Podría parecer la típica broma del día 28 de diciembre, pero no lo es y que el UXSS (Cross Site Scripting Universal) no para de dar quebraderos de cabeza a los desarrolladores y administradores de sistemas, así como a los usuarios, y es que los ataques a XSS cada vez son más comunes, y ahora con el error descubierto en los PDF parece que el tema se complica.
El 2007 no ha empezado con buen pie en lo que a seguridad en Internet se refiere, parece que el plugin de Adobe Acrobat para versiónes 6.x y 7.x contiene múltiples vulnerabilidades que peude provocar la ejecución de código javascript gracias al XSS. Y pensado un poquito mal, donde no hay un PDF, en cualquier sitio en barco, organizaciones, gobiernos, empresas, …
La única solución parece ser actualizar a la versión 8 de Acrobat, aunque claro que solo para windows, porque para Linux aún no esta disponible, tomará Adobe cartas en este gran problema y actualizará su versiones anteriores. También podeis desactivar el javascript, o no abrir PDFs desde vuestro navegador, o utilizar algun extensión como PDF Download para una mejor gestión de los PDFs por Internet.
En PHP Security alguien ha dejado un comentario indicando que podemos obligar a nuestro servidor Web Apache a descargar el PDF, de forma que no se puedan abrir con el plugin afectado. Las lineas son estas:
SetEnvIf Request_URI «\.pdf$» requested_pdf=pdf
Header add Content-Disposition «Attachment» env=requested_pdf
Puedes utilizarlas en el httpd.conf o en un .htaccess. No sabemos hasta que punto es eficaz esta medida, si bien lo mejor es actualizar.
Si quieres probar si estás infectado, busca algun PDF en algun servidor, y añadele al final:
#hola=javascript:alert(Actualiza tu lector de PDF es vulnerable);
Si el plugin de PDF se carga y eres vulnerable te saldra una ventana con un error «Actualiza tu lector de PDF es vulnerable«.
Más información en Kritopolis. (Gracias por aviso Rubén)