Les failles de sécurité liées aux PDF se multiplient

Le format PDF d'Adobe est devenu la référence pour l'échange de documents numériques, garantissant un document identique que ce soit à l'affichage sur différents appareils ou à l'impression. Malheureusement, un format aussi répandu devient une cible de choix pour les pirates, et la sécurité des fichiers vient encore une fois d'être mise à mal, par non pas une, mais deux failles distinctes.

La première faille ne vient pas du format PDF lui-même, mais de la visionneuse, en l'occurrence celle intégrée au navigateur GoogleGoogle Chrome. Le site EdgeSpot, qui se spécialise dans la détection des codes malveillants dans les documents, a publié sur son blog un billet détaillant une attaque qu'ils ont détectée. Les experts ont découvert, dès décembre 2018, des fichiers spécialement conçus pour exploiter une faille « zero-dayzero-day ». En l'ouvrant dans le lecteur Adobe Reader, le fichier est parfaitement inoffensif. Cependant, en visualisant le PDF dans Google Chrome, ils ont détecté l'envoi de données vers un serveur suspect.

La faille de Chrome corrigée fin avril

Une inspection des données a révélé que le fichier envoie des informations personnelles, à savoir l'adresse IP de l'ordinateurordinateur, la version du système d'exploitationsystème d'exploitation et de Chrome, ainsi que le nom de fichier et le chemin d'accès du fichier PDF visualisé. Ces informations peuvent paraître anodines à certains, les deux premières étant envoyées à tous les sites web visités, mais cela permet de pister les utilisateurs. En ajoutant le code à un grand nombre de fichiers PDF, la faille permet de distinguer chaque utilisateur et de savoir quels documents il consulte.

Google a été notifié fin décembre. La firme prépare bien une mise à jour pour corriger cette faille, mais elle ne sera disponible que fin avril. Étant donné l'attente de deux mois, les experts de chez EdgeSpot ont préféré publier leur découverte afin que les utilisateurs concernés puissent changer de lecteur PDF en attendant.

Navigateur capable d'afficher des fichiers PDF, Chrome sera mis à jour fin avril pour corriger la faille © Evan Lorne, Shutterstock

Les signatures numériques vulnérables

La seconde faille concerne, cette fois, les signatures numériquessignatures numériques des documents PDF. Cette fonction de sécurité est utilisée au quotidien pour les documents officiels, les procédures légales, etc. Autant dire que la portée d'une telle faille est importante. Une équipe de chercheurs de l'université de la Ruhr, à Bochum, en Allemagne s'est intéressée au fonctionnement de ces signatures, et a découvert trois manières de les falsifier.

Les chercheurs ont déterminé trois vecteurs d'attaque. Le premier, baptisé Universal Signature Forgery, manipule les métadonnées de la signature. Pour le deuxième, Incremental Saving Attack, les PDF signés sont impossibles à modifier, mais il est possible d'ajouter du contenu à la fin du fichier. Cette fonction peut être manipulée pour modifier le contenu du document. Le dernier, Signature Wrapping Attack, permet de déplacer une partie du contenu signé pour y injecter de nouvelles données.

Tous les principaux logicielslogiciels de PDF sont concernés, y compris Adobe Reader, Foxit Reader, LibreOffice Draw, mais aussi des visionneuses en ligne. Sur les 22 logiciels et services testés, 21 étaient vulnérables à au moins une des trois attaques. La bonne nouvelle est que les éditeurs des logiciels ont déjà publié une correction. Il faut donc s'assurer que ses logiciels sont à jour.