U radu programskog paketa Adobe Audition uočen je i ispravljen sigurnosni propust. Riječ je o programu koji se koristi za snimanje i uređivanje audio zapisa. Propust nastaje kao posljedica prepisivanja spremnika prilikom obrade posebno oblikovanih ".ses" datoteka. Udaljeni ga napadači mogu iskoristiti za izvođenje DoS (eng. Denial of Service) napada. Budući da je objavljena nadogradnja, svi se korisnici upućuju na njezino korištenje.

_______________________________________________________________________________

ID upozorenja: ADV-LSS-2011-05-028
Naslov: Uoceno nekoliko propusta u radu programskog paketa Adobe Audition
Datum: 2011-06-02
OS: Windows, Linux, Mac OS
Programski paket: Adobe Audition
Tip sigurnosnog problema: DoS napad
Rizik: Velik
_______________________________________________________________________________

[1]  Uvod

U radu programskog paketa Adobe Audition uocena su dva sigurnosna nedostatka.

Adobe Audition je alat koji sluzi za snimanje, miksanje, uredjivanje i usavrsavanje audio zapisa.

Bitnije od njegovih karakteristika su:

- brz je, produktivan i prilagodljiv za sve audio projekte.
- podrzava multi-track editing,
- ima pregledno sucelje, i dr.

Vise informacija o radu spomenutog paketa moguce je pronaci na sljedecoj web adresi:

http://www.adobe.com/products/audition.html

-------------------------------------------------------------------------------

[2]  Sigurnosni problem

Ranjivosti, uocene u radu programskog paketa Adobe Audition, zlonamjernim napadacima omogucuju kompromitaciju ranjivog sustava.

-------------------------------------------------------------------------------

[3]  Sigurnosna zastita

Svim se korisnicima preporuca nadogradnja na Audition CS5.5.  

-------------------------------------------------------------------------------

[4]  Analiza

Prilikom upotrebe programskog paketa Adobe Audition uocene su dvije ranjivosti. 

Prva od spomenutih ranjivosti javlja se zbog pogresaka prilikom obrade Audition Session
datoteke (.ses). Napadaci nedostatak mogu iskoristiti za uzrokovanje prepisivanja spremnika pomocu posebno oblikovane datoteke.

Drugi propust se javlja prilikom obrade odredjenih polja u TRKM bloku unutar SES datoteke. Opisana ranjivost napadacima omogucuje izazivanje pojave prepisivanja spremnika pomocu zlonamjerno oblikovane datoteke.

Ranjivosti su potvrdjene u inacici 3.0.1 te u starijim inacicama. 

-------------------------------------------------------------------------------

[5]  Credit

Informacije o propusima otkrili su:

1) Gjoko Krstic, Zero Science Lab
2) Diego Juarez, Eduardo Koch i Laura Balian, Core Security Technologies.

Tekstovi izvorne preporuke nalaze se na sljedecim adresama:

Adobe:
http://www.adobe.com/support/security/bulletins/apsb11-10.html

Zero Science Lab:
http://www.zeroscience.mk/en/vulnerabilities/ZSL-2011-5012.php.

-------------------------------------------------------------------------------

[6]  LSS/ZESOI/FER  

LSS, www.lss.hr - laboratorij za sustave i signale pri Zavodu za elektronicke 
  sustave i obradbu informacija Fakulteta elektrotehnike i racunarstva  
  Sveucilista u Zagrebu  

_______________________________________________________________________________