Kỹ thuật khai thác mới làm lộ dữ liệu trong tệp PDF

[WhiteHat News #ID:2017]

Các nhà nghiên cứu vừa phát hiện một kỹ thuật tiêm (injection) mới có khả năng trích xuất dữ liệu từ các tệp PDF.

“Một liên kết đơn giản có thể tác động toàn bộ nội dung của một tệp PDF”, nhà nghiên cứu Gareth Heyes cảnh báo khi thuyết trình tại hội nghị bảo mật Black Hat Europe.

Kỹ thuật chèn mã mới cho phép tin tặc tiêm mã để khởi chạy các cuộc tấn công XSS (cross-site scripting) nguy hiểm bên trong tài liệu PDF.

PDF (Portable Document Format) dùng để chia sẻ tài liệu giữa các doanh nghiệp. Định dạng này cũng rất phổ biến cho vé và thẻ lên máy bay, các tài liệu chứa số hộ chiếu, địa chỉ nhà riêng, chi tiết tài khoản ngân hàng và dữ liệu cá nhân có giá trị khác.

Nhà nghiên cứu Heyes từ công ty bảo mật ứng dụng web PortSwigger cảnh báo các tin tặc có thể đưa mã PDF để “escape (thoát) các object, chiếm đoạt liên kết và thậm chí thực thi JavaScript tùy ý” bên trong tệp PDF.

Chuyên gia này cho biết vấn đề bắt nguồn từ các thư viện PDF tồn tại lỗ hổng không phân tích mã đúng cách - cụ thể là dấu ngoặc đơn và dấu gạch chéo ngược.

Heyes đã thử nghiệm khai thác trên một số thư viện PDF phổ biến và xác nhận hai thư viện có thể bị khai thác bởi kỹ thuật này là PDF-Lib (52.000 lượt tải xuống hàng tuần) và jsPDF (250.000 lượt tải xuống).

Heyes phát hiện mình có thể trích xuất nội dung từ các tệp PDF sang một máy chủ từ xa bằng cách sử dụng một URL giả mạo. Ông cảnh báo: “Ngay cả các tệp PDF được tải từ hệ thống tệp trong Acrobat, hệ thống có khả năng bảo vệ nghiêm ngặt hơn, vẫn có thể bị buộc phải thực hiện các yêu cầu bên ngoài”. Chuyên gia này chứng minh mình đã tiêm thành công để có thể thực hiện tấn công SSRF trên một tệp PDF được render từ phía máy chủ.

Heyes cũng nhấn mạnh tin tặc có thể đánh cắp nội dung của tệp PDF mà không cần người dùng tương tác.

Theo Securityweek​