Gevaarlijke ontwerpfout in pdf-lezers

Een Belgische beveiligingsexpert heeft op zijn blog een pdf-bestand geplaatst dat naast de pdf-lezer automatisch malware kan starten.

Deze proof-of-concept van Didier Stevens probeert bij het openen de opdrachtprompt (cmd.exe) van Windows op te starten. Heb je Adobe Reader ingesteld als standaard pdf-lezer, dan verschijnt er eerst een waarschuwingsscherm. Andere lezers, waaronder het gratis Foxit Reader, geven helemaal geen melding.

Waarschuwing veranderd
Maar zelfs met melding is deze ontwerpfout gevaarlijk. Stevens slaagde erin om de tekst van de waarschuwing in Adobe Reader te veranderen. Hij kan zo nietsvermoedende gebruikers om de tuin leiden door te schrijven dat ze het ‘laat dit niet meer zien’-vakje moeten aanvinken en op openen klikken.

De aanpassing van de tekst is echter niet in het proof-of-concept-bestand opgenomen, om niemand op verkeerde ideeën te brengen. Stevens heeft Adobe wel ingelicht over de gebruikte technieken.

Foxit volledig te misbruiken
Wat Foxit Reader betreft is het probleem nog groter. De securityspecialist liet de redactie in een mail weten dat hij het programma nu volledig kan misbruiken. Stevens deed dat met de laatste versie (3.2.0.0303) van Foxit op Windows XP SP3 en op Windows 7.

“Ik heb nu een volledige proof-of-concept voor Foxit waarmee ik programma’s die in een pdf verborgen zijn zonder toestemming van de gebruiker kan openen”, schrijft Stevens.

De expert bracht ontwikkelaar Foxit op de hoogte. Het bedrijf reageerde in een forumpost met de melding dat nog binnen een week een veilige versie van zijn populaire pdf-lezer wordt uitgebracht.

Eerdere ontdekkingen
Stevens ontdekte eerder al andere beveilingslekken in Adobe Reader. Dat is niet zo uitzonderlijk, want volgens een onderzoek van beveiligingsbedrijf F-Secure haalden pdf’s vorig jaar Officebestanden in als populairste bestanden om te hacken. De reden hiervoor zijn de vele zwakke plekken in Adobe Reader en andere pdf-readers.