Ataque PDF: Todos vulnerables

Bienvenidos al maravilloso mundo del UXSS, el Cross Site Scripting Universal. Siéntense y disfruten, porque si muchas veces se ha dado por sentado que la mayoría de sitios web son vulnerables a ataques XSS, hoy estamos más cerca que nunca de afirmarlo.

Y es que 2007 no ha podido empezar peor en lo que a la Seguridad en Internet respecta. Si en 2006 los webmasters corríamos desesperados a parchear nuestros sitios en cuanto se descubría una nueva falla que pudiera permitir ataques XSS en nuestro particular software, en 2007 ya casi no merece la pena correr porque, de la noche a la mañana, nos hemos enterado de que todos nuestros sitios son vulnerables...

Debido a múltiples vulnerabilidades descubiertas en el plugin de Adobe Acrobat versiones 6.x y 7.x, los ficheros PDF (cualquier fichero pdf) se han revelado como el mejor vector de ataque que pudiera imaginarse. ¿Qué sitio (incluyendo bancos, organismos oficiales, etc, etc.) no alberga algún pdf en sus servidores? Si puede invocarse un PDF (cualquier pdf público, sin necesidad de tener permisos especiales) de forma que ejecute código javascript (cualquier código javascript), apaga y vámonos.

Para colmo de males, el aviso original informa de que los fallos detectados permiten la ejecución de código en Firefox, ataques DoS en Explorer y el robo de sesiones en Firefox, Opera y Explorer. Ahí es nada.

Y es que no existen soluciones milagrosas. Como webmasters podemos retirar los pdf de nuestros servidores; como usuarios algunos pueden actualizar a la versión 8 (pero no todos los usuarios lo harán, y mucho menos aún los de Linux, que ni siquiera lo tenemos disponible), deshabilitar Javascript (poco sentido tiene utilizar NoScript cuando todos los sitios son ya sospechosos), no abrir PDFs en el navegador (e instruirle para ello), utilizar extensiones (como PDF Download) que nos concedan mayor control...

Pero el daño ya está hecho. La vulnerabilidad esencial de una Red creada para compartir "de buen rollito", ha vuelto a quedar en evidencia.

Y esta vez de qué manera.

Actualizaciones:

• 4-Enero, 18:45/ También funciona en local: Ya ni siquiera hacen faltra servidores web para explotar el ataque. Lo cuento aquí.
• 4-Enero, 10:37/ Una explicación para "torpes": En este comentario he procurado explicar las consecuencias del fallo desde el punto de vista del usuario y del webmaster, así como algunas medidas preventivas que ayudarán a unos y otros.
• 21:39/ Una contramedida para webmasters: Vía PHP Security encuentro unas líneas que pueden hacer que Apache obligue a descargar los pdf, en vez de que se abran con el dichoso plugin. Son éstas:

  SetEnvIf Request_URI "\.pdf$" requested_pdf=pdf
  Header add Content-Disposition "Attachment" env=requested_pdf

  Funcionan en httpd.conf o en un .htaccess. Gracias a esta medida he podido reponer en el sitio los pdf y Kriptópolis -creo- ya no es vulnerable, pero si alguien piensa lo contrario por favor que me avise para contarlo ;). Si no, ya estáis tardando en aplicarlo los que tengáis sitios web alojando pdf.

• 21:20/ Diferencias entre Explorer 7 y Firefox en Windows: Al tratar de ejecutar javascript en un pdf, Explorer 7 se niega y da un "error de red". Firefox 1.5.0.9 se lo traga, abre el plugin y ejecuta el javascript sin rechistar. Uhm...

Más información:

• Adobe Acrobat Reader Plugin - Multiple Vulnerabilities [Aviso original de los descubridores].
• Subverting AJAX [Trabajo presentado en CCC, paradójicamente disponible en pdf].
• Danger, danger, danger [GNUCitizen]
• Hacking with Browser Plugins [Sven Vetsch dando la voz de alarma. Detalles y algunos ejemplos].
• Acrobat Reader plug-in vulnerable to attacks [ComputerWorld]
• Universal XSS in PDFs [Ha.ckers.org]
• PDF XSS vulnerability announced at CCC [SANS Institute]
• Universal XSS with PDF files: highly dangerous [SecurityFocus]
• When PDFs Attack! [Symantec]
• Adobe Reader Cross-Site Scripting Vulnerability [Secunia]