パスワードを忘れた? アカウント作成
12710044 story
セキュリティ

EdgeブラウザのPDFビューア機能は攻撃に使われる可能性がある 32

ストーリー by hylom
サンドボックス化されていれば良いのだが 部門より
taraiok 曰く、

Windows 10で導入された新Webブラウザ「Edge」では、PDFファイルを表示する機能がある。これはWindowsの「Windows Runtime (WinRT) PDF」を利用しているのだが、この機能を利用して悪意のある攻撃者が攻撃を実行できる可能性があるという(IBMのSecurity IntelligenceSOFTPEDIASlashdot)。

指摘されているのは、Edgeブラウザが自動的にPDFファイルをWinRT PDFで表示する点。WinRT PDFでは過去に脆弱性が発見されているが、このような脆弱性に対して対処を行っていない場合、Webページを表示させるだけでPDFをロードさせて攻撃を行えるという。また、今後WinRT PDFに未修正の脆弱性が発見される可能性もあるが、そういった場合に攻撃者が容易に攻撃を行えてしまう可能性があるという。

この議論は賞味期限が切れたので、アーカイブ化されています。 新たにコメントを付けることはできません。
  • by Anonymous Coward on 2016年03月07日 13時13分 (#2976028)

    Adobe Readerで見ようがFirefoxで見ようがChromeで見ようが
    脆弱性があれば攻撃される可能性はあるでしょ?

    Firefox PDFViewrに脆弱性
    http://japan.zdnet.com/article/35068614/ [zdnet.com]

    PDFビューワーで情報漏洩が起こる脆弱性などが修正
    http://www.forest.impress.co.jp/docs/news/20151111_730027.html [impress.co.jp]

    「過去に脆弱性があった。修正パッチを当ててないと攻撃される。
    未知の脆弱性もあるかも。」なんて特定のソフトだけに当てはまる話じゃないでしょう。

    • 攻撃境界面を減らすという観点で見れば、PDF を使ってる時点で負け
      親コメント
      • by Anonymous Coward

        すなわち、画像も動画も表示しないのが最良ですね

      • by Anonymous Coward

        だからそれはEdgeに限らず、って話でしょ?

      • by Anonymous Coward

        攻撃を受ける窓口があると負けだから、窓を壁にする。
        ドアも塗りこめて壁にする。
        水道管も、下水も、換気口も潰して壁にする。

        その中にいる君は勝者か?

        本当の勝者はPDFを使っていても攻撃に耐える人だろ。

    • by Anonymous Coward

      http://pc.watch.impress.co.jp/docs/column/win10uw/20160224_745063.html [impress.co.jp]

      ユーザーが独自にAcrobat Reader DCなどをインストールすれば、この設定は書き換わる。
      ところが、書き換わった状態であるにも関わらず、EdgeでPDFへのリンクを開くとEdgeがそれを開くのだ。
      設定を確認しても、Edgeとの関連付けは解除されている。

      こういう話ありますしね。

      • by Anonymous Coward
        その部分も含めて Chrome とかと同じだと思うけど。
      • by Anonymous Coward

        >EdgeでPDFへのリンクを開くとEdgeがそれを開くのだ。
        当たり前だろなに言ってんだ…
        pdfとの関連付けとEdgeがpdfへのリンクを開いたときどうするかは別の話でしょ

  • by Anonymous Coward on 2016年03月07日 15時26分 (#2976108)

    IBMの元記事 [securityintelligence.com]の意図としては、Edgeで使われているPDFライブラリが
    ①JavaやFlashのような汎用のVM(.NET Framework)で動作すること、②ライブラリなので親と同じプロセスで動くこと、の2点から、
    新しい攻撃の標的として狙われる可能があるよ、と言っているようです。

    「現段階では、多重の攻撃緩和機構のために、EdgeのPDFを攻撃するのは高くつく」とも書いているので、
    別に具体的な攻撃策があるわけではなく、あくまで一般論のレベルで「いかにも狙われそうなアーキテクチャじゃないか?」と言いたいようです。

    一般論として考えれば、確かに狙われそうな設計になっている気はします。
    一方で、Silverlightなどはそれほど脆弱性が多かったという話は聞きませんので、結局は.NET Frameworkのクオリティ次第でしょうね。

