O patch da Adobe para uma conhecida vulnerabilidade no PDF Reader não consertou a vulnerabilidade, disse o pesquisador de segurança que descobriu a falha.

Na última terça, a Adobe liberou um update para o Reader e para o Acrobat, seus populares programas de visualização e criação de PDF, que consertaram 17 vulnerabilidades, incluindo uma questão de design que dava a atacantes um modo fácil de enganar os usuários para que eles instalassem malware. O bug, divulgado pelo especialista belga Didier Stevens no final de março, permitia aos crackers usar a função "/Launch", um recurso que executa outro software a partir de um documento PDF.

Quando combinado a outro truque -- Stevens também mostrou como um aviso do Reader pode ser mudado para enganar -- a falha pode ser usada para fazer o usuário abrir um malware mascarado como software legítimo.

Crackers tem usado essa técnica em ataques de massa para infectar micros Windows desde abril.

No domingo, Stevens disse que o patch não consertou o problema.

"Descobri que a Adobe implementou uma lista negra de extensões para a ação "launch", mas essa funcionalidade identifica o o tipo de arquivo 'cmd.exe' como .exe', e não .exe,", escreveu em seu blog.

Crackers ainda podem fazer um PDF executar um malware simplesmente ocultando o nome do arquivo malicioso com aspas simples ou duplas, disse Stevens.

Le Mahn Tung , um pesauisador da Bach Khoa Internetwork Security (BKIS), foi o primeiro a noticiar que o patch não havia consertado o problema adequadamente.

Em seu blog, Stevens recomendeu um meio para defender-se de ataques que contornam a lista negra da Adobe. Isso envolve, no entanto, editar o registro do Windows, uma tarefa mais do que perigosa.

A empresa admitiu que o sistema de lista negra não era à prova de falhas, e disse que estava pesquisando as questões levantadas pelos pesquisadores.

A Adobe consertou a falha da caixa de alerta, observou Stevens, para que crackers não possam modificar o texto exibido. Aleém disso agora ela recomenda fortemente que o usuário não execute arquivos que não venham de fontes confiáveis.

O patch da semana passada também modificou a configuração do Reader e do Acrobat para que o recurso /launch não seja mais ligado por padrão – o usuário precisa acessar o menu para isso.

(Gregg Keizer)