Discussion :

[Gordon Fowler]

Une faille de sécurité touche Internet Explorer et les PDF
Elle permet de collecter des informations sur la machine qui a édité le document


Les PDF mis en ligne recèle plus d'informations qu'on ne le croit.

Sans être une vulnérabilité critique, la faille qui vient d'être mise à jour reste néanmoins préoccupante.

Jusqu'ici, lorsqu'un PDF était mis en ligne, son auteur pouvait décider de cacher les informations contenues dans l'en-tête et le pied de page. Ces informations concernent notamment le "chemin" (C:/Documents and settings/etc. ) de l'endroit ou se trouvait le PDF sur le disque local. Si l'on y prend garde, les noms d'utilisateurs (voire l'identité du créateur du document), le type d'OS employé, le nom d'un projet (si le PDF est dans un dossier portant ce nom), etc. peuvent rapidement devenir publics.

On croyait que ces informations pouvaient toujours être camouflées via File -> Page Setup -> Pied de Page et modifier “URL” en “Empty”. Une fois cette modificationa apportée, les pieds de pages restent vides. Mais les informations sont toujours là.

Et très facilement consultables.

Il suffit d'imprimer le PDF avec Internet Explorer (même la version 8).

Dans Windows, un simple clic-droit sur un document permet de lancer une impression... qui révèlera toutes les informations précédemment dissimulées. Il ne s'agit pas d'une impression papier mais nous ne donneront pas plus de détails sur le proof-of-concept qui permet d'y accéder

Internet Explorer est impliqué dans cette faille dans la mesure où le menu contextuel s'appuie le navigateur (qui gère également l'affichage des fenêtres dans l'OS).

Curieusement, seuls 20 % des PDF de la toile semblent exposés. Contacté par l'auteur de la preuve de faisabilité, Microsoft a confirmé qu'il travaillait sur cette anomalie.

La seule parade, à ce jour, contre ces indiscrétions reste de suppriment manuellement ces informations en utilisant un éditeur de texte.

De son coté, Adobe reste désespérément silencieux.

Source : La Proof-of-Concept

Lire aussi :

Plus de 80% des utilisateurs toujours vulnérables aux récentes failles détectées dans les lecteurs Adobe

Les rubriques (news, tutos, forums) de Developpez.com
Sécurité
Windows
Développement Web

Et vous ? :

Que pensez-vous de l'attitude d'Adobe ?
Allez-vous éditer vos PDF pour supprimer les "chemins" ou concidérez-vous qu'il s'agit d'une crise de paranoïa ?

[kOrt3x]

Je les plains les développeurs de IE, ils doivent en avoir du boulot...

[entreprise38]

Ici IE n'est pas en cause, mais Adobe, pour laisser ce genre d'infos dans des pdf.

[shkyo]

Ici IE n'est pas en cause, mais Adobe, pour laisser ce genre d'infos dans des pdf.

Il n'y a pas que les .pdf, car il y a un certain temps (assez long...), j'avais lu dans l'excellent magazine "MISC" (sur la sécurité informatique pour info), que si tu passais les fichiers dans des éditeurs hexadécimaux, tu pouvais trouver beaucoup d'infos supplémentaires, comme les noms de créateurs, les modifs, des restes de copier-coller (!!!), etc...

Je ne sais pas si c'est encore valable avec Office 2007, mais bon.

[jowo]

Bonjour,

je ne vois l'intérêt d'un telle information. Du moment où l'on télécharge un fichier, on peut l'examiner avec n'importe quel éditeur de texte (avec fonction hexadécimal) et que l'utilisateur connait le format du fichier.

Même si certaines parties du document sont cryptées, il est assez simple de contourner...

Par exemple, certains documents PDF ne sont autorisés à être imprimés...

[ni69]

Je suis d'accord avec jowo:
A partir du moment où l'utilisateur fournit délibérément les informations sensibles (j'entends par là qu'il met en ligne un fichier, pas forcément qu'il est conscient de tout ce qu'il contient), le logiciel permettant l'affichage n'a pas à être mis en cause dans la divulgation de ces mêmes informations ! Le seul problème réside dans le module qui réalise l'enregistrement.

Sinon on en arrive très vite a des abbérations comme :
"Une faille de sécurité touche les éditeurs hexadécimaux : ils peuvent lire le contenu des fichiers"

[kOrt3x]

Microsoft a confirmé qu'il travaillait sur cette anomalie.

Oui, j'ai bien compris.

[chemanel]

Microsoft travaille.... en collaboration avec Adobe

[FR119492]

Bonjour à tous.
Est-ce qu'il n'y a pas un moyen très simple: mettre le fichier original sur un stick USB et retirer le stick après le transert sur le net?
Jean-Marc Blanc

[Invité(e)]

Bonjour,

Cela concerne les PDF créés avec quel logiciel ? Sous quelle version ?