Des chercheurs trouvent un moyen de lire le contenu des fichiers PDF protégés par mot de passe

Une équipe de chercheurs allemands en sécurité a découvert une série d’attaques qui permet de lire le contenu des fichiers PDF protégés par un mot de passe.

Pour garantir la confidentialité, les fichiers PDF peuvent être chiffrés. Cela permet le transfert et le stockage sécurisés de documents confidentiels sans aucun autre mécanisme de protection.

La gestion des clés entre l'expéditeur et le destinataire peut être basée sur un mot de passe (le destinataire doit connaître le mot de passe utilisé par l'expéditeur, ou il doit lui être transféré par un canal sécurisé) ou sur une clé publique (c'est-à-dire que l'expéditeur connaît le certificat X.509 du destinataire).

La vulnérabilité dénommée PDFex permet deux choses :

  • Premièrement, même sans connaître le mot de passe correspondant, un attaquant possédant un fichier PDF chiffré peut en manipuler des parties. Plus précisément, la spécification du format PDF permet de mélanger des textes chiffrés avec des textes en clair. En combinaison avec d'autres fonctionnalités PDF qui permettent le chargement de ressources externes via HTTP, l'attaquant peut lancer des attaques directes d'exfiltration dès qu'une victime ouvre le fichier.
  • Par ailleurs, le chiffrement PDF utilise le mode de chiffrement par blocs de chiffrement (CBC) sans contrôle d'intégrité, ce qui implique une malléabilité du texte chiffré. Cela permet à un attaquant de créer des parties de texte chiffré auto-exfiltrantes en utilisant des attaques cryptographiques sur CBC. Il est alors possible de modifier le texte en clair existant, mais aussi de construire des nouveaux documents chiffrés.

 

Le chiffrement PDF est largement utilisé. Des entreprises telles que Canon et Samsung utilisent le chiffrement PDF dans les scanners de documents pour protéger les informations confidentielles.

D'autres fournisseurs comme IBM offrent des services de chiffrement pour les documents PDF et d'autres données (par exemple des images confidentielles) en les encapsulant en PDF. Le chiffrement PDF est également pris en charge dans différents produits médicaux pour transférer des dossiers médicaux, par exemple Innoport, Ricoh, Rimage.

Certaines organisations utilisent des passerelles spéciales pour chiffrer automatiquement les messages électroniques sous forme de pièces jointes PDF chiffrées, par exemple CipherMail, Encryptomatic, NoSpamProxy. Le mot de passe pour déchiffrer ces fichiers PDF peut être transmis par un deuxième canal, comme un message texte (par exemple un SMS).

 

Pour savoir si votre lecteur PDF est vulnérable, se référer au site des chercheurs :

https://pdf-insecurity.org/encryption/evaluation_2019.html

Informations
+

Risques

  • Atteinte à la confidentialité des données

Criticité

  • Score CVSS : Pas de score CVSS

Existence d’un code d’exploitation de la vulnérabilité

  • Un code preuve de concept (PoC pour « Proof of Concept ») est disponible sur le site des chercheurs

Composants & versions vulnérables

Les versions des lecteurs suivants sont vulnérables au moins à l'une des deux attaques :

  • Adobe Acrobat DC   2019.008.20081
  • Foxit Reader 9.2.0.9297      
  • PDF-XChange Viewer          2.5.322.9
  • Perfect PDF Reader   8.0.3.5
  • PDF Studio Viewer   2018.1.0
  • Nitro Reader 5.5.9.2
  • Acrobat Pro DC         2017.011.30127        
  • Foxit PhantomPDF    9.5.0.20723                
  • PDF-XChange Editor            7.0.326.1        
  • Perfect PDF Premium            10.0.0.1            
  • PDF Studio Pro         12.0.7  
  • Nitro Pro        12.2.0.228        
  • Nuance Power PDF   3.0.0.17          
  • iSkysoft PDF Editor 6.4.2.3521                  
  • Master PDF Editor    5.1.36  
  • Soda PDF Desktop    11.0.16.2797)                        
  • PDF Architect            7.0.23.3193                
  • PDFelement   6.8.0.3523      
  • Evince            10.0.944.4                  
  • Okular            1.7.3               
  • MuPDF          1.14.0            
  • le lecteur PDF de Chrome           70.0.3538.67                
  • le lecteur PDF de Firefox            66.0.2            
  • le lecteur PDF de Safari 11.0.3            
  • le lecteur PDF de Opera 57.0.3098.106           

Il est possible que d’autres lecteurs PDF soient vulnérables.

CVE

  • Pas de numéro de CVE attribué

Recommandations
+

Mise en place de correctif de sécurité

  • Attendre la mise à jour de votre éditeur de lecteur PDF.
  • Si l’éditeur n’est pas listé plus haut, il est recommandé de le contacter pour lui faire part de la vulnérabilité.

Solution de contournement

  • Aucune solution n'a été proposée.