文】
Upcoming Adobe Reader patch will fix zero day PDF vulnerability
http://www.watchguard.com/RSS/showarticle.aspx?pack=RSS.Reader.1009