Mnogi popularni .PDF čitači i onlajn servisi za validaciju potpisa .PDF dokumenata sadrže ranjivosti koje mogu biti iskorišćene za unos neautorizovanih izmena bez narušavanja validnosti potpisa.

Potpisivanje .PDF dokumenata se oslanja na kriptografsku zaštitu, koja sprečava unos neovlašćenih izmena u dokument koji je potpisan na ovakav način.

Ovakav vid potpisivanja .PDF dokumenata koriste mnoge državne institucije širom sveta, ali i privatne kompanije i velike korporacije kao što je Amazon, koji svojim klijentima na ovakav način potpisuje fakture.

Tim istraživača iz Nemačke je analizirao 22 desktop aplikacije (koje uključuju Windows, Linux i macOS verzije operativnih sistema) i 7 onlajn servisa za validaciju potpisa .PDF dokumenata i tom prilikom su otkrivene navedene ranjivosti.

Lista ranjivih aplikacija uključuje Adobe Reader, Foxit Reader, LibreOffice, Nitro Reader, PDF-Xchange i Soda PDF. Lista ranjivih onlajn servisa za validaciju potpisa uključuje DocuSign, eTR Validation Service, DSS Demonstration WebApp, Evotrust i VEP.si.

Istraživači su svoje rezultate podelili sa vendorima navedenih aplikacija i onlajn servisa. Vendori aplikacija su već objavili zakrpe za navedene ranjivosti, dok neki od vendora onlajn servisa aktivno rade na pronalaženju odgovarajućih rešenja.

Istraživači su objavili dokument koji sadrži izveštaj o njihovom radu, kao i link na kojem se mogu videti primer zloupotrebe otkrivene ranjivosti i njihove preporuke.

Nacionalni CERT Republike Srbije preporučuje svim korisnicima da blagovremeno ažuriraju svoja hardverska i aplikativna rešenja, kao jednu od najefikasnijih mera preventivnog delovanja.

Izvor: SecurityWeek