Discussion :

[Gordon Fowler]

Une faille de sécurité touche Internet Explorer et les PDF
Elle permet de collecter des informations sur la machine qui a édité le document


Les PDF mis en ligne recèle plus d'informations qu'on ne le croit.

Sans être une vulnérabilité critique, la faille qui vient d'être mise à jour reste néanmoins préoccupante.

Jusqu'ici, lorsqu'un PDF était mis en ligne, son auteur pouvait décider de cacher les informations contenues dans l'en-tête et le pied de page. Ces informations concernent notamment le "chemin" (C:/Documents and settings/etc. ) de l'endroit ou se trouvait le PDF sur le disque local. Si l'on y prend garde, les noms d'utilisateurs (voire l'identité du créateur du document), le type d'OS employé, le nom d'un projet (si le PDF est dans un dossier portant ce nom), etc. peuvent rapidement devenir publics.

On croyait que ces informations pouvaient toujours être camouflées via File -> Page Setup -> Pied de Page et modifier “URL” en “Empty”. Une fois cette modificationa apportée, les pieds de pages restent vides. Mais les informations sont toujours là.

Et très facilement consultables.

Il suffit d'imprimer le PDF avec Internet Explorer (même la version 8).

Dans Windows, un simple clic-droit sur un document permet de lancer une impression... qui révèlera toutes les informations précédemment dissimulées. Il ne s'agit pas d'une impression papier mais nous ne donneront pas plus de détails sur le proof-of-concept qui permet d'y accéder

Internet Explorer est impliqué dans cette faille dans la mesure où le menu contextuel s'appuie le navigateur (qui gère également l'affichage des fenêtres dans l'OS).

Curieusement, seuls 20 % des PDF de la toile semblent exposés. Contacté par l'auteur de la preuve de faisabilité, Microsoft a confirmé qu'il travaillait sur cette anomalie.

La seule parade, à ce jour, contre ces indiscrétions reste de suppriment manuellement ces informations en utilisant un éditeur de texte.

De son coté, Adobe reste désespérément silencieux.

Source : La Proof-of-Concept

Lire aussi :

Plus de 80% des utilisateurs toujours vulnérables aux récentes failles détectées dans les lecteurs Adobe

Les rubriques (news, tutos, forums) de Developpez.com
Sécurité
Windows
Développement Web

Et vous ? :

Que pensez-vous de l'attitude d'Adobe ?
Allez-vous éditer vos PDF pour supprimer les "chemins" ou concidérez-vous qu'il s'agit d'une crise de paranoïa ?

[kOrt3x]

Je les plains les développeurs de IE, ils doivent en avoir du boulot...

[entreprise38]

Ici IE n'est pas en cause, mais Adobe, pour laisser ce genre d'infos dans des pdf.

[kOrt3x]

Microsoft a confirmé qu'il travaillait sur cette anomalie.

Oui, j'ai bien compris.

[chemanel]

Microsoft travaille.... en collaboration avec Adobe

[FR119492]

Bonjour à tous.
Est-ce qu'il n'y a pas un moyen très simple: mettre le fichier original sur un stick USB et retirer le stick après le transert sur le net?
Jean-Marc Blanc

[Invité(e)]

Bonjour,

Cela concerne les PDF créés avec quel logiciel ? Sous quelle version ?

[shkyo]

Ici IE n'est pas en cause, mais Adobe, pour laisser ce genre d'infos dans des pdf.

Il n'y a pas que les .pdf, car il y a un certain temps (assez long...), j'avais lu dans l'excellent magazine "MISC" (sur la sécurité informatique pour info), que si tu passais les fichiers dans des éditeurs hexadécimaux, tu pouvais trouver beaucoup d'infos supplémentaires, comme les noms de créateurs, les modifs, des restes de copier-coller (!!!), etc...

Je ne sais pas si c'est encore valable avec Office 2007, mais bon.

[jowo]

Bonjour,

je ne vois l'intérêt d'un telle information. Du moment où l'on télécharge un fichier, on peut l'examiner avec n'importe quel éditeur de texte (avec fonction hexadécimal) et que l'utilisateur connait le format du fichier.

Même si certaines parties du document sont cryptées, il est assez simple de contourner...

Par exemple, certains documents PDF ne sont autorisés à être imprimés...

[ni69]

Je suis d'accord avec jowo:
A partir du moment où l'utilisateur fournit délibérément les informations sensibles (j'entends par là qu'il met en ligne un fichier, pas forcément qu'il est conscient de tout ce qu'il contient), le logiciel permettant l'affichage n'a pas à être mis en cause dans la divulgation de ces mêmes informations ! Le seul problème réside dans le module qui réalise l'enregistrement.

