Pdf阅读器数字署名伪造缝隙安全公告
颁布功夫 2019-03-01缝隙编号和级别
CVE编号：暂无，危险级别：高危， CVSS分值：官方未评定
影响领域
受影响软件以及版本：
缝隙概述
德国波鸿鲁尔大学的学者钻研发现，在22个PDF阅读器利用法式和7个在线验证服务中存在PDF署名伪造缝隙，这些缝隙可被利用来对PDF文档的数字署名进行未经授权的更改，但不会使其无效。
带数字署名的PDF文件在企业和当局组织中被作为拥有司法效应的正式文件宽泛使用，其中，数字署名是分辨文件真实性的沉要环节，署名伪造缝隙一旦被恶意利用，则可能给企业和当局带来贸易机密或经济上的损失。
易受这些攻击的软件列表中蕴含多款较为盛行的PDF文档阅读器软件，如Adobe Reader，Foxit Reader，LibreOffice，Nitro Reader，PDF-XChange和Soda PDF等。出缺点的验证服务蕴含DocuSign，eTR验证服务，DSS演示WebApp，Evotrust和VEP.si等。
目前，所有提供PDF阅读器利用法式的公司都已颁布安全补丁来解决这个问题，而一些在线服务尚未解决这些问题。
学者设计了三种PDF署名糊弄攻击技术，并别离定名为通用署名伪造（USF），增量保留攻击（ISA）和署名包装攻击（SWA）。
在USF（Universal Signature Forgery）攻击中，攻击者能够把持署名中的元信息，这样PDF阅读器在验证署名时就无法接见验证所需的数据，却始终以为署名有效，例如Acrobat Reader DC和Reader XI。
ISA（Incremental Saving Attack）攻击利用PDF规范中的合法职能，允许通过附加更改来更新文件，例如保留注解或向文档增长新页面。该攻击规划通过更改不属于署名齐全性�；さ脑乩磁奈牡�。
SWA（Signature Wrapping Attack）攻击强造署名验证逻辑分析与原始文档分歧的文档部门。这是通过“将原始署名的内容沉新定位到文档中的分歧地位并在分配的地位插入新内容来实现的。”SWA 影响了很多PDF阅读器和一些在线验证服务。
建复建议
尽快更新工作设备所使用的PDF阅读器利用法式至官方最新版。
参考链接
https://www.nds.ruhr-uni-bochum.de/media/ei/veroeffentlichungen/2019/02/12/report.pdf
京公网安备11010802024551号