From security em unicamp.br  Tue Feb 10 08:33:51 2009
From: security em unicamp.br (CSIRT - UNICAMP)
Date: Tue, 10 Feb 2009 08:33:51 -0200
Subject: [SECURITY-L] CAIS-Alerta: Termino do Horario de Verao 2008/2009
Message-ID: <20090210103350.GB33433@unicamp.br>

----- Forwarded message from Centro de Atendimento a Incidentes de Seguranca <cais em cais.rnp.br> -----

From: Centro de Atendimento a Incidentes de Seguranca <cais em cais.rnp.br>
Subject:  CAIS-Alerta: Termino do Horario de Verao 2008/2009
To: pop-seg em cais.rnp.br, rnp-alerta em cais.rnp.br, rnp-seg em cais.rnp.br
Date: Mon, 9 Feb 2009 16:13:10 -0200 (BRST)

-----BEGIN PGP SIGNED MESSAGE-----

Prezados,

O CAIS gostaria de alertar a todos que, de acordo com o decreto 6.558 de 8 
de setembro de 2008, o horario de verao 2008/2009 terminara 'a zero hora 
(00:00) do dia 15 de Fevereiro de 2009. Assim, o horario do sistema de 
maquinas devidamente configuradas passara':

  De   00h00 de 15 de Fevereiro
  Para 23h00 de 14 de Fevereiro

Para tanto, nos estados que participaram do horario de verao, sera' 
necessario atrasar os relogios em 1 hora. Sao eles: Rio Grande do Sul, 
Santa Catarina, Parana, Sao Paulo, Rio de Janeiro, Espirito Santo, Minas 
Gerais, Goias, Mato Grosso, Mato Grosso do Sul e Distrito Federal. 
Sistemas que foram devidamente configurados seguindo as orientacoes do 
Alerta do CAIS nao precisam ter a hora corrigida manualmente.

Ressaltamos que, se tratando de incidentes de seguranca, a precisao dos 
relogios dos sistemas e' fundamental para que haja consistencia nos logs, 
alem de ser imprescindivel na investigacao e identificacao de 
responsaveis. Vale ressaltar que, apos o termino do horario de verao, os 
logs reportados retornarao ao timezone UTC/GMT -0300.

O Decreto 6.558, que institui o Horario de Verao 2008/2009 no territorio 
nacional, esta' disponivel nos seguintes enderecos:

. Decreto no. 6.558 de 8 de setembro de 2008 - Institui a hora de verao em
  parte do territorio nacional
  https://www.planalto.gov.br/ccivil_03/_ato2007-2010/2008/decreto/d6558.htm

. Decreto no. 6.558 de 8 de setembro de 2008 - Institui a hora de verao em
  parte do territorio nacional (PDF)
  http://www.mme.gov.br/download.do?attachmentId=16121&download

Mais informacoes sobre o horario de verao podem ser obtidos nos seguintes
Alertas do CAIS:

. Alteracoes de configuracao necessarias para o Horario de Verao 2008/2009
  Alerta do CAIS 20081003
  [CAIS, 03.10.2008]
  http://www.rnp.br/cais/alertas/2008/cais-alr-20081003.html

. Inicio do Horario de Verao 2008/2009
  Alerta do CAIS 20080916
  [CAIS, 16.09.2008]
  http://www.rnp.br/cais/alertas/2008/cais-alr-20080916.html


O CAIS recomenda que os administradores mantenham seus sistemas e 
aplicativos sempre atualizados, de acordo com as ultimas versoes e 
correcoes oferecidas pelos fabricantes.

