Onderzoekers hebben een manier gevonden om de inhoud van versleutelde pdf-documenten te achterhalen zonder dat ze over de benodigde decryptiesleutel beschikken. Verschillende partijen en oplossingen bieden de mogelijkheid om pdf-documenten te versleutelen, om zo de inhoud te beschermen.

Op deze manier kan de inhoud alleen worden gelezen door personen die over het juiste wachtwoord of certificaat beschikken. Onderzoekers van Ruhr University Bochum en Munster University of Applied Sciences zijn erin geslaagd deze beveiligingsmaatregel te omzeilen. Een aanvaller die in het bezit is van een versleuteld pdf-document kan namelijk delen ervan aanpassen, zonder dat hierbij het wachtwoord voor het ontsleutelen van het document is vereist.

De onderzoekers merken op dat pdf-encryptie gebruikmaakt van de Cipher Block Chaining (CBC) encryptiemode zonder integriteitscontrole. Hierdoor kunnen er tekstfragmenten in een versleuteld pdf-document worden geïnjecteerd, bijvoorbeeld door bestaande data aan te passen of nieuwe data toe te voegen. Hiervoor moet de aanvaller wel eerst over onversleutelde tekst van het document beschikken, maar dit is dankzij de pdf-specificatie af te leiden. De mogelijkheid om data van het document aan te passen is weer te combineren met andere pdf-features, zoals het laden van externe content via http, waardoor een aanvaller de inhoud van het versleutelde document kan stelen zodra de gebruiker het opent.

Van de 27 populaire pdf-lezers die de onderzoekers onderzochten bleken er 23 kwetsbaar te zijn voor de aanval waarbij de inhoud wordt gestolen. Verder waren alle onderzochte pdf-lezers kwetsbaar voor het gebruik van zogeheten CBC-gadgets waarmee er tekstfragmenten in versleutelde pdf-documenten zijn te injecteren. De onderzoekers merken op dat ze de ontwikkelaars van pdf-lezers hebben geïnformeerd zodat die een oplossing konden ontwikkelen. Gebruikers krijgen dan ook het advies naar de meeste recente versie van hun pdf-software te updaten.

Tijdens de ACM Conference on Computer and Communications Security in november geven de onderzoekers een lezing over het onderzoek.