In PDF c'è una vulnerabilità by design

Per eseguire comandi a distanza usando come vettore un documento PDF non c’è bisogno di sfruttare alcun bug di sicurezza: basta servirsi di una caratteristica prevista dallo stesso standard di Adobe. L’autore della scoperta è Didier Stevens, ricercatore di sicurezza e sviluppatore di alcuni noti tool per l’analisi dei file PDF.

Nel suo blog Stevens spiega di aver scoperto come sia possibile utilizzare una funzionalità nativa della specifica PDF per eseguire un programma a suo piacere: tale programma può trovarsi inglobato nel documento PDF o essere già presente sul computer della vittima. Sebbene il ricercatore non abbia ancora divulgato alcun codice proof of concept, ha pubblicato un documento PDF che, non appena aperto, lancia il programma cmd.exe di Windows.

Prima di eseguire il comando, Adobe Reader chiede all’utente di autorizzare l’operazione informandolo dei rischi correlati. Ma l’esperto di sicurezza sostiene che il testo di questa finestra di dialogo può essere parzialmente modificato così da indurre l’utente a premere il fatidico Ok. Ma c’è di peggio: Foxit Reader, una delle più diffuse alternative ad Adobe Reader, non avvisa neppure l’utente. “In questo modo sono riuscito ad eseguire un EXE embedded senza alcuna interazione da parte dell’utente”, ha commentato Stevens.

“I viewer di file PDF come Adobe Reader e Foxit Reader non consentono che dei file eseguibili (come binari e script) vengano estratti ed eseguiti” spiega il ricercatore. “Ma ho trovato un metodo che mi consente di lanciare un comando (/Launch /Action) e, in definitiva, far girare un eseguibile che ho inglobato (nel documento PDF, NdR) usando una tecnica speciale”.

Stevens dice di aver testato il suo attacco sotto Windows XP SP3 e Windows 7 e di aver già condiviso i dettagli della sua scoperta con Adobe.

Proprio poche settimane fa F-Secure ha pubblicato uno studio da cui emerge che, nel corso del 2009, Adobe Reader è stata l’applicazione più bersagliata dai cracker: il numero di attacchi diretti verso il popolarissimo viewer di Adobe ha superato di buona misura anche quello degli attacchi diretti contro Office e Windows. Nell’estate del 2009 il chief research office di F-Secure, Mikko Hypponen, si era spinto a raccomandare agli utenti di non usare Adobe Reader.

Alessandro Del Rosso