Sinon on en arrive très vite a des abbérations comme :
"Une faille de sécurité touche les éditeurs hexadécimaux : ils peuvent lire le contenu des fichiers"

[smyley]

C'est vrai que j'ai du mal avec la tournure "il y a une faille dans IE parce qu'il permet de lire les informations contenues dans un PDF" ... (IE a quand même une histoire suffisamment lourde en faille pour ne pas encore lui en rajouter )

D'ailleurs en principe ce n'est pas une faille non plus, mais une fuite si on veux. Une faille c'est plus dans l'idée que grâce à un exploit on peut arriver à s'infiltrer sur un PC et récupérer à l'insu du plein gré de l'utilisateur des informations sur lui.

Là c'est l'utilisateur qui divulgue lui même (à l'insu de son plein gré aussi ceci dit) des informations à cause de problèmes avec le générateur de document PDF (qui est ? bah on sait pas )

[Chuck_Norris]

D'après ce que je comprends, IE doit quand même être blâmé car il affiche par défaut des informations qui devraient être cachées. Une correction est donc nécessaire.

De plus, je n'ai pas essayé, mais je suppose que si on parle d'IE spécifiquement ici, c'est que par exemple sous Firefox le problème n'est pas reproductible.

Le terme "faille" est sûrement un peu provocateur. Le vrai problème est le format PDF lui-même qui ne devrait pas stocker ce genre d'informations à l'insu du plein gré de son auteur.

[smyley]

D'après ce que je comprends, IE doit quand même être blâmé car il affiche par défaut des informations qui devraient être cachées. Une correction est donc nécessaire.

ie.
Faites attention : notepad, ultraedit, notepad++, vim, etc ont une faille car ils affichent par défaut toutes les informations d'un pdf. Il faut absolument les corriger.

(d'ailleurs d'après l'article IE ne l'affiche pas par défaut mais permet de l'afficher via un moyen non décris)

[Chuck_Norris]

Cela y est, encore un amalgame, encore une exagération parce que j'ai osé faire un peu d'ombre à Internet Explorer. Cela devient fatigant.

Il suffit d'imprimer le PDF avec Internet Explorer (même la version 8).

J'en déduis donc, suivant la news, que l'utilisateur lambda a accès à ces informations sans avoir à les chercher. Donc problème dans IE, car il ne devrait pas les afficher.

C'est largement différent du cas du fichier ouvert avec un éditeur hexadécimal ou autre. Ce n'est pas l'utilisateur lambda qui va ouvrir son PDF avec ce genre d'outils. La personne qui va le faire est en quête de ces informations, nécessairement, et va les retrouver, car elles sont disponibles. Il y a donc aussi un problème, mais différent. Il vient du fait que le PDF contient des informations qu'il ne devrait pas contenir.

D'accord, corriger le deuxième problème corrige le premier problème par effet "boule de neige". Mais modifier un format standard est moins facile que modifier un logiciel client qui affiche trop d'informations.

[smyley]

Cela y est, encore un amalgame, encore une exagération parce que j'ai osé faire un peu d'ombre à Internet Explorer. Cela devient fatigant.

Je précise que je n'utilise pas IE, cependant :

J'en déduis donc, suivant la news, que l'utilisateur lambda a accès à ces informations sans avoir à les chercher.

Il ne s'agit pas d'une impression papier mais nous ne donneront pas plus de détails sur le proof-of-concept qui permet d'y accéder

Il faut donc quand même les chercher un peux.

Donc problème dans IE, car il ne devrait pas les afficher.

Pourtant ce n'est pas la faute à IE si ces informations sont présentes dans le fichier. Ce n'est quand même pas à IE de protéger la quantité d'informations que l'on peut retirer d'un PDF, c'est à Adobe ou aux outils qui génèrent le PDF.

De plus, il n'est pas nécessaire d'avoir un éditeur d'hexa pour lire un pdf, vu qu'à la base un pdf est prévu pour être un fichier texte, donc on peut le lire avec notepad et avoir tout ce que l'on veux.

Idem, je me demande si dans le cas d'une indexation via Google par exemple, ces informations sont elles aussi extraites. Mais même si c'était le cas, une fois de plus ce ne serait pas une faille ou un problème dans Google. Le problème est que trop d'informations sont incluses dans le PDF d'origine.

D'ailleurs un autre élément marrant est que de toute façon IE ne sait pas lire de pdf (ni Firefox, ni Chrome). Il faut avoir Acrobat Reader d'installé sur la machine et c'est via ce module que le browser peut afficher le fichier pdf.
Du coup j'en viens carrément à penser que l'information peut tout simplement être récupérée via le composant ActiveX de Acrobat Reader.

Enfin, si on corrige le problème de la quantité d'information simplement en ne les affichant pas, c'est encore plus stupide que de les afficher car là on sait qu'il y a un problème, mais on se contente de dire "ah ben ça n'apparait pas donc osef". Non, c'est un faux problème. Le seul et unique vrai problème reste bien la quantité d'informations contenues dans un pdf, pas la manière de l'afficher car après tout maintenant qu'on le sait, rien n'empêche de faire un petit bot qui va scanner tous les pdfs et récupérer le contenu personnel. Et alors ? une faille de IE ? sans blague ...