Angriffe über PDF-Dateien möglich
 
Auch ohne Sicherheitslücken durch Programmierfehler stecken im Dateiformat PDF Möglichkeiten zum Einschleusen und Ausführen von beliebigen Programmen. Ein britischer Forscher hat demonstriert, welches Gefahrenpotenzial im Adobe Reader steckt.
 
Da der Adobe Reader auch Javascript unterstützt, liegt es nahe, hier Angriffsmöglichkeiten zu suchen. David Kierznowski hat dies getan und ist fündig geworden. Er schränkt jedoch in seinem Blog-Beitrag ein, dass Adobe sein eigenes Javascript-Modell verwendet und Angriffe daher nicht ganz so einfach sind, wie man denken könnte.
 
 
Seine erste Demonstration ist trotzdem recht simpel und funktioniert sowohl im Adobe Reader als auch im kostenpflichtigen Adobe Professional. Bei Öffnen eines präparierten PDF-Dokuments wird im Standard-Browser ohne weiteres Zutun des Anwenders eine vorgegebene Web-Seite geladen. Eine Warnung oder Rückfrage beim Benutzer erfolgt nicht, wenn Javascript aktiviert ist.
 
Dies eröffnet die Möglichkeit, den Anwender auf eine präparierte Web-Seite zu lenken, die eine Sicherheitslücke im Browser ausnutzt und schädlichen Code einschleust. Der eigentliche Angriff erfolgt also nicht über den Adobe Reader sondern über den Browser.
 
Die zweite Demonstration nutzt die Datenbankfähigkeiten von Adobe Professional. Sie öffnet eine Verbindung zur Windows-Datenbankschnittstelle ODBC, ermittelt verfügbare Datenbanken und sendet diese Informationen an einen Web-Server. Im Falle dieser Demonstration ist das der Rechner "localhost", also der eigene PC, bei einem realen Angriff wäre dies ein beliebiger Server im Internet.
 
David Kierznowski betont, dass andere mit etwas mehr Energie und Kreativität zweifellos noch weitere Angriffsmöglichkeiten finden werden. Er weist in diesem Zusammenhang auf die Unterstützung von HTML-Formularen sowie auf Zugriffe auf das Dateisystem hin.
 
Im Adobe Reader lässt sich Javascript über "Bearbeiten/Grundeinstellungen" deaktivieren. Enthält eine PDF-Datei Javascript, erfolgt dann jedoch stets eine Rückfrage, ob der Benutzer Javascript nun und für die Zukunft aktivieren will.
 
Quelle: PC-Welt