Mag 27, 2021 Marco Schiaffino In evidenza, News, RSS, Vulnerabilità 0

Il sistema di protezione dei documenti contiene una serie di bug di sicurezza, ma il rischio maggiore è che qualcuno modifichi il testo di un contratto.

Versatile e affidabile, per lo meno fino a quando non emergono una raffica di vulnerabilità che ne mettono a rischio l’integrità dei contenuti.

Il formato PDF si è guadagnato uno spazio notevole nel mondo IT e, in particolare, un ruolo di primo piano lo ha avuto la funzionalità di certificazione, che permette di “blindare” il contenuto dei documenti memorizzati. Una funzionalità che viene sempre più spesso usata per la “stipulazione a distanza” di contratti tra aziende.

Adesso, però, questa procedura rischia di essere esposta al rischio di inquinamento. A spiegarlo, sono alcuni ricercatori della Rhur University di Bochum, che in uno studio pubblicato su Internet hanno condiviso i dettagli di una serie di vulnerabilità che affliggono i più diffusi software per la creazione e gestione dei documenti in formato PDF.

Lo studio dei ricercatori si è concentrato su 26 applicazioni (tra semplici viewer e software di elaborazione) con risultati sconsolanti: solo due dei prodotti analizzati ne sono usciti “puliti”.

A creare i maggiori problemi sono due falle specifiche, battezzate con il nome di Evil Annotation (EAA) e Sneaky Signature (SSA), che consentono di modificare il contenuto (in realtà a livello di visualizzazione) senza che queste modifiche pregiudichino la certificazione.

In altre parole, sarebbe possibile usare queste tecniche per cambiare un testo che dovrebbe invece essere immodificabile. Un bel problema, soprattutto se si parla di contratti o accordi tra aziende. Secondo gli stessi ricercatori, le alterazioni possono essere individuate attraverso la comparazione tra i documenti, ma il problema rimane comunque rilevante.

Tra le falle di sicurezza individuate dai ricercatori, però, ce ne sono anche di più pericolose. In particolare lo studio ne evidenzia una (per i prodotti Adobe) che consentirebbe di creare un PDF in grado di avviare l’esecuzione di codice JavaScript.

Tutti i bug sono stati segnalati agli sviluppatori e prodotti come quelli di Adobe, Foxit, e LibreOffice sono già stati aggiornati per correggere le vulnerabilità. Il vero problema riguarda i vari prodotti di “nicchia” e le applicazioni sviluppate da aziende più piccole (e magari non più supportati) per i quali il problema potrebbe persistere.

Una tabella che riassume le vulnerabilità e le patch pubblicate può essere consultata a questo indirizzo.