Adobe 修復 Illustrator 重大漏洞

奧多比 (Adobe) 的 Acrobat 與 Acrobat Reader 在 2009 年 12 月被發現存有重大漏洞，預計將於下週針對此一弱點發表安全更新。

Adobe 於本週三 (1/6) 針對 Adobe Illustrator CS4(14.0.0) 與 Adobe Illustrator CSE（13.0.3 及更早之版本）的重大弱點，同時為 Windows 與 Mac 作業系統公佈一項安全更新。

此外，Adobe 表示，在 Adobe Reader 9.2 和 Acrobat 9.2 、 Adobe Reader 8.1.7 和 Acrobat 7.1.7 部分，其 Windows 與麥金塔作業系統的安全更新，以及適用於 UNIX 版本的 Adobe Reader 9.2 安全更新，則將於 1 月 12 日公佈，以解決這個重大弱點可能遭有心人士利用駭入的問題。

Adobe 首先於 2009 年 12 月 5 日坦承 Acrobat Reader 與 Acrobat 軟體存在此一零時差漏洞。

而在更早之前，也就是在 12 月 3 日時，則已經知道 Illustrator 存有此一漏洞。

Adobe 警告，有心人士可能會利用這些弱點，自遠端執行任意程式碼，影響電腦運作甚至導致電腦掛點。

賽門鐵克 (Symantec) 安全研究人員 Micrea Ciubotariu 表示，該公司在上個月即已偵測到，有惡意軟體企圖利用 Acrobat 這個漏洞。更重要的是，這回的攻擊情況，看來比以往所見之其他 Acrobat 攻擊更糟；也就是說，因為它並不會直接關閉應用程式，使用者可能也不會懷疑有什麼地方可能不太對勁。

Ciubotariu 補充指出，這個程式應該是熟手所設計的，經驗十分老到，而不是一般從駭客網站上隨便找來經過概念驗證的腳本這種小玩意兒。

在週日時，安全研究機構 SANS Internet Storm Center 分析師 Bojan Zdrnja 也透過他對於這個攻擊碼的分析，發現這的確是有經驗之專業人士所為的證據；不過，他也觀察到，這應該是由某些不知名人士，有心提醒大家注意 PDF 檔案可能存在之風險。

Bojan Zdrnja 在部落格中寫道：「如果我們在開年新春之際，就認定是嫻熟的老手打算利用這個漏洞來發動攻擊，似乎並不太好。」