Disponible prueba de 0-day en PDF comprometiendo Windows
Mientras Adobe y Microsoft deshojan sus respectivas margaritas, acaba de publicarse la primera prueba de concepto de cómo puede ejecutarse código arbitrario en un Windows XP SP2 completamente actualizado (incluido Explorer 7) sin más que abrir en Acrobat Reader 8.1 un pdf malicioso:

La prueba está basada en las investigaciones de Petko D. Petkov, pero no lleva su firma. Se trata de un bug en el manejo de URLs en la función shell32!ShellExecute() de Windows...
Para ejecutar la elocuente demostración basta descargar el fichero malicioso de ejemplo y luego abrirlo directamente en Acrobat (no en Explorer mediante ActiveX). Se requiere también que el manejo de mailto no haya sido asociado a un programa externo de correo.

- 961 lecturas
Twitter

Terrible
lo peor de todo es que la gente no desconfia de archivos que se sabe son documentos...
Es recomendable entonces hacer uso de software alternativo como lo es el Foxit Reader para los pdfs.
www.DragonJAR.us
Foxit Reader es siempre mejor opción que Adobe Reader
En windows, con Foxit Reader 2.2 2129 ná de ná...
Sumatra Pdf
Con SumatraPDF tampoco aparece esta vulnerabilidad.
Foxit Reader
Confirmo el comentario de la persona de arriba, Foxit Reader no es vulnerable a este archivo en particular. Lo probaría en Adobe Reader pero hace mucho que lo tengo fuera de mi sistema xD
Efectivamente con foxit
Efectivamente con foxit reader no pasa nada. Yo no tengo adobe acrobat por cuestiones de "peso" y por mucho que abra el pdf no pasa nada :)
Concuerdo con los demás...
Uso Foxit Reader y no tengo problemas.
A mi criterio, mejor que el Acrobat ya que consume menos recursos y por lo visto, no es afectado...
Saludos!!!
Visor de PDFs para windows en Software Libre
Hace rato que llevo usando esta maravilla para leer PDFs, es muy livianita, aunque quizás para muchos bastante limitada, bueno... juzguen por ustedes mismos, se llama Sumatra .
Lo mejor de todo... no es vulnerable al bug compartido adobe-microsoft...
Lo mejor de la vida es gratis... Mejor aun si es libre...
Lo mejor de la vida es libre y a veces es gratis...
¿Alternativas a Adobe?
La verdad es que los comentarios que hablan de alternativas "no vulnerables" a Acrobat Reader deberían ser considerados off-topic y ni siquiera publicarse, pero lo cierto es que de momento ni un solo comentario habla de la prueba de concepto que se comenta.
Insisto: se trata de una prueba de concepto, que sólo sirve para unas condiciones concretas ya explicitadas. El hecho de que no funcione con otros sistemas operativos, otros navegadores u otras aplicaciones es totalmente lógico, pero ni siquiera significa que todos ellos no sean vulnerables. Es decir, que es posible que Foxit y otros sean también vulnerables, pero quizás requieran un exploit distinto para mostrarlo. De hecho, las últimas investigaciones van en la línea de comprobar si Linux y Mac podrían ser vulnerables también, por lo que nos podríamos llevar sorpresas en breve.
Lo que sí me interesa es recalcar que un mal filtrado de URLs maliciosas es un problema de primerísima magnitud, que podría comprometer la seguridad de toda la Web tal y como hoy la conocemos.
En Vista tambien falla
No se donde lei que a Vista no le afectaba... Pues si, si que le afecta. Nada mas abrir el PDF, aparte de dar un error por un documento mal formado se abre Microsoft Office Outlook 2007. Tambien lo he probado en XP SP2 y IE7 y se abre la calculadora de Windows.
Un saludo.
Nada que ver
Eso es un comportamiento normal, no vulnerable.