Przedstawiciele Google tłumaczą, że jeszcze w czerwcu zgłosili pracownikom Adobe 46 błędów w Readerze. Gdy przed kilkoma dniami koncern opublikował zaktualizowaną wersję tej aplikacji, okazało się, że usunięto z niej tylko 25 zgłoszonych przez nich problemów (w wydaniu dla Linuksa nie załatano żadnego błędu) - dlatego też panowie zdecydowali się na wywarcie wpływu na Adobe poprzez udostępnienie informacji o lukach, które nie zostały usunięte.

Jurczyk i Coldwind udostępnili informacje na temat 16 luk, które umożliwiają krytyczne zawieszenie aplikacji w Windows i Mac OS X. Dla bezpieczeństwa dane te zostały częściowo zaciemnione (obfuskowane) - po to, by przestępcy nie mogli wykorzystać ich do odtworzenia błędu i wyprodukowania exploitów.

Zobacz również:

• Użytkownicy Androida mogą się wkrótce zdziwić
• Microsoft i Quantinuum twierdzą, że otworzyły nowy rozdział w rozwoju komputerów kwantowych

Dodajmy, że to standardowe działanie pracowników Google’a - zgodnie z firmowymi zasadami, dali oni autorowi dziurawej aplikacji 60 dni na rozwiązanie problemu. Skoro mimo upływu tego terminu część problemów pozostała niezałatana, informacje na ich temat zostały upublicznione.

Przedstawiciele Google tłumaczą, że choć Adobe już poinformował ich, że błędy zostaną usunięte w kolejnej aktualizacji Readera, to ich zdaniem czas oczekiwania na poprawki jest zbyt długi. "Nie mamy co prawda podstaw by sądzić, że wykryte przez nas luki są już wykorzystywane przez przestępców do atakowania użytkowników, ale sądzimy, że skuteczne exploity da się wyprodukować bez większych problemów. Zagrożenie jest realne, bo skoro wydania dla Windows i Mac OS X zostały zaktualizowane, a w wersji linuksowej błąd nie został usunięty, to na podstawie łat dla Windows ktoś może odtworzyć błąd i przygotować exploita. Uznaliśmy, że w tej sytuacji najlepszym rozwiązaniem będzie poinformować użytkowników o zagrożeniu" - napisali Jurczyk oraz Coldwind.

Ich zdaniem, najprostszą metodą zabezpieczenia się przed ew. atakiem jest obecnie ograniczenie do minimum korzystania z Adobe Readera lub zupełne zrezygnowanie z tej aplikacji do czasu udostępnienia wszystkich poprawek. Rozsądnym krokiem będzie również migracja z Adobe Leadera 9.x do wersji X (w której zastosowano dodatkowe funkcje zabezpieczające, m.in. tzw. sandbox).