Os Alertas do CAIS tambem sao oferecidos no formato RSS/RDF:
http://www.rnp.br/cais/alertas/rss.xml


Atenciosamente,

################################################################
#   CENTRO DE ATENDIMENTO A INCIDENTES DE SEGURANCA (CAIS)     #
#       Rede Nacional de Ensino e Pesquisa (RNP)               #
#                                                              #
# cais em cais.rnp.br       http://www.cais.rnp.br                #
# Tel. 019-37873300      Fax. 019-37873301                     #
# Chave PGP disponivel   http://www.rnp.br/cais/cais-pgp.key   #
################################################################
-----BEGIN PGP SIGNATURE-----
Version: GnuPG v1.2.6 (GNU/Linux)
Comment: Made with pgp4pine 1.76

iQCVAwUBSZByO+kli63F4U8VAQFvgQP/Q1NiVxQ50KqVl3eHZ9d48QuVu7bF61VE
mvW4+NZjuHydY8vpnqCNbs/N+FbBsNIMSu6rO1mktUv5ioUtXyW6+4IOD/81eQAl
HRtUrIW4V1I55qLqcOtuKTIeNZzqAksSpojtv4IYR7P3k4IDS5Wd/INZldD+FELJ
Tg3HkBOoVvY=
=WbdA
-----END PGP SIGNATURE-----


----- End forwarded message -----


From security em unicamp.br  Wed Feb 11 10:52:07 2009
From: security em unicamp.br (CSIRT - UNICAMP)
Date: Wed, 11 Feb 2009 10:52:07 -0200
Subject: [SECURITY-L] US-CERT Technical Cyber Security Alert TA09-041A --
	Microsoft Updates for Multiple Vulnerabilities
Message-ID: <20090211125202.GC33433@unicamp.br>

----- Forwarded message from US-CERT Technical Alerts <technical-alerts em us-cert.gov> -----

From: US-CERT Technical Alerts <technical-alerts em us-cert.gov>
Subject: US-CERT Technical Cyber Security Alert TA09-041A -- Microsoft Updates for Multiple Vulnerabilities
To: technical-alerts em us-cert.gov
Date: Tue, 10 Feb 2009 16:05:19 -0500
Organization: US-CERT - +1 202-205-5266


-----BEGIN PGP SIGNED MESSAGE-----
Hash: SHA1


                    National Cyber Alert System

              Technical Cyber Security Alert TA09-041A


Microsoft Updates for Multiple Vulnerabilities

   Original release date: February 10, 2009
   Last revised: --
   Source: US-CERT


Systems Affected

     * Microsoft Internet Explorer
     * Microsoft Office Visio
     * Microsoft Exchange and SQL Server


Overview

   Microsoft has released updates that address vulnerabilities in
   Microsoft Windows and Windows Server.


I. Description

   As part of the Microsoft Security Bulletin Summary for February
   2009, Microsoft released updates to address vulnerabilities that
   affect Microsoft Windows, Internet Explorer, Exchange Server, SQL
   Server, Office, and other related components.


II. Impact

   A remote, unauthenticated attacker could gain elevated privileges,
   execute arbitrary code or cause a vulnerable application to crash.


III. Solution

   Microsoft has provided updates for these vulnerabilities in the
   Microsoft Security Bulletin Summary for February 2009. The security
   bulletin describes any known issues related to the updates.
   Administrators are encouraged to note these issues and test for any
   potentially adverse effects. Administrators should consider using
   an automated update distribution system such as Windows Server
   Update Services (WSUS).


IV. References

 * Microsoft Security Bulletin Summary for February 2009 -
   <http://www.microsoft.com/technet/security/bulletin/ms09-feb.mspx>

 * Microsoft Windows Server Update Services -
   <http://technet.microsoft.com/en-us/wsus/default.aspx>

 ____________________________________________________________________

   The most recent version of this document can be found at:

     <http://www.us-cert.gov/cas/techalerts/TA09-041A.html>
 ____________________________________________________________________

   Feedback can be directed to US-CERT Technical Staff. Please send
   email to <cert em cert.org> with "TA09-041A Feedback VU#139636" in
   the subject.
 ____________________________________________________________________

   For instructions on subscribing to or unsubscribing from this
   mailing list, visit <http://www.us-cert.gov/cas/signup.html>.
 ____________________________________________________________________

   Produced 2009 by US-CERT, a government organization.

