To store sikkerhedsrisici findes i PDF -filer

Et kombineret team af forskere fra Ruhr-University Bochum og Munster University har fundet to store sikkerhedssårbarheder i PDF-filer. De har dokumenteret deres resultater med et web-in-security blogspot-opslag.

PDF er et filformat, der indeholder elektroniske billeder af tekst og grafik. Sådanne filer er nyttige til dokumenter, der skal formateres på specialdesignede måder. De kan også sendes til andre mennesker, der kan læse dem med en PDF -dokumentlæser. I årenes løb, nogle brugere har brugt en krypteringsordning for at sikre, at private dokumenter ikke kan ses af andre end en tiltænkt modtager - læger, advokater og endda virksomheder er begyndt at bruge ordningen for at sikre privatlivets fred. Men nu, det ser ud til, at krypteringsordningen for sådanne dokumenter har to store sårbarheder - forskerne omtaler dem som to variationer af en enkelt PDFex -sårbarhed.

Den første variation, som forskerne kalder "direkte eksfiltrering" drager fordel af PDF -krypteringsspecifikationen - software, der udfører krypteringen, krypterer ikke alle dele af PDF -filen. Det efterlader en del af filen åben for hackere. En angriber kan vedhæfte kode til filen i den ukrypterede sektion af filen, der kører, når den legitime bruger åbner den. Når filen er åbnet, den tilføjede kode kan sende filens indhold til et websted, der er angivet af angriberen.

I den anden variant, som ikke har et navn, en angriber bruger cipher block chaining gadgets til at ændre ren tekst, der findes i et PDF -dokument, til at kode - og ligesom den første variant, når den legitime bruger åbner filen, den integrerede kode udføres, at sende dokumentet til et websted angivet af angriberen.

For at et angreb virker en hacker skulle først få adgang til PDF -filen, før den blev sendt. Det betyder, at en hacker skulle inficere computeren til den første bruger med en virus, der ville starte kode, der ændrer PDF -filen.

Forskerne planlægger at holde en præsentation, der beskriver deres resultater vedrørende PDF -sårbarheder på dette års ACM -konference om computer- og kommunikationssikkerhed.

© 2019 Science X Network