安全机构未清理 PDF 文件，暴露敏感信息

聚焦源代码安全，网罗国内外最新资讯！

编译：奇安信代码卫士团队

安全机构在官网上发布的 PDF 文档被曝清理不到位，正在泄露信息，从而可能被恶意收集并武器化。

法国国家计算机科学和自动化研究所 (INRIA) 本月发布研究报告称，收集并分析了全球47个国家75家安全机构官网上的39,664份 PDF 文件，从所分析的75%的文件中恢复了敏感信息，如：

作者姓名
PDF app 的名称
操作系统
设备详情
作者邮箱
文件路径信息
注释和标注

19家安全机构2年多未更新软件

研究员警告称，威胁行动组织可从安全机构网站收集文档，并构建关于该机构的软件策略以及员工个人机器的资料，“例如，我们发现某安全机构的一名员工在5年的时间里从未修改过或更新过软件。我们发现数据库中至少有19家公司在2年及以上的时间内使用同样的软件。这种信息对于针对软件使用习惯不良的目标个体的黑客而言无疑是有价值的信息。“

研究人员指出，在所研究的75家安全机构中，仅有38家部署了软件策略并定期更新软件。

仅有3家安全机构正确清理 PDF 文件

然而，即使安全机构清理了 PDF 文档，删除了元数据和其它授权工件，但清理进程并不符合标准且有时会遗留有用的数据。分析发现，仅有7家安全机构在清理 PDF 文档，但实际上删除了所有敏感数据的安全机构仅有3家。

PDF 清理并不等同于编校。编校将文本隐藏在文档文本级别，而清理是从文件本身删除数据如元数据和文档属性。

在2000年早期，美国发生一系列外交丑闻后，美国国安局发布了关于正确清理文档的指南，建议删除如下所列信息后再发布文件。

1、元数据

2、嵌入内容和附件

3、脚本

4、隐藏布局

5、内嵌的搜索索引

6、存储的交互式表单数据

7、审校和评论

8、隐藏的页面、图像和更新数据

9、隐蔽的文本和图像

10、PDF 注释（未显示注释）

11、未引用数据

未能删除公开文档中的上述信息使安全机构和其它政府组织机构易受攻击。很多开源工具如 FOCA 可使攻击者轻易收集这类信息。

详细报告可见：https://arxiv.org/abs/2103.02707

推荐阅读

Nitro PDF 数据遭大规模泄露，波及微软、谷歌、苹果等

全球很多大厂都在用的Nitro PDF Pro 被曝7个 RCE 0day 漏洞（来看详情）

Chrome 被曝 0day！通过 PDF 文件即可窃取用户信息（无补丁，来看细节）

参考链接

https://therecord.media/security-agencies-leak-sensitive-data-by-failing-to-sanitize-pdf-files/

题图：Pixabay License（毕加索作品）

本文由奇安信代码卫士编译，不代表奇安信观点。转载请注明“转自奇安信代码卫士 https://codesafe.qianxin.com”。

奇安信代码卫士 (codesafe)

国内首个专注于软件开发安全的

产品线。

觉得不错，就点个 “在看” 或 "赞” 吧~

安全机构未清理 PDF 文件，暴露敏感信息相关推荐

java exception信息_可能通过Java Exceptions暴露敏感信息？
当信任边界交叉时,是否可以通过 Java Exceptions公开敏感的应用程序或系统信息? 我的意思是,不仅在理论上,而且如果在真实环境中发生这种情况. 例如java.io.FileNotFound ...
[免费专栏] Android安全之检测APK中调试代码是否暴露敏感信息
也许每个人出生的时候都以为这世界都是为他一个人而存在的,当他发现自己错的时候,他便开始长大少走了弯路,也就错过了风景,无论如何,感谢经历 Android安全付费专栏长期更新,本篇最新内容请前往: [ ...
【每日随笔】电子签名 ( 下载 “e 签保“ 应用 | 使用手机号 + 短信验证码登录 | 发起签署 | 签名 | 获取签名后的 PDF 文件及出证信息 )
文章目录一.下载 "e 签保" 应用二.使用手机号 + 短信验证码登录三.发起签署四.签名五.获取签名后的 PDF 文件及出证信息一.下载 "e 签保&q ...
[车联网安全自学篇] Android安全之检测APK中调试代码是否暴露敏感信息
也许每个人出生的时候都以为这世界都是为他一个人而存在的,当他发现自己错的时候,他便开始长大少走了弯路,也就错过了风景,无论如何,感谢经历 0x01 前言 1.1StrictMode StrictMo ...
mac怎么合并两个容器_PDF怎样合并？在Mac上合并PDF文件的最佳方法
在保存编辑内容的同时合并PDF文件可能是一个大问题.合并大文件时,"预览"不涵盖展平,并且会使系统变慢.这些和其他问题可能会迫使您寻找更好的选择.让我们探索在Mac上组合PDF以涵 ...
页面显示pdf_PDF怎样合并？在Mac上合并PDF文件的最佳方法
在保存编辑内容的同时合并PDF文件可能是一个大问题.合并大文件时,"预览"不涵盖展平,并且会使系统变慢.这些和其他问题可能会迫使您寻找更好的选择.让我们探索在Mac上组合PDF以涵 ...
ASP 在网页中打开PDF文件
发送URL: if (File.Exists(p_strUrl)) { //Server.UrlEncode(path) this.Page. ...
【Python】用于在 Python 中处理 PDF 文件的 PyPDF2 库
作者 | megha152 编译 | Flin 来源 | analyticsvidhya 介绍 PDF 代表便携式文档格式.它使用 .pdf 扩展名.这种类型的文件主要用于共享目的.它们不能被修改,从 ...
Python：使用pypdf2合并、分割、加密pdf文件。
朋友需要对一个pdf文件进行分割,在网上查了查发现这个pypdf2可以完成这些操作,所以就研究了下这个库,并做一些记录.首先pypdf2是python3版本的,在之前的2版本有一个对应pypdf库. ...

安全机构未清理 PDF 文件，暴露敏感信息

安全机构未清理 PDF 文件，暴露敏感信息相关推荐

最新文章

热门文章