   Terms of use:

     <http://www.us-cert.gov/legal.html>
 ____________________________________________________________________

Revision History
  
  February 10, 2009: Initial release


-----BEGIN PGP SIGNATURE-----
Version: GnuPG v1.4.5 (GNU/Linux)

iQEVAwUBSZHrgXIHljM+H4irAQJd3Qf+PPj7rh6MdXpVtPwNvjuM/nMisAe2tEpj
Y11YLvM6QK80vZy/DRNnS+TIuClTCb73v7gOpZP6CsuV+4dNQLZ7YMXSnZhpNlO/
Rd5OgaMyd0JvdMppuzvgcsa6IZtDlQPFbjsD0nnIcC8uo97OUI88XUw/V3tpwUvn
sc5jmIfsdNEOb/PGNRujW4pp1OPGVcwH85F5Wzv8KgnDeFecPgU1Wr9xofc0Lbhb
5O253AfQ8ImCWaEZ2P2tIh1Q61HgxROmZ18cFa7IEU2dubNg9WyfFTdSLb0VmqVA
h+GP2y5om5dpgtENkH/gT3INOk3JdIRPaj5uflrPsx/mO/8Cpvl5ow==
=uN2s
-----END PGP SIGNATURE-----

----- End forwarded message -----


From security em unicamp.br  Thu Feb 12 09:10:08 2009
From: security em unicamp.br (CSIRT - UNICAMP)
Date: Thu, 12 Feb 2009 09:10:08 -0200
Subject: [SECURITY-L] CAIS-Alerta: Resumo dos Boletins de Seguranca
	Microsoft - Fevereiro 2009
Message-ID: <20090212111006.GG33433@unicamp.br>

----- Forwarded message from Centro de Atendimento a Incidentes de Seguranca <cais em cais.rnp.br> -----

From: Centro de Atendimento a Incidentes de Seguranca <cais em cais.rnp.br>
Subject:  CAIS-Alerta: Resumo dos Boletins de Seguranca Microsoft - Fevereiro
 2009
To: pop-seg em cais.rnp.br, rnp-alerta em cais.rnp.br, rnp-seg em cais.rnp.br
Date: Wed, 11 Feb 2009 17:33:56 -0200 (BRST)

-----BEGIN PGP SIGNED MESSAGE-----

Prezados,

A Microsoft publicou 4 boletins de seguranca em 10 de fevereiro, que 
abordam ao todo 8 vulnerabilidades que afetam produtos Microsoft. Estas 
vulnerabilidades permitem desde o contorno de autenticacao ate' a execucao 
remota de codigo.

No momento da publicação deste resumo há código malicioso (exploit) 
disponível que explora uma vulnerabilidade do boletim MS09-004 
(CVE-2008-5416).


SEVERIDADE

. Critica

  - MS09-002: Correcoes cumulativas para o Internet Explorer
    Vulnerabilidades no Internet Explorer permitem a execucao remota de
    codigo.

  - MS09-003: Vulnerabilidades no Microsoft Exchange
    Vulnerabilidades no Microsoft Exchange podem permitir a execucao 
    remota de codigo.

. Importante

  - MS09-004: Vulnerabilidade no Microsoft SQL
    Vulnerabilidade no Microsoft SQL Server pode permitir a execucao 
    remota de codigo.

  - MS09-005: Vulnerabilidades no Microsoft Office Visio
    Vulnerabilidades no Microsoft Office Visio podem permitir a execucao
    remota de codigo.

. Moderada

  - Nenhum boletim

. Baixa

  - Nenhum boletim

O sistema de classificacao de severidade das vulnerabilidades adotado pelo 
CAIS neste resumo e' o da propria Microsoft. O CAIS recomenda que se 
aplique, minimamente, as correcoes para vulnerabilidades classificadas 
como Criticas e Importantes. No caso de correcoes para vulnerabilidades 
classificadas como Moderadas o CAIS recomenda que ao menos as 
recomendacoes de mitigacao sejam seguidas.

. Critica - Vulnerabilidades cuja exploracao possa permitir a propagacao
  de um worm sem a necessidade de interacao com o usuario.

. Importante - Vulnerabilidades cuja exploracao pode resultar no
  comprometimento de confidencialidade, integridade ou disponibilidade de
  dados de usuarios ou a integridade ou disponibilidade de recursos de
  processamento.

. Moderada - exploracao e' mitigada significativamente por fatores como
  configuracao padrao, auditoria ou dificuldade de exploracao.

