「EdgeブラウザのPDFビューア機能は攻撃に使われる可能性がある」記事へのコメント

不思議

[Anonymous Coward]

PDFというすでに枯れてきてると思われるファイルフォーマットなのに、未だに大量の脆弱性が見つかるっていうのはどういうことなんでしょう？
細かい部分で進化していってるということなんでしょうか？それを誰が必要としてるのか。
埋め込みのスクリプトを実行する必要があるのでしょうか？

自分も知らず知らずのうちに利用してるのかもしれませんが、PDFにスクリプト実行が必要なケースというのが思いつかない。
PDFに入力フォームをつけて色々やろうとした場合などだろうか。それって、そもそもPDFをインターフェイスに選ぶこと自体間違ってるような。

自分がPDFにただの印刷のデジタル物という認識しかないせいか。

Re:不思議

[nekopon (1483)]

自分がPDFにただの印刷のデジタル物という認識しかないせいか。

正直そのせいだと思います。
# プログラミング可能なフォーマットがある限り、人はその脆弱性を突き続ける

Re:

[Anonymous Coward]

中を見てみることです。りっぱなプログラムです。プログラムでしかないです。
ただし、deflateされてる部分は伸長してください。

Re:

[Anonymous Coward]

PDFがPostScriptのような何かであることと、JavaScriptが動くことは無関係。
JavaScriptは後付ですし、「印刷のデジタル物」としての出版業界の要請には、
PDF/Xというサブセットがあり、これにはJavaScriptはありません。

Re:

[Anonymous Coward]

JavaScriptが動くことと、PDF全体がインタプリタを要する何かであることは無関係。

Re:

[Anonymous Coward]

そう、
IBMの元記事のいう脆弱性は、Edgeの使ってるライブラリ(WinRT PDF)がPDFをレンダリングするときのもので、#2976122さんが危惧するJavaScriptのことではない。

Re:

[Anonymous Coward]

TIFFだってあんなに簡単な構造なのに libtiff なんて何時までもセキュリティホールの塊みたいな状況でした。
それから比べれば、PDFは十分に複雑すぎる。
特に、コンテンツのレンダラーなんて、一般的なフォントフォーマットを一通りサポートしないといけないですし、決して、分かりやすい構造だとは言えないでしょう。

# Edgeは、JavaScript/Flash埋め込みとかいう恐ろしい機能はそもそもサポートすべきじゃないし、サポートしてないとは思う。

Re:

[Anonymous Coward]

Windows 10標準の「リーダー」が使ってるPDFライブラリと同じだとしたら、JavaScriptはあるな。

Re:

[Anonymous Coward]

>埋め込みのスクリプトを実行する必要があるのでしょうか？
いや、そうしないと色々な画像どころかフォントですら表現できないでしょ？