セキュリティ・ベンダー米iDEFENSEは米国時間8月12日,PDF(Portable Document Format)ファイル閲覧ソフト「Acrobat Reader」のUnix(AIX,Solaris,HP-UX)版およびLinux版に見つかったセキュリティ・ホールを明らかにした。細工が施されたPDFファイルを開くと,中に仕込まれた任意のプログラムを実行させられる可能性がある。

 同社では,バージョン5.05/5.06に今回のセキュリティ・ホールがあることを確認しており,これら以前の5.0xも影響を受けるだろうとしている。対策は最新版の5.09にバージョンアップすること。最新版では,このセキュリティ・ホールは解消されている。また,Windows版やMac版などには今回のセキュリティ・ホールは存在しない。

 Unix/Linux版のAcrobat Reader 5.0には,uuencodeでエンコードされたファイルを自動的にデコード(uudecode)する機能がある。この機能にバッファ・オーバーフローのセキュリティ・ホールが見つかった。デコードする際に,エンコードされているファイルの名前の長さを適切にチェックしない。このため,ファイルの名前などに細工が施されていると,ファイルを読み込んだときにバッファ・オーバーフローが発生し,ファイルに仕込まれた任意のプログラムを実行させられる可能性がある。

 対策は,セキュリティ・ホールを修正したバージョン5.09を使うこと。米Adobe Systemsなどのページからダウンロードできる。回避策としては,入手元が信頼できないPDFファイル(例えば,知らない相手から送られてきたメールに添付されているPDFファイル)を開かないことが挙げられる。

 なおiDEFENSEによると,Adobe Systemsは今回のセキュリティ・ホールに関する情報を公開していないという。さらに,任意のプログラムを実行させられるような危険なセキュリティ・ホールがバージョン5.09で修正されたこと,それ以前のバージョンに存在することなども明らかにしていない。

◎参考資料
Adobe Acrobat Reader (Unix) 5.0 Uudecode Filename Buffer Overflow Vulnerability(米iDEFENSE)
Adobe Readerのダウンロード(アドビシステムズ)
Adobe Reader download page(米Adobe Systems)

(勝村 幸博=IT Pro)