. Baixa - uma vulnerabilidade cuja exploracao seja extremamente dificil ou
  cujo impacto seja minimo.


CORRECOES DISPONIVEIS

Recomenda-se fazer a atualizacao para as versoes disponiveis em:

. Microsoft Update
  https://www.update.microsoft.com/microsoftupdate/

. Windows Server Update Services
  http://www.microsoft.com/windowsserversystem/updateservices/default.mspx


MAIS INFORMACOES

. Microsoft Security Bulletin Summary for February 2009
  http://www.microsoft.com/technet/security/bulletin/ms09-feb.mspx

. SANS ISC Handler's Diary 2009-02-10: February Black Tuesday Overview
  http://isc.sans.org/diary.html?storyid=5836

. Microsoft Security Vulnerability Research & Defense
  http://blogs.technet.com/swi/

. MS09-002 - Cumulative Security Update for Internet Explorer (961260)
  http://www.microsoft.com/technet/security/Bulletin/MS09-002.mspx

. MS09-003 - Vulnerabilities in Microsoft Exchange Could Allow Remote Code Execution (959239)
  http://www.microsoft.com/technet/security/Bulletin/MS09-003.mspx

. MS09-004 - Vulnerability in Microsoft SQL Server Could Allow Remote Code Execution (959420)
  http://www.microsoft.com/technet/security/Bulletin/MS09-004.mspx

. MS09-005 - Vulnerabilities in Microsoft Office Visio Could Allow Remote Code Execution (957634)
  http://www.microsoft.com/technet/security/Bulletin/MS09-005.mspx

. Microsoft Brasil Security
  http://www.microsoft.com/brasil/security

. Technet Brasil - Central de Seguranca
  http://www.technetbrasil.com.br/seguranca

. Windows Live OneCare
  http://safety.live.com/site/pt-BR/default.htm


Identificador CVE (http://cve.mitre.org):
CVE-2009-0075, CVE-2009-0076, CVE-2009-0098, CVE-2009-0099
CVE-2008-5416, CVE-2009-0095, CVE-2009-0096, CVE-2009-0097


O CAIS recomenda que os administradores mantenham seus sistemas e 
aplicativos sempre atualizados, de acordo com as ultimas versoes e 
correcoes oferecidas pelos fabricantes.

Os Alertas do CAIS tambem sao oferecidos no formato RSS/RDF:
http://www.rnp.br/cais/alertas/rss.xml


Atenciosamente,

################################################################
#   CENTRO DE ATENDIMENTO A INCIDENTES DE SEGURANCA (CAIS)     #
#       Rede Nacional de Ensino e Pesquisa (RNP)               #
#                                                              #
# cais em cais.rnp.br       http://www.cais.rnp.br                #
# Tel. 019-37873300      Fax. 019-37873301                     #
# Chave PGP disponivel   http://www.rnp.br/cais/cais-pgp.key   #
################################################################

-----BEGIN PGP SIGNATURE-----
Version: GnuPG v1.2.6 (GNU/Linux)
Comment: Made with pgp4pine 1.76

iQCVAwUBSZMoKukli63F4U8VAQGJZQQAkcFtIGvluHJX6fi6kg3RcUqJC5rMhHT/
C7KDG+Rn3ChKp2t+lYCjn8iPWakRk3axJ9MlkCaCDni+0DXjYHXQooxZZjmrknGS
i8boKNs/y0Cc8tuZmBmecKcMHuvpzu45cu32qG9AfuL2911kScRNnHexsDiaVYMa
zuFxRIE2LIc=
=zSQz
-----END PGP SIGNATURE-----


----- End forwarded message -----


From security em unicamp.br  Tue Feb 17 08:37:03 2009
From: security em unicamp.br (CSIRT - UNICAMP)
Date: Tue, 17 Feb 2009 08:37:03 -0300
Subject: [SECURITY-L] CAIS-Alerta: Como identificar e remover o malware
	Conficker (Downadup ou Kido)
Message-ID: <20090217113702.GA39482@unicamp.br>

----- Forwarded message from Centro de Atendimento a Incidentes de Seguranca <cais em cais.rnp.br> -----

