Une faille de sécurité touche Internet Explorer et les PDF
Elle permet d'obtenir des informations cachées sur le créateur du document
Le 2009-11-24 12:26:17, par Gordon Fowler, Expert éminent sénior
Les PDF mis en ligne recèle plus d'informations qu'on ne le croit.
Sans être une vulnérabilité critique, la faille qui vient d'être mise à jour reste néanmoins préoccupante.
Jusqu'ici, lorsqu'un PDF était mis en ligne, son auteur pouvait décider de cacher les informations contenues dans l'en-tête et le pied de page. Ces informations concernent notamment le "chemin" (C:/Documents and settings/etc. ) de l'endroit ou se trouvait le PDF sur le disque local. Si l'on y prend garde, les noms d'utilisateurs (voire l'identité du créateur du document), le type d'OS employé, le nom d'un projet (si le PDF est dans un dossier portant ce nom), etc. peuvent rapidement devenir publics.
On croyait que ces informations pouvaient toujours être camouflées via File -> Page Setup -> Pied de Page et modifier “URL” en “Empty”. Une fois cette modificationa apportée, les pieds de pages restent vides. Mais les informations sont toujours là.
Et très facilement consultables.
Il suffit d'imprimer le PDF avec Internet Explorer (même la version 8).
Dans Windows, un simple clic-droit sur un document permet de lancer une impression... qui révèlera toutes les informations précédemment dissimulées. Il ne s'agit pas d'une impression papier mais nous ne donneront pas plus de détails sur le proof-of-concept qui permet d'y accéder
Internet Explorer est impliqué dans cette faille dans la mesure où le menu contextuel s'appuie le navigateur (qui gère également l'affichage des fenêtres dans l'OS).
Curieusement, seuls 20 % des PDF de la toile semblent exposés. Contacté par l'auteur de la preuve de faisabilité, Microsoft a confirmé qu'il travaillait sur cette anomalie.
La seule parade, à ce jour, contre ces indiscrétions reste de suppriment manuellement ces informations en utilisant un éditeur de texte.
De son coté, Adobe reste désespérément silencieux.
Source : La Proof-of-Concept
Lire aussi :
Les rubriques (news, tutos, forums) de Developpez.com
Et vous ? :
Sans être une vulnérabilité critique, la faille qui vient d'être mise à jour reste néanmoins préoccupante.
Jusqu'ici, lorsqu'un PDF était mis en ligne, son auteur pouvait décider de cacher les informations contenues dans l'en-tête et le pied de page. Ces informations concernent notamment le "chemin" (C:/Documents and settings/etc. ) de l'endroit ou se trouvait le PDF sur le disque local. Si l'on y prend garde, les noms d'utilisateurs (voire l'identité du créateur du document), le type d'OS employé, le nom d'un projet (si le PDF est dans un dossier portant ce nom), etc. peuvent rapidement devenir publics.
On croyait que ces informations pouvaient toujours être camouflées via File -> Page Setup -> Pied de Page et modifier “URL” en “Empty”. Une fois cette modificationa apportée, les pieds de pages restent vides. Mais les informations sont toujours là.
Et très facilement consultables.
Il suffit d'imprimer le PDF avec Internet Explorer (même la version 8).
Dans Windows, un simple clic-droit sur un document permet de lancer une impression... qui révèlera toutes les informations précédemment dissimulées. Il ne s'agit pas d'une impression papier mais nous ne donneront pas plus de détails sur le proof-of-concept qui permet d'y accéder
Internet Explorer est impliqué dans cette faille dans la mesure où le menu contextuel s'appuie le navigateur (qui gère également l'affichage des fenêtres dans l'OS).
Curieusement, seuls 20 % des PDF de la toile semblent exposés. Contacté par l'auteur de la preuve de faisabilité, Microsoft a confirmé qu'il travaillait sur cette anomalie.
La seule parade, à ce jour, contre ces indiscrétions reste de suppriment manuellement ces informations en utilisant un éditeur de texte.
De son coté, Adobe reste désespérément silencieux.
Source : La Proof-of-Concept
Lire aussi :
Les rubriques (news, tutos, forums) de Developpez.com
Et vous ? :
-
kOrt3xModérateurJe les plains les développeurs de IE, ils doivent en avoir du boulot...le 24/11/2009 à 12:50
-
entreprise38InactifIci IE n'est pas en cause, mais Adobe, pour laisser ce genre d'infos dans des pdf.le 24/11/2009 à 13:00
-
kOrt3xModérateurle 24/11/2009 à 13:12
-
chemanelMembre confirméMicrosoft travaille.... en collaboration avec Adobele 24/11/2009 à 13:36
-
FR119492RédacteurBonjour à tous.
Est-ce qu'il n'y a pas un moyen très simple: mettre le fichier original sur un stick USB et retirer le stick après le transert sur le net?
Jean-Marc Blancle 24/11/2009 à 13:57 -
Bonjour,
Cela concerne les PDF créés avec quel logiciel ? Sous quelle version ?le 24/11/2009 à 14:21 -
shkyoMembre expérimentéIl n'y a pas que les .pdf, car il y a un certain temps (assez long...), j'avais lu dans l'excellent magazine "MISC" (sur la sécurité informatique pour info), que si tu passais les fichiers dans des éditeurs hexadécimaux, tu pouvais trouver beaucoup d'infos supplémentaires, comme les noms de créateurs, les modifs, des restes de copier-coller (!!!), etc...
Je ne sais pas si c'est encore valable avec Office 2007, mais bon.le 24/11/2009 à 15:18 -
jowoMembre chevronnéBonjour,
je ne vois l'intérêt d'un telle information. Du moment où l'on télécharge un fichier, on peut l'examiner avec n'importe quel éditeur de texte (avec fonction hexadécimal) et que l'utilisateur connait le format du fichier.
Même si certaines parties du document sont cryptées, il est assez simple de contourner...
Par exemple, certains documents PDF ne sont autorisés à être imprimés...le 24/11/2009 à 17:02 -
ni69Membre à l'essaiJe suis d'accord avec jowo:
A partir du moment où l'utilisateur fournit délibérément les informations sensibles (j'entends par là qu'il met en ligne un fichier, pas forcément qu'il est conscient de tout ce qu'il contient), le logiciel permettant l'affichage n'a pas à être mis en cause dans la divulgation de ces mêmes informations ! Le seul problème réside dans le module qui réalise l'enregistrement.
Sinon on en arrive très vite a des abbérations comme :
"Une faille de sécurité touche les éditeurs hexadécimaux : ils peuvent lire le contenu des fichiers"le 24/11/2009 à 18:48 -
smyleyExpert éminentC'est vrai que j'ai du mal avec la tournure "il y a une faille dans IE parce qu'il permet de lire les informations contenues dans un PDF" ... (IE a quand même une histoire suffisamment lourde en faille pour ne pas encore lui en rajouter
)
D'ailleurs en principe ce n'est pas une faille non plus, mais une fuite si on veux. Une faille c'est plus dans l'idée que grâce à un exploit on peut arriver à s'infiltrer sur un PC et récupérer à l'insu du plein gré de l'utilisateur des informations sur lui.
Là c'est l'utilisateur qui divulgue lui même (à l'insu de son plein gré aussi ceci dit) des informations à cause de problèmes avec le générateur de document PDF (qui est ? bah on sait pas) le 24/11/2009 à 21:20