In relazione alla vulnerabilità di tipo "zero-day" (CVE-2009-4324) preliminarmente segnalata nella giornata di ieri dal CERT-SPC, si informa che Adobe ha confermato la vulnerabilità e che il software correttivo per la stessa non sarà disponibile prima del 12 Gennaio 2010 in occasione del rilascio periodico del software correttivo. In aggiunta a quanto, precedentemente indicato, le versioni vulnerabili sono: Adobe Reader 9.2 e precedenti versioni per i sistemi Windows, Macintosh ed UNIX; Adobe Acrobat 9.2 e versioni precedenti per Windows e Macintosh.

Come anticipato dal CERT-SPC, e confermato successivamente da Adobe, la vulnerabilità consente ad un attaccante remoto di eseguire codice nel contesto di sicurezza dell'utente che ha avviato l'applicazione ed interessa la gestione dei JavaScript. Un'ulteriore workaround indicato da Adobe, rispetto a quanto già indicato nel precedente bollettino, è quello di riferirsi al JavaScript Blacklist Framwork. Tale framework consente ad Adobe di proteggere i propri clienti dagli attacchi che sfruttano specifiche API JavaScript attraverso un controllo analitico durante l'esecuzione di tali processi. Adobe ha classificato tale vulnerabilità come critica e si raccomanda, pertanto, gli utenti di seguire le indicazioni già in precedenza suggerite. Ulteriori dettagli ed aggiornamenti sono disponibili presso le seguenti URL:

• http://www.adobe.com/support/security/advisories/apsa09-07.html
• http://kb2.adobe.com/cps/532/cpsid_53237.html