Открита е поредната сериозна уязвимост в PDF файловете

Екип от немски учени разработи нов метод за атака, способен да извлича и краде данни от криптирани PDF файлове.

Новата атака, наречена PDFex, се предлага в два варианта и при тестване успешно успя да открадне данни от PDF файлове на 27 десктоп и уеб четци на PDF файлове, включително и програмите Adobe Acrobat, Foxit Reader, Nitro и вградените PDF четци в браузърите Chrome и Firefox.

PDFex всъщност не е насочена пряко към криптираните PDF файлове, а към всички PDF файлове – тоест тя може да бъде експлоатирана с цел неправомерен достъп до данните от PDF файлове, независимо от използваните софтуер и защита.

Докато PDF стандартът поддържа вградено криптиране, немският екип, който е бил от шестима учени, ръководен от Ruhr-University Bocum и Münster University са открили уязвимости в стандарта за защита, на база на които са създали PDFex.

Варианти на PDFex

Според публикации в блога, в който изследователите са публикували информация за откритите уязвимости и разработената от тях атака, криптираните PDF документи са уязвими към два типа атаки, които вече са използвани от хора, които фалшифицират или крадат данни от PDF файлове.

Първата уязвимост е известна като „директна ексфилтрация“ и се възползва от факта, че криптирането на PDF файловете не шифрова целия файл, а оставя някои части незащитени. Чрез подправяне на тези нешифровани полета, нападателят може да създаде затворен PDF файл, който ще се опита да изпращи съдържанието на оригиналния обратно до атакуващия, което дава възможност информацията от първичния да бъде декриптирана и отворена, без да се използва защитния ключ.

Вторият вариант на атаката PDFex се фокусира върху частите от PDF файловете, които са криптирани. Използвайки инструменти за CBC, нападателят може да модифицира данните в открития текст, съхранявани в PDF при източника му. Това означава, че атакуващият, с помощта на CBC инструмент, може да модифицира криптираното съдържание, за да създаде затворени PDF файлове, които да предадат съдържанието от оригиналните съм отдалечени сървъри на атакуващия.

За да бъде използвана атаката PDFex, нападателят трябва или да има физически достъп до устройството на жертвата, или да има достъп до неговия мрежови трафик – това ще рече, че ситуацията дава възможност за отдалечена експлоатация на уязвимостите и положението никак не е за подценяване.

Като цяло, изглежда PDFex е доста сериозна уязвимост в PDF стандарта и изследователският екип, който стои зад новата атака, ще представи своите открития на конференцията на ACM за компютърна и комуникационна сигурност следващия месец.