pdfex

PDFex: Lire les fichiers PDF protégés par un mot de passe

Nommé PDFex, le nouvel ensemble de techniques inclut deux classes d’attaques qui utilisent les faiblesses de sécurité dans le chiffrement standard intégré dans le Portable Document Format, plus connu sous le nom de PDF.

Les attaques PDFex ne permettent pas à un pirate de supprimer le mot de passe d’un PDF chiffré; au lieu de cela, les pirates peuvent exfiltrer le contenu à distance une fois qu’un utilisateur légitime ouvre le document.

En d’autres mots, PDFex permet aux pirates de modifier un document PDF protégé sans avoir le mot de passe correspondant. Quand le document est ouvert par quelqu’un qui a le bon mot de passe, le fichier envoie automatiquement une copie du contenu déchiffré vers un serveur contrôlé par le pirate.

Les chercheurs ont testé leurs attaques PDFex contre 27 logiciels qui permettent de visionner des documents PDF et ont découvert qu’ils étaient tous vulnérables à au moins une des deux attaques. La majorité est même vulnérable aux deux attaques.

Les visionneurs de PDF affectés sont des logiciels populaires sur Windows, macOS et Linux:

  • Adobe Acrobat
  • Foxit Reader
  • Okular
  • Evince
  • Nitro Reader

…ainsi que les visionneurs PDF intégrés dans les navigateurs web:

  • Chrome
  • Firefox
  • Safari
  • Opera

Les attaques PDFex exploitent deux vulnérabilités PDF

pdfex file encryption

Découverte par une équipe de chercheurs en sécurité Allemands, PDFex fonctionne grâce à deux faiblesses majeures dans le chiffrement PDF:

1) Chiffrement Partiel — Le standard de PDF supporte un chiffrement partiel qui chiffre seulement les chaînes de caractère et les flux, alors que les objets définissant la structure du document PDF ne sont pas chiffrés.

Le mélange entre texte chiffré et texte clair donne l’opportunité aux pirates de manipuler la structure du document et d’injecter des payloads malveillants à l’intérieur.

2.) Malléabilité du texte chiffré — le chiffrement PDF utilise la méthode de chiffrement Cipher Block Chaining (CBC) sans vérification d’intégrité, ce qui peut être exploité par des pirates pour créer des parties de texte chiffré qui s’auto-exfiltrent.

Classes d’attaque PDFex: Exfiltration direct et gadgets CBC

Penchons-nous sur les deux classes d’attaques PDFex.

Classe 1: Exfiltration Direct — Abuse la fonctionnalité de chiffrement partiel d’un fichier PDF protégé.

hack pdfex password

En laissant intact le contenu à exfiltrer, un pirate peut ajouter des objets non chiffrés dans un PDF chiffré, lesquels peuvent être utilisé pour définir une action malveillante à exécuter quand le document est ouvert par un utilisateur légitime.

Ces actions, listées ci-dessous, déterminent comment un pirate distant peut exfiltrer du contenu:

  • Soumettre un formulaire
  • Invoquer une URL
  • Exécuter du JavaScript

“L’action fait référence aux parties chiffrées comme du contenu à être inclut dans des requêtes et peut être utilisé pour exfiltrer le texte clair vers une URL arbitraire,” peut-on lire dans leur rapport.

“L’exécution de l’action peut être déclenché automatiquement une fois que le fichier PDF est ouvert (après le déchiffrement) ou via une interaction de l’utilisateur, par exemple, en cliquant à l’intérieur du document.”

Comme montré dans l’image, l’objet qui contient l’URL (en bleu) pour la soumission du formulaire n’est pas chiffré et est complètement contrôlé par le pirate.

Classe 2: Gadgets CBC — Tout les visionneurs de PDF ne supportent pas les documents partiellement chiffrés, mais beaucoup d’entre eux n’ont pas de protection pour l’intégrité du fichier, cela permet aux pirates de modifier les données en texte clair à l’intérieur d’un objet chiffré.

remove pdfex password protection

Le scénario des attaques “gadgets CBC” est pratiquement le même que les attaques “Exfiltration Direct”, la seule différence est que le pirate modifie le contenu chiffré existant ou crée du nouveau contenu pour ajouter des actions qui déterminent comment exfiltrer les données.

Si un PDF contient des flux compressés pour réduire la taille du fichier, les pirates doivent utiliser des flux d’objet à moitié ouvert pour subtiliser les données.

Une preuve de concept pour les attaques PDFex

L’équipe de chercheurs, qui inclut 6 Allemands de l’université de le Ruhr à Bochum et de l’université Münster, a signalé ses trouvailles à tout ceux qui sont concernés et a aussi partagé une preuve de concept avec le public.

hacking pdfex password

C’est la même équipe de chercheurs qui avait trouvé une faille dans une douzaine de clients email qui utilisaient une mauvaise implémentation de PGP.

Pour plus de détails techniques sur les attaques PDFex, vous pouvez aller sur le site dédié des chercheurs et où vous trouverez le papier de recherche [PDF] intitulé, “Practical Decryption exFiltration: Breaking PDF Encryption.”

Laisser un commentaire