Shadow Attacks: Forscher hebeln PDF-Signaturprüfung erneut aus

Inhaltsverzeichnis

Auf Papier unterschriebene Dokumente lassen sich recht leicht manipulieren, indem man die Seiten vor jener mit der Unterschrift heimlich austauscht. In der digitalen Welt sollen sogenannte digitale PDF-Signaturen dies verhindern: Digital unterschriebene PDFs sind, zumindest in der Theorie, nachträglich nicht mehr manipulierbar, ohne dass die Signaturprüfung der PDF-Software die Änderungen bemerkt und meldet.

Dass sich der Schutzmechanismus in der Praxis häufig aushebeln lässt, haben Forscher von der Ruhr-Universität Bochum (RUB) nun bereits zum zweiten Mal bewiesen. Das Team des Lehrstuhls für Netz- und Datensicherheit am Horst Görtz Institut der RUB attackierte PDF-Software mit Signierfunktion für Windows, Linux und macOS mit einem neu entwickelten, auf den Namen "Shadow Attacks" getauften Angriffsschema.

Neue Sicherheitsmechanismen – neue Gefahren

Interessanterweise resultieren die neuen Schwachstellen laut dem Forscherteam aus Sicherheitsmechnismen, die Hersteller ihren Produkten hinzufügten, nachdem das Forscherteam 2019 zum ersten Mal Signaturprüfungen ausgetrickst und gefundene Schwachstellen gemeldet hatte. heise online hatte darüber im vergangenen Februar berichtet.

Eine weit verbreitete Gegenmaßnahme, so die Forscher, basiere seither darauf, Veränderungen am signierten Dokument in "potenziell gefährlich" und "ungefährlich" einzuteilen. Eine tatsächliche Warnung erfolge beim Öffnen des Dokuments dementsprechend nur bei "gefährlichen" Änderungen. Dieses Jahr hätten die Forscher sich daher bewusst auf vermeintlich "ungefährliche" Änderungen am signierten Dokument konzentriert. Dabei trat zutage, dass manche Einstufung gefährlich danebenliegt.

Schattenhafte Extra-Layer

Im Zuge von Shadow Attacks wird dem Signierenden im ersten Schritt ("Vorbereitung") ein mit versteckten Inhalten präpariertes, jedoch völlig normal erscheinendes PDF-Dokument – etwa eine Rechnung oder ein Vertrag – zum Unterschreiben vorgelegt. Im zweiten Schritt ("Manipulation") macht der Angreifer die Inhalte wieder sichtbar, ohne dass die Signaturprüfung dies als unerlaubte oder gefährliche Änderung einstuft.

Die Forscher unterscheiden drei Shadow Attack-"Angriffsklassen":

• Hide: Unsichtbare werden hinter sichtbaren Elementen verborgen – etwa der Text "Sie sind gefeuert" hinter einer zu unterzeichnenden Beförderung.
• Replace: Hier werden nachträglich neue Elemente hinzugefügt, die die Überprüfungsmechanismen zwar als erlaubt/harmlos einstufen, die aber Auswirkungen auf die Darstellung haben. Als Beispiel nennen die Forscher selbst definierte Schriftarten mit vertauschten Buchstaben und/oder Zahlen.
• Hide-and-Replace: Ein vollständiges, im ersten Dokument verstecktes zweites Dokument ersetzt den Inhalt des ersten.

Technische Details zu den Angriffsklassen, einen detaillierten Vulnerability Report sowie Proof-of-Concept-Code finden Interessierte auf der von den Forschern veröffentlichten Website pdf-insecurity.org:

• Attacks on PDF Signatures (Beschreibung der Angriffsklassen)
• Vulnerability Report und PoC-Code

15 von 28 Programmen angreifbar

Die Forscher testeten ihre Shadow Attacks an insgesamt 28 PDF-Programmen teils namhafter Hersteller – darunter etwa Adobe Acrobat Reader und Pro, Foxit Reader und PhantomPDF, Nitro Pro/Reader und LibreOffice Draw. In 15 Fällen gelang der Angriff über mindestens eine von insgesamt drei entwickelten Shadow Attacks-Varianten.

Zehn weitere Produkte erwiesen sich als theoretisch ebenfalls manipulierbar, zeigten dem Nutzer im Falle eines Angriffsversuchs allerdings einen Hinweis an. Dabei handelt es sich laut Shadow Attacks-Website aber nicht um eine Warnung vor "gefährlichen" Änderungen, sondern nur um jenen Hinweis, der bei "erlaubten" Manipulationen wie etwa dem Hinzufügen von Kommentaren angezeigt wird.

Lediglich drei Produkten für macOS – Master PDF Editor (Version 5.4.38, 64-Bit), PDF Editor 6 Pro (6.8.1.3450) und PDFelement (7.5.7.2895) – konnten die Shadow Attacks laut einer von den Forschern veröffentlichten tabellarischen Übersicht der Ergebnisse nichts anhaben:

• Shadow Attacks: Evaluation Summary

Updates teilweise verfügbar

Die Forscher kommunizierten die Schwachstellen über das CERT-Bund des BSI im Rahmen eines Responsible-Disclosure-Prozesses an die Hersteller. Den Schwachstellen wurden die CVE-Nummern CVE-2020-9592 und CVE-2020-9596 zugewiesen.

Unterhalb der (im vorangegangenen Abschnitt dieser Meldung verlinkten) Übersicht nennen die Forscher die nach ihrer Kenntnis bereits verfügbaren abgesicherten Software-Versionen (Stand 17.07.20):

• Adobe DC (Mac + Win): 2020.006.20042,
• Adobe 2017 (Mac + Win): 2017.011.30166 und
• Adobe 2015 (Mac + Win): 2015.006.30518
  (--> jeweils gefixt im Mai 2020, siehe Bulletin APSB20-24)

• LibreOffice v6.2+ (6.2 erschien im Februar 2019)
• Foxit PDF und Foxit PhantomPDF (Win) 9.7.2+ (erschienen im April 2020)
• Foxit PDF und Foxit PhantomPDF (Mac) 4.0+
• SodaPDF v12+

Die Hinweise der Forscher erhalten, aber noch nicht reagiert haben folgende Firmen:

• Kofax (PowerPDF)
• Master PDF Editor
• Nitro
• PDF-XChange

Von folgenden Unternehmen haben die Forscher trotz mehrfacher Kontaktversuche keine Antwort erhalten:

• eXpert / ExpertReader
• pdfforge GmbH PDF Architect
• PDF Editor
• PDFelement
• Perfect

Gegenüber heise Security gab einer der Forscher an, beim CERT-Bund bezüglich neuer Entwicklungen nachgehakt zu haben. Wer verwundbare, bislang nicht abgesicherte PDF-Software nutzt, sollte daher die Auflistung verfügbarer Updates bei PDF Insecurity ebenso im Blick behalten wie entsprechende Herstellerhinweise. (ovw)