@typecurry 28 May 2021 more from that month

已有認證簽章的pdf檔案內容依然是可被竄改的， 版友們可能要注意近期使用的pdf閱讀軟體是否有推出因應的更新囉： https://www.ithome.com.tw/news/144669 研究人員揭露PDF規格的兩個安全漏洞，將允許駭客偷偷竄改已認證文件內容 來自德國波鴻魯爾大學（Ruhr-Universität Bochum）的研究人員於本周指出， PDF規格含有兩個重大的安全漏洞， 將允許駭客偷偷竄改已有認證簽章（Certification Signatures）的文件內容， 而且在所調查的26款PDF應用程式中，有24款至少含有其中一項漏洞。 研究人員說明，在PDF的規格中，定義了兩種型態的數位簽章， 一是批准簽章（Approval Signatures），用來證明特定的文件狀態， 一份文件可有不同的簽章，但文件上任何的變更都會造成簽章無效或出現警告； 另一個是認證簽章（Certification Signatures），提供更彈性的數位簽章文件， 它雖然只能有一個認證簽章，但允許文件所有人列出可變更的文件項目， 例如填寫特定欄位、替文件下注解，或者是新增批准簽章。 這使得研究人員對認證簽章的安全性產生興趣， 並針對已認證文件的變更功能展開系統性分析，發現了該規格含有兩個安全漏洞， 包括邪惡注解攻擊（ Evil Annotation Attack，EAA）漏洞與鬼祟簽章攻擊（Sneaky Signature Attack，SSA）。 不管是EAA漏洞或是SSA漏洞都能夠變更已認證文件中的內容呈現， 同時保留認證簽章的有效性，還不招來任何的警告， 且在所測試的26款PDF應用程式中，有24款至少含有其中一種漏洞。 文中有提到Adobe、Foxit和LibreOffice已經修補了相關漏洞， 不是使用這幾款主流程式的，可能就得自己多加注意了。 #PttDigiCurrency