---
title: "Todos los PDF Vulnerables"
date: "2007-01-04T13:09:46+01:00"
modified: "2019-05-08T23:45:52+02:00"
author: "David Carrero Fdez-Baillo"
section: "Internet y sociedad"
canonical: "https://carrero.es/pdf-vulnerables/"
site: "Carrero"
---

# Todos los PDF Vulnerables

Podría parecer la típica [broma del día 28 de diciembre](https://carrero.es/santos-inocentes/), pero no lo es y que el UXSS (Cross Site Scripting Universal) no para de dar quebraderos de cabeza a los desarrolladores y administradores de sistemas, así como a los usuarios, y es que **los ataques a XSS cada vez son más comunes**, y ahora con el error descubierto en los PDF parece que el tema se complica.

El 2007 no ha empezado con buen pie en lo que a seguridad en Internet se refiere, parece que el plugin de [Adobe](http://www.adobe.es) [Acrobat](http://www.acrobat.es) para versiónes 6.x y 7.x **contiene múltiples vulnerabilidades** que peude provocar la ejecución de código javascript gracias al XSS. Y pensado un poquito mal, donde no hay un PDF, en cualquier sitio en barco, organizaciones, gobiernos, empresas, …

La única solución **parece ser actualizar a la versión 8 de Acrobat**, aunque claro que solo para windows, porque para Linux aún no esta disponible, tomará Adobe cartas en este gran problema y actualizará su versiones anteriores. También podeis desactivar el javascript, o no abrir PDFs desde vuestro navegador, o utilizar algun extensión como [PDF Download](http://www.pdfdownload.org/) para una mejor gestión de los PDFs por Internet.

En PHP Security alguien ha dejado un comentario indicando que podemos obligar a nuestro servidor Web Apache a descargar el PDF, de forma que no se puedan abrir con el plugin afectado. Las lineas son estas:

> SetEnvIf Request_URI «\.pdf$» requested_pdf=pdf  
>  Header add Content-Disposition «Attachment» env=requested_pdf

Puedes utilizarlas en el httpd.conf o en un .htaccess. No sabemos hasta que punto es eficaz esta medida, si bien lo mejor es actualizar.

Si quieres probar si estás infectado, busca algun PDF en algun servidor, y añadele al final:

*#hola=javascript:alert(Actualiza tu lector de PDF es vulnerable);*

Si el plugin de PDF se carga y eres vulnerable te saldra una ventana con un error «*Actualiza tu lector de PDF es vulnerable*«.

Más información en [Kritopolis](http://www.kriptopolis.org/ataque-pdf-todos-vulnerables). (Gracias por aviso [Rubén](http://www.online.com.es))

---

Fuente: https://carrero.es/pdf-vulnerables/