Ett kombinerat team av forskare från Ruhr-Universitetet i Bochum och Munster University har hittat två stora säkerhetsbrister i PDF-filer. De har dokumenterat sina fynd med en webb-i-säkerhet blogspot-inlägg.
PDF är ett filformat som innehåller elektroniska bilder av text och grafik. Sådana filer är användbara för dokument som måste formateras på speciellt utformade sätt. De kan också skickas till andra som kan läsa dem med en PDF-dokumentläsare. Över åren, vissa användare har använt ett krypteringsschema för att säkerställa att privata dokument inte kan ses av någon annan än en avsedd mottagare – läkare, advokater och till och med företag har börjat använda systemet för att säkerställa integritet. Men nu, det verkar som om krypteringsschemat för sådana dokument har två stora sårbarheter – forskarna hänvisar till dem som två varianter av en enda PDFex-sårbarhet.
Den första varianten, som forskarna kallar "direkt exfiltrering" drar fördel av PDF-krypteringsspecifikationen – programvara som utför krypteringen krypterar inte alla delar av PDF-filen. Det lämnar en del av filen öppen för hackare. En angripare kan bifoga kod till filen i den okrypterade delen av filen som körs när den legitima användaren öppnar den. När filen väl har öppnats, den tillagda koden kan skicka innehållet i filen till en webbplats som utsetts av angriparen.
I den andra varianten, som inte har ett namn, en angripare använder chifferblock chaining gadgets för att ändra klartext som finns i ett PDF-dokument till kod – och precis som den första varianten, när den legitima användaren öppnar filen, den inbäddade koden körs, skicka dokumentet till en webbplats som utsetts av angriparen.
För att båda attackerna ska fungera, en angripare måste först få tillgång till PDF-filen innan den skickas. Det betyder att en angripare måste infektera den första användarens dator med ett virus som skulle starta kod som modifierar PDF-filen.
Forskarna planerar att hålla en presentation som beskriver sina resultat angående PDF-sårbarheter vid årets ACM-konferens om dator- och kommunikationssäkerhet.
© 2019 Science X Network