    • by Anonymous Coward

      そういや、EdgeブラウザーやWindowsストアアプリは低権限化+runtime brokerでサンドボックス化されているって聞きましたけど、このWinRT PDFは違うのですか? 親と同じプロセスならこちらもサンドボックス動作になりそうな気も…。

      サンドボックス化されていれば良いのだが 部門より

      • by Anonymous Coward
        Edge はサンドボックスの中で動きます。
        当然、そこから呼ばれる WinRT PDF もサンドボックスの中。
    • by Anonymous Coward

      Firefox の PDF.js も似ているところがありますね(Firefoxに深刻な脆弱性、Mozillaが更新を呼びかける [security.srad.jp])
      今は javascript も VM ですし、WebGL で GPU も触れるし、リッチにはなりましたがセキュリティの担保は大変になっている気がします。
      (何となく不安という理由で WebGL は無効化しています……)

      • by Anonymous Coward

        MSはまさに、WebGLにGPUを触らせるのが不安だという主張で、ブラウザへのWebGL実装を見送っていた時期がありました。
        その後、セキュリティ用のレイヤーを被せてWebGLを実装する方針になったとか…。

  • by Anonymous Coward on 2016年03月07日 15時55分 (#2976122)

    PDFというすでに枯れてきてると思われるファイルフォーマットなのに、未だに大量の脆弱性が見つかるっていうのはどういうことなんでしょう?
    細かい部分で進化していってるということなんでしょうか?それを誰が必要としてるのか。
    埋め込みのスクリプトを実行する必要があるのでしょうか?

    自分も知らず知らずのうちに利用してるのかもしれませんが、PDFにスクリプト実行が必要なケースというのが思いつかない。
    PDFに入力フォームをつけて色々やろうとした場合などだろうか。それって、そもそもPDFをインターフェイスに選ぶこと自体間違ってるような。

    自分がPDFにただの印刷のデジタル物という認識しかないせいか。

    • by nekopon (1483) on 2016年03月07日 17時02分 (#2976179) 日記

      自分がPDFにただの印刷のデジタル物という認識しかないせいか。

      正直そのせいだと思います。
      # プログラミング可能なフォーマットがある限り、人はその脆弱性を突き続ける

      親コメント
    • by Anonymous Coward

      中を見てみることです。りっぱなプログラムです。プログラムでしかないです。
      ただし、deflateされてる部分は伸長してください。

      • by Anonymous Coward

        PDFがPostScriptのような何かであることと、JavaScriptが動くことは無関係。
        JavaScriptは後付ですし、「印刷のデジタル物」としての出版業界の要請には、
        PDF/Xというサブセットがあり、これにはJavaScriptはありません。

        • by Anonymous Coward

          JavaScriptが動くことと、PDF全体がインタプリタを要する何かであることは無関係。

          • by Anonymous Coward

            そう、
            IBMの元記事のいう脆弱性は、Edgeの使ってるライブラリ(WinRT PDF)がPDFをレンダリングするときのもので、#2976122さんが危惧するJavaScriptのことではない。

    • by Anonymous Coward

      TIFFだってあんなに簡単な構造なのに libtiff なんて何時までもセキュリティホールの塊みたいな状況でした。
      それから比べれば、PDFは十分に複雑すぎる。
      特に、コンテンツのレンダラーなんて、一般的なフォントフォーマットを一通りサポートしないといけないですし、決して、分かりやすい構造だとは言えないでしょう。

      # Edgeは、JavaScript/Flash埋め込みとかいう恐ろしい機能はそもそもサポートすべきじゃないし、サポートしてないとは思う。

      • by Anonymous Coward

        Windows 10標準の「リーダー」が使ってるPDFライブラリと同じだとしたら、JavaScriptはあるな。

    • by Anonymous Coward

      >埋め込みのスクリプトを実行する必要があるのでしょうか?
      いや、そうしないと色々な画像どころかフォントですら表現できないでしょ?

typodupeerror

アレゲはアレゲ以上のなにものでもなさげ -- アレゲ研究家

読み込み中...