Los PDFs también son peligrosos

De acuerdo a una publicación hecha por el experto en seguridad Petko D. Petkov, el estándar para documentos de Adobe Acrobat (hasta la más reciente versión 8.1) contiene una falla de seguridad que le permitiría a un atacante tomar el control total de un computador corriendo Microsoft Windows (Hasta Windows XP SP2, no se probó en Windows Vista), de manera totalmente invisible al usuario.

Petkov, mejor conocido como PdP, dijo que estaba cerrando su temporada de investigaciones con esta falla, calificada por él como altamente crítica (En esta misma temporada, Petkov también descubrió fallas de seguridad en el Quicktime de Apple y el Windows Media Player de Microsoft).

La vulnerabilidad en el formato PDF es aún más grave que la encontrada en el Quicktime y el Windows Media Player, dijo Petkov. Esto es debido a que, desde el punto de vista de la ingeniería social, es más fácil lograr que alguien abra un documento PDF que un vídeo o un archivo de audio.

El escenario donde una persona pueda ser víctima de un ataque como este, se puede describir como aquel donde alguien recibe un documento PDF por correo electrónico y cuando el usuario lo abre, el sistema puede ser cargado con programas maliciosos que abren las puertas del sistema, dejándolo vulnerable.

La posibilidad de plantar aplicaciones espías o maliciosas para robar información personal son las peores pero más probables situaciones que se pueden dar a través de esta falla. Por lo que, a partir de ahora, debemos ser más cautos al abrir documentos con procedencia dudosa.

Petkov, reconociendo la magnitud de esta falla y la inmensa base de instalación que tiene el formato PDF en el mundo corporativo, ha decido no publicar pruebas del código que utilizó (Algo plausible). Sin embargo dijo que lo haría en cuanto sea reparada la falla.

Algunas personas han criticado la actitud de Petkov. Acusándolo de crear pánico entre los usuarios y no presentar soluciones reales o pruebas. Lo que equivaldría a quedarse callado y no decir nada, según algunos de los lectores de su blog.

Otros, sin embargo, creen ciegamente en la palabra de Petkov y entienden que el problema es demasiado serio como para publicar pruebas del mismo (Llamadas "Proof-Of-Concept").

La reputación de Petkov en el tema de la seguridad y los PDfs es muy buena. En enero de este año, publicó otras 5 fallas del formato y sus respectivos POCs. Creando revuelo en el mundo y provocando una avalancha de correo basura (SPAM) que contenían archivos PDF adjuntos que explotaban dichas fallas (Haga clic aquí para verlas, se le pondrá la carne de gallina). Con esto se ganó el reconocimiento de la industria y el agradecimiento de Adobe (quizás hasta le pagaron por ello, digo yo).

Adobe, por su parte, ya publicó una declaración donde dice estar trabajando con Petkov en la solución del problema. Prometió a sus usuarios ofrecer una solución muy pronto a través de actualizaciones y boletines de seguridad. También exhortó a sus clientes registrarse en el servicio de notificaciones de seguridad, en la dirección http://www.adobe.com/cfusion/entitlement/index.cfm?e=szalert.

El consejo final que les doy, es que tengan precaución al abrir archivos PDF, ya sea que estén almacenados localmente o en línea, y que tengan una procedencia o contenido poco confiable.