From: Centro de Atendimento a Incidentes de Seguranca <cais em cais.rnp.br>
Subject:  CAIS-Alerta: Como identificar e remover o malware Conficker (Downadup
 ou Kido)
To: pop-seg em cais.rnp.br, rnp-alerta em cais.rnp.br, rnp-seg em cais.rnp.br
Date: Mon, 16 Feb 2009 17:15:07 -0300 (BRT)

-----BEGIN PGP SIGNED MESSAGE-----

Prezados,

o CAIS gostaria de alertar sobre o aumento no numero de incidentes 
decorrentes da atividade do malware Conficker, tambem conhecido como 
Downadup ou Kido, que segundo algumas fontes[1] ja infectou mais de 12 
milhoes de sistemas ao redor do mundo. Este alerta visa orientar sobre o 
funcionamento do malware Conficker e sobre como remove-lo.


. Como o Conficker infecta os sistemas:

O malware infecta sistemas Windows e se propaga atraves de tres vetores 
principais:

1. Explorando uma vulnerabilidade no servico "Servidor" do Windows
   (SVCHOST.EXE - TCP/445), cuja falha ja foi corrigida pelo alerta
   MS08-067[2] da Microsoft
2. Executa ataques de força bruta contra redes compartilhadas, 
   tantando adivinhar a senha de acesso do administrador
3. Infecta dispositivos removiveis normalmente utilizados em diversos 
   computadores(pen drives, cartoes de memoria USB, etc)


. Principais acoes do Conficker no sistema:

Ao infectar um computador, o malware acessa diversas URLs na Internet em 
busca de comandos a serem executados na máquina invadida (por exemplo, 
roubar informacoes pessoais, enviar spams, fazer o download de outros 
arquivos maliciosos, etc). Ele tambem desliga o Windows Defender e as 
atualizacoes automaticas do Windows (Windows Update Service), alem de nao 
permitir que o usuario do sistema acesse certas paginas de Internet que 
contenham palavras como virus, malware, windowsupdate, entre outras.


. Como identificar maquinas infectadas por este malware em sua rede:

Caso voce seja adminstrador de rede, e' possivel identificar maquinas
infectadas pelo Conficker atraves dos seguintes procedimentos:

. Atente para o aumento anormal do trafego de rede em conexoes HTTP
  (80/TCP), pois o Conficker utiliza este tipo de conexao para receber
  instrucoes.

. Redes locais com compartilhamento de diretorios provavelmente estarao
  mais lentas, dada a acao do Conficker na rede local.

. Configure em seu firewall ou proxy regras que registrem o acesso a
  URLs acessadas pelo Conficker. Listas atualizadas constantemente com as
  URLs que o malware tem acessado estao disponiveis em:

   . Noms de domaine de Conficker / Downadup A et B et remarque surl'Autorun
     http://cert.lexsi.com/weblog/index.php/2009/02/06/276-noms-de-domaine-de-conficker-downadup-a-et-b

. Configure em seu firewall ou proxy regras que registrem as
  seguintes requisicoes HTTP, muito provavelmente realizadas pelo
  Conficker:

  GET http://[IP]/search ?q=0 HTTP/1.0"
  GET http://[IP]/search ?q=1 HTTP/1.0"
  GET http://[IP]/search ?q=n+1 HTTP/1.0"


. Como remover o malware:

Para remover o Conficker do sistema, pode-se utilizar alguma das seguintes
ferramentas:

. Windows Malicious Software Removal Tool
  http://www.microsoft.com/security/malwareremove/default.mspx

. Ferramenta de remocao da F-secure (fabricante de anti-virus)
  ftp://ftp.f-secure.com/anti-virus/tools/beta/f-downadup.zip

. McAfee Avert Stinger
  http://vil.nai.com/vil/stinger/

. Ferramenta de remocao da BitDefender (fabricante de anti-virus)
  http://www.bitdefender.com/site/Downloads/downloadFile/1584/FreeRemovalTool

. Ferramenta de remocao da Kaspersky (fabricante de anti-virus)
  http://data2.kaspersky-labs.com:8080/special/KidoKiller_v3.1.zip

IMPORTANTE: Apos remover o malware, certifique-se que:
. Seu sistema possui a correcao MS08-067 [2] instalada;
. Seu sistema, anti-virus e firewall estao atualizados e em funcionamento;
. A senha do administrador da rede local é uma senha forte contendo pelo
  menos 6 caracteres, incluindo letras, numeros e caracteres especiais (@,
  $, !, etc).


