Unschöne Geschichte: 2011 wurde ein obskurer Bug in einer PDF-Parsing-Bibliothek gefunden. Sechs Jahre später findet sich dieser Bug immer noch in den Top PDF-Programmen, die aktuell verwendet werden.
Anzeige
Das berichtet Hanno Böck in seinem Blog-Beitrag Six year old PDF loop bug affects most major implementations. Böck hatte kürzlich die in vielen PDF-Paketen enthaltene Bibliothek qpdf mit afl und libfuzzer untersucht. Mit präparierten PDF-Dateien kommt es zu einer hohen CPU-Belastung und nach mehreren Minuten zu einem Speicherfehler. Der Parser verfällt offenbar in eine Endlosschleife.
Böck verweist auf einen Vortrag des CCC aus 2011, wo ein solcher Fehler bereits berichtet wurde. Das Problem wurde seinerzeit zwar gefixt, aber das scheint sich bei den Anbietern von PDF-Readern noch nicht herum gesprochen zu haben. Das qpdf-Problem in der obigen Analyse ist das gleiche, wie es hier berichtet wurde (eine Testdatei gibt es hier).
Böck schreibt, dass der Github Javascript PDF-Viewer auch betroffen sei. Der PDF-Viewer im Mozilla Firefox? Betroffen, da sie pdf.js – wie Github – verwenden. Auch Google Chrome / Chromium, welche die Bibliothek PDFium verwenden, ist betroffen. Ghostscript ist genau so betroffen wie andere PDF parser. Nur der Adobe Reader und Apples internet OS X PDF Viewer sind nicht betroffen.
Das ist jetzt keine riesige Sicherheitslücke, aber schon doof, wenn der PDF-Viewer sich aufhängt, wenn er eine präparierte PDF-Datei öffnet. Dies würde aber eine Art DDoS-Angriff auf Nutzer ermöglichen, denen PDF-Dokumente zugeschickt werden. Sobald diese im Browser angezeigt werden, hängt sich dieser auf. Zudem könnte es durch Implementierungsfehler zu weiteren Problemen kommen. Scheint, als ob es demnächst einige Updates geben wird. (via)
Anzeige
Anzeige
Der in Edge integrierte Reader ist wohl auch nicht betroffen. Versucht zwar die Datei zu laden, bricht dann aber ab.