JavaScript è un linguaggio di scripting originariamente sviluppato da Brendan Eich, prima con il nome di Mocha e poi di LiveScript, ma in seguito è diventato “JavaScript” utilizzando una sintassi simile al linguaggio Java di Sun pur non essendoci una vera relazione. Il codice viene eseguito da un interprete (incluso nei browser e nei lettori) che esegue riga per riga quanto trascritto nello script offrendo agli sviluppatori web funzionalità altrimenti impossibili da inserire nei siti web e nei documenti PDF più avanzati.
Il sito di sicurezza informatica Shadowserver ha segnalato una grave vulnerabilità in Adobe Reader nelle versioni 8.1.0, 8.1.1, 8.1.2, 8.1.3 e nell’ultima 9.0.0, relativa proprio alle funzioni JavaScript presenti nel software.
Il primo ad informare gli italiani è il noto cacciatore di bufale Paolo Attivissimo, sul suo popolare blog Il Disinformatico. Probabilmente la debolezza risiede anche nella versione 7, infatti Adobe ha prontamente annunciato che l’11 marzo sarà rilasciato un aggiornamento per la versione 9, seguito da una patch per Acrobat nelle versioni 8 e 7.
Gli attacchi basati su questa falla sfruttano gli script in Java per provocare il crash dell’applicazione, ma potrebbero anche consentire ad un utente malintenzionato di assumere il controllo del sistema interessato. La vittima, a prescindere dal tipo id piattaforma utilizzata, non deve far altro che aprire il PDF permettendo a sua insaputa l’esecuzione dello script maligno. In attesa della patch di Adobe l’unico strumento di difesa è quello di disabilitare JavaScript nel programma, a quel punto il file pericoloso riuscirà solo a far bloccare il Reader, ma non potrà eseguire più alcuno script.
Per disabilitare JavaScript in Acrobat basta aprire il programma, andare in Preferenze… (+,), selezionare la categoria JavaScript e togliere il segno di spunta da Abilita JavaScript di Acrobat, come nell’immagine che è disponibile QUI.
A questo punto perderemo una piccola funzione del Reader, ma potremo tranquillamente aprire file PDF sconosciuti senza preoccupazioni superflue.
Le versioni del software interessate dal problema sono: Adobe Reader 9 e versioni precedenti; Adobe Acrobat Standard, Pro e Pro Extended 9 e versioni precedenti.