Les lecteurs PDF comme Adobe Reader ont été la source de nombreuses vulnérabilités en matière de sécurité au fil des ans. En effet, un fichier PDF n'est pas simplement un document: il peut contenir des scripts, des supports intégrés et d'autres éléments douteux.
Les PDF ne sont pas que des documents
Le format de fichier PDF est en réalité très compliqué. Il peut contenir beaucoup de choses, pas seulement du texte et des images, comme on pourrait s'y attendre. PDF prend en charge de nombreuses fonctionnalités qu’il aurait dû éviter, qui ont ouvert de nombreuses failles de sécurité dans le passé.
- JavaScriptLes fichiers PDF peuvent contenir du code JavaScript, qui est le même langage que celui utilisé par les pages Web de votre navigateur. Les PDF peuvent être dynamiques et constituer un code qui modifie le contenu du PDF ou manipule les fonctionnalités du visualiseur PDF. Historiquement, de nombreuses vulnérabilités ont été causées par les PDF utilisant le code JavaScript pour exploiter Adobe Reader. L'implémentation JavaScript d'Adobe Reader contient même des API JavaScript spécifiques à Adobe, dont certaines n'étaient pas sécurisées et ont été exploitées.
- Flash intégré: Les PDF peuvent contenir du contenu Flash incorporé. Toute vulnérabilité dans Flash pourrait également être utilisée pour compromettre Adobe Reader. Jusqu'au 10 avril 2012, Adobe Reader contenait son propre lecteur Flash fourni. Les failles de sécurité corrigées dans Flash Player principal peuvent ne pas avoir été corrigées dans le lecteur Flash Player fourni avec Adobe Reader avant plusieurs semaines, laissant ainsi les failles de sécurité ouvertes à l’exploitation. Adobe Reader utilise maintenant le lecteur Flash installé sur votre système plutôt qu'un lecteur interne.
- Actions de lancement: Les fichiers PDF ont la possibilité de lancer n’importe quelle commande après l’affichage d’une fenêtre de confirmation. Dans les versions antérieures d'Adobe Reader, un fichier PDF pouvait tenter de lancer une commande dangereuse tant que l'utilisateur cliquait sur OK. Adobe Reader contient maintenant une liste noire qui empêche les fichiers PDF de lancer des fichiers exécutables.
- GoToE: Les fichiers PDF peuvent contenir des fichiers PDF incorporés pouvant être chiffrés. Lorsqu'un utilisateur charge le fichier PDF principal, il peut immédiatement charger son fichier PDF incorporé. Cela permet aux attaquants de masquer des fichiers PDF malveillants dans d'autres fichiers PDF, trompant ainsi les analyseurs antivirus en les empêchant d'examiner le fichier PDF masqué.
- Commandes de média incorporéesRemarque: outre le format Flash, les fichiers PDF peuvent traditionnellement contenir des supports Windows Media Player, RealPlayer et QuickTime. Cela permettrait à un fichier PDF d’exploiter les vulnérabilités de ces contrôles de lecteur multimédia incorporables.
Le format de fichier PDF comporte de nombreuses autres fonctionnalités qui augmentent sa surface d’attaque, notamment la possibilité d’incorporer n’importe quel fichier dans un fichier PDF et d’utiliser des graphiques 3D.
La sécurité des PDF s'est améliorée
Si tout va bien, vous devriez maintenant comprendre pourquoi Adobe Reader et les fichiers PDF ont été une source de tant de vulnérabilités en matière de sécurité. Les fichiers PDF peuvent ressembler à de simples documents, mais ne vous y trompez pas: il pourrait y en avoir beaucoup plus sous la surface.
La bonne nouvelle est que la sécurité des fichiers PDF s'est améliorée. Adobe a ajouté un bac à sable appelé «Mode protégé» dans Adobe Reader X. Le fichier PDF est exécuté dans un environnement limité et verrouillé, dans lequel il n'a accès qu'à certaines parties de votre ordinateur, et non à l'ensemble de votre système d'exploitation. Cela ressemble à la façon dont le sandboxing de Chrome isole les processus de page Web du reste de votre ordinateur. Cela crée beaucoup plus de travail pour les attaquants. Ils ne doivent pas simplement trouver une faille de sécurité dans le visualiseur PDF: ils doivent trouver une faille de sécurité, puis utiliser une deuxième faille de sécurité dans le bac à sable pour sortir du bac à sable et endommager le reste de votre ordinateur. Ce n’est pas impossible, mais beaucoup moins de vulnérabilités de sécurité ont été découvertes et exploitées dans Adobe Reader depuis l’introduction du bac à sable.
On peut se demander si les PDF devraient vraiment pouvoir faire tout cela, mais la sécurité des PDF s'est au moins améliorée. C’est plus que ce que nous pouvons dire pour le plug-in Java, qui est terrible et qui est actuellement le principal vecteur d’attaque sur le Web. Chrome vous avertit avant d'exécuter du contenu Java si le plug-in Java est également installé.
