IT業界社群及資訊平台

【扭曲原意】PDF認證簽章漏洞 注釋、簽名權限可被利用插入惡意內容

PDF 的認證簽章 (Certification Signatures) 原本具有確保檔案無法被竄改的功能,但有安全專家就發現,這種認證技術存在安全漏洞,黑客可透過兩種方法去修改 PDF 檔案內容,而不影響簽章的有效性。研究員更發現 26 款 PDF 應用程式中,有 24 款至少存在一種漏洞,當中更包括 Adobe……

PDF 的數碼簽章格式可分為兩種,分別是 Approval Signatures 及 Certification Signatures,而以後者提供較高彈性,可允許修改檔案中部分項目,例如加入注釋,以及數碼簽名。而德國 Bochum 大學的研究員便深入了解這種彈性背後有否可被利用的空間,結果便發現到邪惡注釋攻擊 (Evil Annotation Attack, EAA) 及鬼祟簽名攻擊 (Sneaky Signature Attack, SSA) 的可能性,並於第 42 屆 IEEE Security and Privacy 大會上公開。

EAV 攻擊的原理是利用 PDF 檔案 Certification Signatures 數碼簽章容許加入注釋的權限,研究員便嘗試於文件中的注釋部分插入惡意編碼,再傳送給目標人物;SSA 則利用了原本供收件者加入數碼簽名的權限,研究員便嘗試在文件內添加一層新的內容,如合約內的收費欄目,掩蓋原本的費用。結果兩項攻擊都有曾各自在一些 PDF 應用程式上成功執行,而由於兩者都是 Certification Signatures 所容許,因此即使內容曾被修改,也不會對 PDF 檔案的製作者或收件者發出警告。

研究內又指出,研究員曾測試了市面上 26 款 PDF 應用軟件,發現至少有 15 款包含一種漏洞,當中最有名氣的 Adobe Acrobat Reader 更是兩樣皆備。不過在研究員舉報後,現時 Adobe 已推出更新檔堵塞漏洞。另外,研究員建議如要防止黑客利用這些漏洞修改檔案,PDF 應用軟件開發者亦禁止使用 FreeText、Stamp 及 Redact 等注釋,並確保數碼簽名只能在指定區域簽署,便可阻止檔案被加入惡意編碼及以虛假內容覆蓋原文內容。

資料來源:https://bit.ly/3fXMLgr

Privacy Preference Center