Afbeelding: Mladenov et al.
Een team van wetenschappers van de Ruhr-Universiteit Bochum in Duitsland zeggen ze zijn erin geslaagd in te breken in de digitale ondertekening van het systeem en het maken van valse handtekeningen op 21 of 22 desktop PDF-viewer-apps en vijf van de zeven online PDF-digitale ondertekening diensten.
Dit omvat applicaties zoals Adobe Acrobat Reader, Foxit Reader, en LibreOffice, en online diensten zoals DocuSign en Evotrust –gewoon om de naam van de meest herkenbare namen.
De vijf-persoon research team werkt sinds begin oktober 2018 samen met deskundigen uit Duitsland, het Computer Emergency Response Team (BSI-CERT) op de hoogte stellen betreffende services.
Het team ging het publiek met hun bevindingen in het weekend na alle betreffende app-makers en commerciële bedrijven klaar met het patchen van hun producten.
De reden waarom onderzoekers waren bereid om enkele maanden te wachten zodat alle producten zou ontvangen correcties is vanwege het belang van PDF-digitale handtekeningen.
Digitaal ondertekend PDF-documenten worden toegelaten in de rechtszaal, kan gebruikt worden als wettelijk bindende contracten kunnen worden gebruikt voor het goedkeuren van de financiële transacties, kan worden gebruikt voor het indienen van de fiscale doeleinden, en kan worden gebruikt om het relais door de overheid goedgekeurde persberichten en aankondigingen.
Met de mogelijkheid om nep van een digitale handtekening op een officieel PDF-document kan helpen dreigingen stelen van grote hoeveelheden geld, of om chaos te veroorzaken in privé-bedrijven en openbare instellingen.
In het onderzoek dat vandaag is gepubliceerd, de Ruhr-Universiteit Bochum team beschreven drie kwetsbaarheden die ze hebben gevonden in de digitale ondertekening van proces gebruikt door verschillende desktop en web-based PDF signing services. Samengevat zijn dit:
- Universele Handtekening Valsheid in geschrifte (USF) – kwetsbaarheid laat aanvallers truc van de handtekening verificatie proces in het tonen van gebruikers die een nep-paneel/ – bericht of de handtekening geldig is.Incrementele Opslaan Aanval (ISA) – kwetsbaarheid stelt kwaadwillenden extra inhoud aan een reeds ondertekend PDF-document via de “incrementeel opslaan (incrementele update)” mechanisme, maar zonder het breken van de reeds bestaande handtekening.Handtekening Verpakking (SWA) – kwetsbaarheid is vergelijkbaar met ISA, maar de schadelijke code bevat ook extra logica om gek van de handtekening van de validatie proces in het “inpakken” rond de aanvaller extra content, effectief digitaal ondertekenen van de incrementele update.
Aan het einde van dit artikel zijn foto ‘ s met die PDF-apps en web-based PDF signing services kwetsbaar waren en welke van de drie kwetsbaarheden.
“Als u gebruik maakt van één van onze geanalyseerd Desktop Viewer-Toepassingen die u al mocht hebben er een update voor uw reader,” de onderzoekers gezegd. Gebruikers die nog niet hebt geïnstalleerd updates om hun PDF-apps de laatste tijd, moeten uiterlijk in het bijwerken van hun cliënt te voorkomen dat het laden van gesmeed digitaal ondertekend PDF-documenten. De web services in de lijst in het rapport vast dat de problemen door het toepassen van server-side oplossingen.
“Momenteel zijn we ons niet bewust van alle exploits gebruik van onze aanvallen,” de onderzoekers gezegd.
Meer informatie over de drie kwetsbaarheden zijn beschikbaar in dit PDF-research paper [1, 2], deze blog post, en deze speciale website.
Afbeelding: Mladenov et al.
Afbeelding: Mladenov et al.
Verwante cybersecurity nieuws:
Microsoft Rand laat Facebook Flash code achter de gebruikers backsA derde van alle Chrome-extensies verzoek toegang tot de gegevens van de gebruiker op enig siteICANN: Er is een voortdurende en belangrijke risico voor de DNS-infrastructuur
Nieuwe browser-aanval laat hackers uitvoeren slechte code zelfs nadat de gebruiker laat een web pageCisco patches een paar van root-toegang-het verlenen van veiligheid flawsMicrosoft publiceert security alert op IIS-bug die ervoor zorgt dat 100% CPU-gebruik spikes
Ernstige kwetsbaarheid gevonden in Android ES File Explorer app TechRepublicXiaomi elektrische scooter naar verluidt kwetsbaar voor het kapen van hack CNET
Verwante Onderwerpen:
Enterprise Software
Beveiliging TV
Data Management
CXO
Datacenters