パスワードを忘れた? アカウント作成
208795 submission
日記

pdfの脆弱性 任意のファイルを実行可能か 1

タレコミ by soltiox
soltiox 曰く、

やや食傷気味の話題ではありますが ……

先月末、pdfの脆弱性が公表されました。
http://blog.didierstevens.com/2010/03/29/escape-from-pdf/
Escape From PDF ? Didier Stevens

任意のファイルを実行可能であるようです。
pdfに埋め込まれたムービーやサウンドの再生のために、pdfリーダから他のプログラムをランチできる、という指摘はかなり前からあったと思いますが、その具体的な方策が見つかった、という事のようです。

名指しで晒されたっぽいfoxitは、現在、本件をフォローしたバージョンを作成中だそうです。また、アドビもフィックスを行っているそうです。

この件に関して、f-secureの解説記事が出ています。
http://www.f-secure.com/weblog/archives/00001923.html
Does PDF stand for Problematic Document Format? - F-Secure Weblog : News from the Lab
ユーザの取りうる対策として「google docsのようなオンラインサービスの利用」や「クラッカーの興味を引かないような、マイナーアプリの利用」を提示しています。
前に似たような話のストーリで「アプリのマイナーさ加減は、セキュリティの担保にはならない(キリッ」と言い切った俺涙目のアドバイスなのですが、冒頭のDidier Stevensのブログのコメント欄にも「俺の使ってるマイナーリーダなら、全然大丈夫だぜ」みたいな報告がいくつか挙がっており、やはりマイナーアプリは、セキュリティ的に強いのでしょうか?

ところで、私の環境では、foxitを使っても現象の再現はできませんでした。osやアプリの、日本語ローカライズが功を奏しているのか、それともメモリ等のリソースが不足してるのか、いまいち定かではありませんが(て言うかエラーメッセージを見る限り後者の可能性大ですが)、セキュアにパソコン使えてる俺の勝ち、という事でタレコミです。

参考リンク
http://www.theregister.co.uk/2010/04/06/wormable_pdfs/
PDF security hole opens can of worms . The Register
http://www.theregister.co.uk/2010/03/31/pdf_insecurity/
Booby-trapping PDF files: A new how-to . The Register
http://www.sudosecure.net/archives/636
sudosecure.net ? Blog Archive ? Are PDF’s Worm-able?
http://www.sudosecure.net/archives/644
sudosecure.net ? Blog Archive ? Worm-Able PDF Clarificaiton

参考リンク(タレコミ文中に言及あり)
http://www.f-secure.com/weblog/archives/00001923.html
Does PDF stand for Problematic Document Format? - F-Secure Weblog : News from the Lab
http://blog.didierstevens.com/2010/03/29/escape-from-pdf/
Escape From PDF ? Didier Stevens

この議論は賞味期限が切れたので、アーカイブ化されています。 新たにコメントを付けることはできません。
  • by Anonymous Coward on 2010年04月07日 9時28分 (#1744697)

    もう修正版出てます [ryukoku.ac.jp]。
    > やはりマイナーアプリは、セキュリティ的に強いのでしょうか?
    これはPDFの仕様の問題なので、大丈夫だとしたらそれは単にPDF仕様をマトモに実装していないだけでは。
    「俺のブラウザは履歴機能がないから:visitedの脆弱性も何ともないぜ!」とか「俺のブラウザはSSLに対応してないからrenegotiationの脆弱性も何ともないぜ!」というのはいくら事実でもちょっと…。

typodupeerror

物事のやり方は一つではない -- Perlな人

読み込み中...