研究人员公开了两种修改认证 PDF 文档的新技巧

近日，网络安全研究人员公开了两种针对经过认证的 PDF 文档的新攻击技术，这些技术可能使攻击者能够通过在经过认证的内容上显示恶意内容而不使其签名无效来改变文档的可见内容。

“攻击思路利用了 PDF 认证的灵活性，允许在不同权限级别下对认证文档进行签名或添加注释，”波鸿鲁尔大学的研究人员说，他们多年来系统地 分析了 PDF 规范的安全性。

调查结果在本周举行的第 42 届 IEEE 安全与隐私研讨会（IEEE S&P 2021）上公布。

这两种攻击——被称为Evil Annotation 和 Sneaky Signature 攻击——依赖于通过利用规范中的缺陷来操纵 PDF 认证过程，该规范管理数字签名（又名批准签名）及其更灵活的变体（称为认证签名）的实施。

认证签名还允许根据认证者设置的权限级别对 PDF 文档进行不同的修改子集，包括将文本写入特定表单字段、提供注释甚至添加多个签名的能力。

Evil Annotation Attack (EAA) 的工作原理是修改经过认证的文档，该文档被设置为插入注释以包含包含恶意代码的注释，然后将其发送给受害者。另一方面，Sneaky Signature Attack (SSA) 背后的想法是通过向允许填写表单字段的文档添加重叠签名元素来操纵外观。

研究人员说：“通过插入签名字段，签名者可以定义该字段的确切位置，以及它的外观和内容。这种灵活性是必要的，因为每个新签名都可能包含签名者的信息。” 信息可以是图形、文本或两者的组合。然而，攻击者可以滥用灵活性来秘密操纵文档并插入新内容。”

在学术界详细描述的假设攻击场景中，验证者创建包含敏感信息的经过认证的合同，同时启用向 PDF 合同添加更多签名的选项。通过利用这些权限，攻击者可以修改文档的内容，例如，在他们的控制下显示一个国际银行帐号 (IBAN) 并欺诈性地转移资金，因为受害者无法检测到操纵，接受了篡改合同。

研究人员评估的 26 个 PDF 应用程序中有 15 个，包括 Adobe Acrobat Reader（CVE-2021-28545和CVE-2021-28546）、Foxit Reader（CVE-2020-35931）和 Nitro Pro，发现容易受到 EAA 攻击，使攻击者能够更改文档中的可见内容。Soda PDF Desktop、PDF Architect 和其他六个应用程序被确定为容易受到 SSA 攻击。

更令人不安的是，该研究表明，可以通过 EAA 和 SSA 将此类代码作为对认证文档的增量更新，在 Adobe Acrobat Pro 和 Reader 中执行高特权 JavaScript 代码（例如，将用户重新定向到恶意网站）。不过，Adobe 在2020 年 11 月的星期二补丁更新中解决了该漏洞 ( CVE-2020-24432 ) 。

为了抵御此类攻击，研究人员建议禁止使用 FreeText、Stamp 和 Redact 注释，并确保在认证之前在 PDF 文档中的指定位置设置签名字段，同时惩罚任何后续添加的带有无效证书的签名字段地位。研究人员还创建了一个名为PDF-Detector的基于 Python 的实用程序，该实用程序解析经过认证的文档以突出显示 PDF 文档中发现的任何可疑元素。

“尽管 EAA 和 SSA 都不能更改内容本身——它始终保留在 PDF 中——但注释和签名字段可以用作添加新内容的叠加层，”研究人员说。“打开 PDF 的受害者无法将这些添加内容与常规内容区分开来。更糟糕的是：注释可以嵌入允许添加到某些认证文档中的高特权 JavaScript 代码。”

龙名网为您提供最全面最新鲜的网络安全相关资讯！

声明:本文系作者授权龙名社区发表，未经许可，不得转载。

如有侵权，请联系平台删除。