Sicherheitslücken in Oracle PDF-Import-Erweiterung für OpenOffice.org

[rudy]

Hallo Forum

und schon wieder PDF!

http://www.tecchannel.de/sicherheit...eorg/index.html?r=8616005263051361&lid=105636

also so langsam wird es Zeit sich nach Alternativen um zu sehen, wer sich näher mit diesen Dateiformat und seinen Möglichkeiten Scriptbausteine und Befehlsketten einzubauen zu können, denke wird zu dem selben Ergebnis kommen.

Generell wird es noch gefährlicher wenn schon im Betriebssystem eine generelle Schnittstelle für PDF eingebaut ist, was die Umgehung von Rechten ermöglicht..

gruss der rudy

 

[xrayn]

Generell wird es noch gefährlicher wenn schon im Betriebssystem eine generelle Schnittstelle für PDF eingebaut ist, was die Umgehung von Rechten ermöglicht..

Ganz im Gegenteil es würde durchaus Sinn machen, wenn in Windows ein PDF-Viewer implementiert wäre, der sich auf das reine Darstellen von Text (dh. ohne Script und anderen Schnickschnack auszuwerten) beschränkt und von VORHANDENEN Sicherheitstechniken wie DEP, ASLR, StackCookies usw. Gebrauch machen würde. So hätten schon viele PDF-Exploits verhindert werden können.

 

[rudy]

Ganz im Gegenteil es würde durchaus Sinn machen, wenn in Windows ein PDF-Viewer implementiert wäre, der sich auf das reine Darstellen von Text (dh. ohne Script und anderen Schnickschnack auszuwerten) beschränkt und von VORHANDENEN Sicherheitstechniken wie DEP, ASLR, StackCookies usw. Gebrauch machen würde. So hätten schon viele PDF-Exploits verhindert werden können.

Schau Dir mal das dazu an gerade DEP und ASLR wegen sozusagen weggesprayt

http://www.heise.de/security/artike...yers-Exploits-trotz-DEP-und-ASLR-1169279.html

trotzdem ich bleib bei meiner Aussage

mfg

 

[xrayn]

Wenn DEP auf AlwaysOn gesetzt ist, bringt es dir relativ wenig, dass du VirtualProtect() aufrufen kannst. Die ganzen Exploits setzen darauf, dass es im Prozess Module gibt, die kein DEP/ASLR aktiviert haben oder dass sie zu mindest DEP abschalten können, da es auf OptIn/OptOut gesetzt ist. JIT-Spraying ist eine nette Sache, doch führen die neuen AdobeReader Code nur noch in der Sandbox aus (aus der man zugegebenermaßen auch ausbrechen kann). PDF ist schon ein sinnvolles Format und zu weit verbreitet, dass man es "abschaffen" könnte. Und noch einmal, ein PDF-Reader, der nativ in Windows implementiert ist, sollte Skripte eh nicht erlauben.

 

[CDW]

OT: naja, Standards, die von keiner Firma direkt abhängen und daher nicht regelmäßig nur deshalb erweitert werden, damit die Firma neue Software dazu verkaufen kann, wären trotzdem nicht verkehrt