PDF暗号化が破られる：Adobe Acrobat、Foxitなどがセキュリティ上の欠陥の影響を受ける

ルール大学ボーフム校とミュンスター大学の研究者らは、PDFファイルに存在する2つの脆弱性「PDFex」を明らかにしました。これらの脆弱性は、PDFファイルのコンテンツを保護するために使用されている暗号化を無効化します。1つの脆弱性は、攻撃者がファイルの一部を操作して直接的な情報漏洩攻撃を可能にするものであり、もう1つの脆弱性は「既存の平文を改変」したり「全く新しい暗号化オブジェクトを構築」したりするために利用される可能性があります。

2つ目の脆弱性は、PDF暗号化において「整合性チェックを行わない暗号ブロック連鎖（CBC）暗号化モード（暗号文の可塑性を意味する）」が使用されていることに起因します。これにより、攻撃者は「CBC可塑性ガジェットを用いて、自己抽出可能な暗号文パーツを作成」することが可能になります。攻撃者は、この脆弱性を悪用することで、PDFフォーム、ハイパーリンク、JavaScriptといった同様の抽出手法を用いてファイルの内容にアクセスできるようになります。

これは孤立した問題ではない。研究者らは、多くの企業がPDF暗号化を利用していると述べた。キヤノンやサムスンなど、一部の企業はスキャナーにPDF暗号化を採用している。IBMは「PDF文書やその他のデータ（機密画像など）をPDFにラップするPDF暗号化サービス」を提供しており、PDF暗号化は医療記録の転送時に安全を保つためにも利用できると研究者らは述べている。 

PDFexの脆弱性は、PDF形式自体の問題であるため、回避が困難です。研究者らは、「評価の結果、広く使用されている27種類のPDFビューアのうち、Adobe Acrobat、Foxit Reader、Evince、Okular、Chrome、Firefoxなどの人気ソフトウェアを含むすべてのソフトウェアが、少なくとも1つの攻撃に対して脆弱であることが示されました」と述べています。研究者らは、この評価に関する詳細情報を専用ウェブサイトで公開しました。