Adobe修補零時差漏洞

Adobe周二（3/10）釋出更新程式修補Adobe Reader 9及Acrobat 9中的JBIG2安全漏洞。由於這個漏洞已有相關攻擊現身，可能導致應用程式關閉或讓駭客掌控使用者電腦，因此也成為近來頗為熱門的安全議題。

目前Adobe釋出的是支援Adobe Reader 9及Acrobat 9的更新程式，修補該漏洞無需點選就可能引發攻擊的安全風險。此外，Adobe預計在下周（3/18）釋出支援先前版本的更新程式。

最早資安業者發現使用者一旦開啟夾帶惡意JavaScript的PDF檔案就能觸發該漏洞，因此建議使用者關閉Adobe Reader及Acrobat的JavaScript的功能；隨後其他研究人員指出，關閉JavaScript只是片面的作法無法完全防範該漏洞被攻擊。

US-CERT說明，使用者電腦上的Adobe Reader有一個IFilter功能可讓其他應用程式檢索PDF檔案，並能因此觸發漏洞；此外，Adobe Reader與Acrobat支援Windows Explorer Shell Extension，當Windows Explorer展示惡意PDF檔案時，亦會觸發該漏洞，上述兩種攻擊行為幾乎是不需要使用者的互動。

PDF與Adobe Reader的普及讓F-Secure研究長Mikko Hypponen認為Adobe Reader已成為新的IE，暗指Adobe Reader變成漏洞與攻擊的集散地，並建議使用者避免使用Adobe Reader以策安全。（編譯/陳曉莉）