Mais informacoes:

. Two Weeks of Conficker Data and 12 Million Nodes [1]
  http://asert.arbornetworks.com/2009/01/two-weeks-of-conflicker-data/

. Microsoft Security Bulletin MS08-067 [2]
  http://www.microsoft.com/technet/security/Bulletin/MS08-067.mspx

. CAIS-Alerta: Vulnerabilidade Crítica no Microsoft Windows
  Microsoft Security Bulletin MS08-067
  http://www.rnp.br/cais/alertas/2008/ms08-067.html

. Alerta de vírus sobre o worm Win32/Conficker.B
  http://support.microsoft.com/kb/962007/pt-br

. Microsoft Malware Protection Center
  http://www.microsoft.com/security/portal/Entry.aspx?name=Win32%2fConficker

. Blog Microsoft Malware Protection Center
  http://blogs.technet.com/mmpc/archive/2009/01/13/msrt-released-today-addressing-conficker-and-banload.aspx

. ISC SANS Handler's Diary: Third party information on conficker
  http://isc.sans.org/diary.html?storyid=5860


Atenciosamente,

################################################################
#   CENTRO DE ATENDIMENTO A INCIDENTES DE SEGURANCA (CAIS)     #
#       Rede Nacional de Ensino e Pesquisa (RNP)               #
#                                                              #
# cais em cais.rnp.br       http://www.cais.rnp.br                #
# Tel. 019-37873300      Fax. 019-37873301                     #
# Chave PGP disponivel   http://www.rnp.br/cais/cais-pgp.key   #
################################################################
-----BEGIN PGP SIGNATURE-----
Version: GnuPG v1.2.6 (GNU/Linux)
Comment: Made with pgp4pine 1.76

iQCVAwUBSZnJUOkli63F4U8VAQEj0gP/XtaxZQntbyCs1MHzkQViiX1qsFjLorzA
db1iCRyvm7R7XkrmzdIUrYMvGDGtav0aVwMpQM4io0jpZhCWzyuzcoxC1u06O1Wv
7t6g/NyGcH0Czc2EA9P6SAceUZYt+OjDmrBeQ8BliKIP2JmPB5zk5IqqhCF4G2ea
X9PJqydCxcY=
=k8Me
-----END PGP SIGNATURE-----


----- End forwarded message -----


From security em unicamp.br  Thu Feb 26 13:49:03 2009
From: security em unicamp.br (CSIRT - UNICAMP)
Date: Thu, 26 Feb 2009 13:49:03 -0300
Subject: [SECURITY-L] US-CERT Technical Cyber Security Alert TA09-051A --
	Adobe Acrobat and Reader Vulnerability
Message-ID: <20090226164900.GA19060@unicamp.br>

----- Forwarded message from US-CERT Technical Alerts <technical-alerts em us-cert.gov> -----

From: US-CERT Technical Alerts <technical-alerts em us-cert.gov>
Subject: US-CERT Technical Cyber Security Alert TA09-051A -- Adobe Acrobat and Reader Vulnerability
To: technical-alerts em us-cert.gov
Date: Fri, 20 Feb 2009 16:05:47 -0500
Organization: US-CERT - +1 202-205-5266


-----BEGIN PGP SIGNED MESSAGE-----
Hash: SHA1


                    National Cyber Alert System

              Technical Cyber Security Alert TA09-051A


Adobe Acrobat and Reader Vulnerability

   Original release date: February 20, 2009
   Last revised: --
   Source: US-CERT


Systems Affected

     * Adobe Reader version 9 and earlier
     * Adobe Acrobat (Professional, 3D, and Standard) version 9 and earlier


Overview

   Adobe has released Security Bulletin APSB09-01, which describes a
   vulnerability that affects Adobe Reader and Acrobat. This
   vulnerability could allow a remote attacker to execute arbitrary
   code.


