MÜNCHEN (COMPUTERWOCHE) - Über Sicherheitslücken im Acrobat Reader 5.06 und im PDF-Reader Xpdf 1.01 können Angreifer beliebigen Code auf Linux- und Unix-Systemen ausführen, berichtet ein Hacker mit dem Pseudonym "Hack4Life" in der Mailing-Liste Full-Disclosure. Dazu legen sie in PDF-Dateien Verknüpfungen zu externen Anwendungen an, über die sich zum Beispiel Shell-Code starten lässt. Um die Schadroutinen auszuführen, genügt es, PDF-Dokumente zu öffnen, die in Websites eingebunden sind, so Experten.

Laut Hack4Life soll ein entsprechendes Security Advisory am 23. Juni dieses Jahres vom CERT (Computer Emergency Response Team) veröffentlicht werden. Dies bestätigte der CERT-Mitarbeiter Jeffrey Carpenter. Man habe sich mit den Herstellern auf den Zeitrahmen verständigt, um die Möglichkeit zu haben, Fehlerbereinigungen zu entwickeln. Laut Carpenter hat Hack4Life die Informationen abgegriffen, als sie vom Sicherheitsexperten Martyn Gilmore aus Cincinnati an das CERT übermittelt wurden.

Der Hacker hat nicht zum ersten Mal unveröffentlichte Sicherheitsberichte vom CERT vorzeitig publiziert. Bereits im März stahl er Advisories vom CERT-Server und publizierte sie in der Full-Disclosure-Mailing-Liste (Computerwoche online berichtete). (lex)