L'implementazione da parte di Adobe di una nuova sandbox (modalità protetta) nella versione più recente del suo software PDF Reader lascia un significativo "rischio residuo" da sfruttare per gli hacker.
Secondo Chris Greamo, ricercatore di Invincea, il sandbox di Adobe Reader X è sicuramente un passo nella giusta direzione, ma lui sostiene che l'implementazione non impedirà agli attacchi di accedere a parti sensibili di un computer compromesso.
[Il] diavolo sta nella progettazione e nell'implementazione. La modalità protetta è un'implementazione sandbox chirurgica che prende di mira le vulnerabilità più gravi in alcuni componenti principali, vale a dire il renderer di Reader e il suo motore Javascript. La modalità protetta migliorerà la sicurezza di Reader contro determinati tipi di attacchi, ovvero quegli attacchi che sfruttano il motore di rendering e tentano di installare malware o monitorare i tasti premuti dall'utente. Gli stessi ingegneri Adobe elencano le limitazioni della modalità protetta, tra cui:
- La modalità protetta non impedisce l'accesso in lettura non autorizzato al file system o al registro.
- La modalità protetta non limiterà l'accesso alla rete.
- La modalità protetta non impedirà la lettura o la scrittura negli appunti.
- Leggere ed estrarre dati dal registro e/o dal file system dell'utente
- Attaccare altre macchine e dispositivi sulla rete
- Utilizzare Reader come trampolino di lancio per eseguire altri exploit contro il sistema host, inclusi exploit contro i servizi del kernel
La sabbiera, incluso in Adobe Reader X, è simile alla sandbox di Google Chrome e alla modalità di visualizzazione protetta di Microsoft Office 2010. Basato sulla tecnica Practical Windows Sandboxing di Microsoft, è attivato per impostazione predefinita e visualizza tutte le operazioni in un file PDF in modo molto limitato.
La prima implementazione sandbox isola tutte le chiamate di "scrittura" su Windows 7, Windows Vista, Windows XP, Windows Server 2008 e Windows Server 2003. Adobe sostiene che ciò ridurrà il rischio di exploit che cercano di installare malware sul computer dell’utente o di modificare in altro modo il file system o il registro del computer. In un futuro rilascio, la società prevede di estendere la sandbox per includere attività di sola lettura per proteggersi dagli aggressori che cercano di leggere informazioni sensibili sul computer dell’utente.
Greamo di Invincea ritiene che le esposizioni residue lasciate dalla modalità protetta di Adobe siano "significative" e possano essere affrontate solo da un soluzione più completa che limita gli attacchi contro tutti i componenti di Reader, le librerie condivise che utilizza, il kernel e il rete.
"Con il rilascio di Adobe Reader X, ci aspettiamo di vedere le nuove vulnerabilità presentate da questo codice aggiuntivo che verranno scoperte e sfruttate dalla comunità BlackHat", ha aggiunto.