I. Description

   Adobe Security Bulletin APSB09-01 describes a memory-corruption
   vulnerability that affects Adobe Reader and Acrobat. Further
   details are available in Vulnerability Note VU#905281.  An attacker
   could exploit these vulnerabilities by convincing a user to load a
   specially crafted Adobe Portable Document Format (PDF) file.
   Acrobat integrates with popular web browsers, and visiting a
   website is usually sufficient to cause Acrobat to load PDF content.


II. Impact

   An attacker may be able to execute arbitrary code.


III. Solution

   Disable JavaScript in Adobe Reader and Acrobat   

   Disabling Javascript may prevent some exploits from resulting in
   code execution. Acrobat JavaScript can be disabled using the
   Preferences menu (Edit -> Preferences -> JavaScript and un-check
   Enable Acrobat JavaScript).


   Prevent Internet Explorer from automatically opening PDF documents
  
   The installer for Adobe Reader and Acrobat configures Internet
   Explorer to automatically open PDF files without any user
   interaction. This behavior can be reverted to the safer option of
   prompting the user by importing the following as a .REG file:
   
   Windows Registry Editor Version 5.00
   
   [HKEY_CLASSES_ROOT\AcroExch.Document.7]
   "EditFlags"=hex:00,00,00,00
   

   Disable the display of PDF documents in the web browser  

   Preventing PDF documents from opening inside a web browser will
   partially mitigate this vulnerability. If this workaround is
   applied it may also mitigate future vulnerabilities. To prevent PDF
   documents from automatically being opened in a web browser, do the
   following:
   1. Open Adobe Acrobat Reader.    
   2. Open the Edit menu.     
   3. Choose the preferences option.    
   4. Choose the Internet section.
   5. Un-check the "Display PDF in browser" check box.   


   Do not access PDF documents from untrusted sources  

   Do not open unfamiliar or unexpected PDF documents, particularly
   those hosted on web sites or delivered as email attachments. Please
   see Cyber Security Tip ST04-010.


IV. References

 * Adobe Security Bulletin apsa09-01 -
   <http://www.adobe.com/support/security/advisories/apsa09-01.html>

 * Securing Your Web Browser -
   <http://www.us-cert.gov/reading_room/securing_browser/>

 * Vulnerability Note VU#905281 -
   <http://www.kb.cert.org/vuls/id/905281>

 ____________________________________________________________________

   The most recent version of this document can be found at:

     <http://www.us-cert.gov/cas/techalerts/TA09-051A.html>
 ____________________________________________________________________

   Feedback can be directed to US-CERT Technical Staff. Please send
   email to <cert em cert.org> with "TA09-051A Feedback VU#905281" in
   the subject.
 ____________________________________________________________________

   For instructions on subscribing to or unsubscribing from this
   mailing list, visit <http://www.us-cert.gov/cas/signup.html>.
 ____________________________________________________________________

   Produced 2009 by US-CERT, a government organization.

   Terms of use:

     <http://www.us-cert.gov/legal.html>
 ____________________________________________________________________

Revision History
  
  February 20, 2009: Initial release


-----BEGIN PGP SIGNATURE-----
Version: GnuPG v1.4.5 (GNU/Linux)

iQEVAwUBSZ8ayXIHljM+H4irAQIUcAf+M01pEVt0f1ZdRvCQwSYw1efnHu4YGdhI
xT27jeKvaW/h6ghGx0L9YWCSn/A2LY3D+fDU1PZmWi7TT/SMEQ8LvKomyCu026Dv
fD63qIXYj3NoPu11bINKFX4HFQCOYWKuM/58Y8mDQXOg0RLhePfMhMbB/S5/xpNT
J09FupEgMvbD+tjVILP+W8JSY4YtAxUJLHfB7cTTHGtlKZyAsnnmJM3Oi4au10DW
vqZD8JefoMLeV2MTGRyP4HGTaRxVY1+yucXO1KBGnKX7otCRkCWOupEuKw+tIEkT
YsYIlkH5MzftkesSEDpDMIAiIE+uprJRv2HGkc38Rhbs/03JyxxVlA==
=HSro
-----END PGP SIGNATURE-----

----- End forwarded message -----