I lettori di PDF come Adobe Reader sono stati fonte di molte vulnerabilità di sicurezza nel corso degli anni. Questo perché un file PDF non è solo un documento: può contenere script, supporti incorporati e altre cose discutibili.
I PDF non sono solo documenti
Il formato del file PDF è in realtà molto complicato. Può contenere molte cose, non solo testo e immagini, come ci si potrebbe aspettare. PDF supporta molte funzionalità che probabilmente non dovrebbe, che hanno aperto molte falle nella sicurezza in passato.
- JavaScript: I PDF possono contenere codice JavaScript, che è la stessa lingua utilizzata dalle pagine Web nel browser. I PDF possono essere dinamici ed eseguire codice che modifica il contenuto del PDF o manipola le funzionalità del visualizzatore PDF. Storicamente, molte vulnerabilità sono state causate dai PDF che utilizzano il codice JavaScript per sfruttare Adobe Reader. L'implementazione JavaScript di Adobe Reader contiene anche API JavaScript specifiche di Adobe, alcune delle quali non sono sicure e sono state sfruttate.
- Flash incorporato: I PDF possono contenere contenuti Flash incorporati. Qualsiasi vulnerabilità in Flash può essere utilizzata anche per compromettere Adobe Reader. Fino al 10 aprile 2012, Adobe Reader conteneva il proprio Flash Player in dotazione. Difetti di sicurezza corretti nel Flash Player principale potrebbero non essere stati corretti nel Flash Player in dotazione di Adobe Reader fino a qualche settimana più tardi, lasciando i buchi di sicurezza spalancati per essere sfruttati. Adobe Reader ora utilizza Flash Player installato sul sistema piuttosto che un lettore interno.
- Avvia azioni: I file PDF potevano avviare qualsiasi comando dopo aver visualizzato una finestra di conferma. Nelle versioni precedenti di Adobe Reader, un file PDF può tentare di avviare un comando pericoloso purché l'utente abbia fatto clic su OK. Adobe Reader ora contiene una lista nera che limita i file PDF all'avvio di file eseguibili.
- GoToE: I file PDF possono contenere file PDF incorporati che possono essere crittografati. Quando un utente carica il file PDF principale, può caricare immediatamente il suo file PDF incorporato. Ciò consente agli aggressori di nascondere file PDF dannosi all'interno di altri file PDF, ingannando gli scanner antivirus impedendo loro di esaminare il file PDF nascosto.
- Controlli multimediali incorporati: Oltre a Flash, i PDF potevano storicamente contenere i media Windows Media Player, RealPlayer e QuickTime. Ciò consentirebbe a un PDF di sfruttare le vulnerabilità di questi controlli di riproduttori multimediali incorporabili.
Ci sono molte altre funzionalità nel formato di file PDF che aumentano la superficie di attacco, inclusa la possibilità di incorporare qualsiasi file all'interno di un PDF e utilizzare la grafica 3D.
La sicurezza del PDF è migliorata
Ora dovresti capire perché i file Adobe Reader e PDF sono stati fonte di così tante vulnerabilità di sicurezza. I file PDF possono sembrare documenti semplici, ma non lasciatevi ingannare: potrebbe esserci molto di più in corso sotto la superficie.
La buona notizia è che la sicurezza del PDF è migliorata. Adobe ha aggiunto una sandbox denominata "Modalità protetta" in Adobe Reader X. Questo esegue il PDF in un ambiente limitato e bloccato in cui ha accesso solo a determinate parti del computer, non all'intero sistema operativo. È simile a come la sandboxing di Chrome isola i processi della pagina Web dal resto del tuo computer. Questo crea molto più lavoro per gli attaccanti. Non devono solo trovare una vulnerabilità di sicurezza nel visualizzatore di PDF: devono trovare una vulnerabilità di sicurezza e quindi utilizzare una seconda vulnerabilità di sicurezza nella sandbox per sfuggire alla sandbox e danneggiare il resto del computer. Questo non è impossibile da fare, ma sono state scoperte e sfruttate molte meno vulnerabilità di sicurezza in Adobe Reader da quando è stata introdotta la sandbox.
Mentre possiamo chiederci se i PDF dovrebbero essere veramente in grado di fare tutte queste cose, la sicurezza dei PDF è almeno migliorata. Questo è più di quello che possiamo dire per il plug-in Java, che è terribile ed è attualmente il principale vettore di attacco sul web. Chrome ti avvisa prima di eseguire il contenuto Java se hai installato anche il plug-in Java.
