PDF é vulnerável por natureza

SÃO PAULO – O pesquisador em segurança Jeremy Conway afirmou esta semana que os arquivos PDFs são naturalmente suscetíveis a vermes e outras ameaças, mesmo sem a exploração de falhas de segurança.

O especialista, que trabalha para a empresa NitroSecurity, disse que é possível infectar os documentos usando os próprios recursos suportados pela formato, mas não quis explicar o procedimento.

Segundo seu post no site sudosecure.net, Conway foi influenciado pelo trabalho de seu colega Didier Stevens, que trabalhou na possibilidade de incluir executáveis nos arquivos e manipular caixas de diálogo para executar ataques.

“Imaginei que seria possível lançar um ataque internamente de um PDF para outro. Enviei um e-mail para Didier e ele disse que era totalmente possível. Então resolvi testar minha sorte e criar uma prova de conceito em vídeo”, afirma.

Ele disse que não pretende divulgar o código utilizado e nem vai distribuir os arquivos de teste na rede. A Adobe já foi informada sobre o problema.

Confira o vídeo:

• À rigor, o título da matéria é um exagero. Na prática, nem tanto. O erro está no formato, que propõe um tal recurso que pode ser explorado. O problema ocorre somente os leitores que implementarem o recurso, que pode ser disparado por usuários incautos. A Adobe foi avisada para resolver a questão (provavelmente removendo o recurso). É quase a mesma coisa que as "macros de word", que permitem que as macros "migrem" de um documento ao outro sem o consentimento do usuário (definição formal de vírus).
  enviado por: Luciano Pinheiro em 07/04/2010 - 12:50
• O problema é na extensão ou no reader? Pois se for na extensão, por que deveriam reportar isso à Adobe?
  enviado por: Joao Paulo em 07/04/2010 - 09:46
• Atualmente a Adobe, apesar de ter criado o tipo de arquivo, é só mais uma no que se diz respeito ao padrão.
  enviado por: Víctor Hugo Molinar em 07/04/2010 - 09:14
• PS: PDF is open standard Formerly a proprietary format, PDF was officially released as an open standard on July 1, 2008, and published by the International Organization for Standardization as ISO/IEC 32000-1:2008. [reference: http://en.wikipedia.org/wiki/Portable_Document_Format]
  enviado por: cbeuter em 07/04/2010 - 04:29
• Tá tio, por que é que não adotamos então outra extensão? (de preferência, essa sem proprietários)...
  enviado por: Paulo Munir em 06/04/2010 - 23:33
• sahsushsushu,microsoft 2
  enviado por: Eli Campos \o/ em 06/04/2010 - 18:10

comentar