¿Por qué Chrome dice que los archivos PDF pueden dañar su computadora?

Chrome a menudo le advierte que "este tipo de archivo puede dañar su computadora" cuando intenta descargar algo, incluso si es un archivo PDF. Pero, ¿cómo puede ser tan peligroso un archivo PDF? No es un PDF solo un documento con texto e imágenes?

Los lectores de PDF como Adobe Reader han sido una fuente de muchas vulnerabilidades de seguridad a lo largo de los años. Esto se debe a que un archivo PDF no es solo un documento, puede contener scripts, medios incrustados y otras cosas cuestionables..

Los PDFs no son solo documentos

El formato de archivo PDF es en realidad muy complicado. Puede contener muchas cosas, no solo texto e imágenes, como es de esperar. PDF admite muchas funciones que posiblemente no deberían, lo que ha abierto muchos agujeros de seguridad en el pasado.

JavaScript: Los archivos PDF pueden contener código JavaScript, que es el mismo idioma utilizado por las páginas web en su navegador. Los PDF pueden ser dinámicos y ejecutar código que modifica el contenido del PDF o manipula las características del visor de PDF. Históricamente, muchas vulnerabilidades han sido causadas por archivos PDF que utilizan el código JavaScript para explotar Adobe Reader. La implementación de JavaScript de Adobe Reader incluso contiene API de JavaScript específicas de Adobe, algunas de las cuales eran inseguras y han sido explotadas.
Flash incrustado: Los archivos PDF pueden contener contenido Flash incrustado. Cualquier vulnerabilidad en Flash también podría usarse para comprometer Adobe Reader. Hasta el 10 de abril de 2012, Adobe Reader contenía su propio Flash Player. Es posible que las fallas de seguridad solucionadas en el Flash Player principal no hayan sido reparadas en el Flash Player incluido de Adobe Reader hasta semanas más tarde, dejando los agujeros de seguridad completamente abiertos para su explotación. Adobe Reader ahora usa el Flash Player instalado en su sistema en lugar de un reproductor interno.
Acciones de lanzamiento: Los archivos PDF tenían la capacidad de iniciar cualquier comando después de abrir una ventana de confirmación. En versiones anteriores de Adobe Reader, un archivo PDF podría intentar lanzar un comando peligroso siempre que el usuario hiciera clic en Aceptar. Adobe Reader ahora contiene una lista negra que restringe los archivos PDF para que no ejecuten archivos ejecutables.

GoToE: Los archivos PDF pueden contener archivos PDF incrustados, que se pueden cifrar. Cuando un usuario carga el archivo PDF principal, puede cargar inmediatamente su archivo PDF incorporado. Esto permite a los atacantes ocultar archivos PDF maliciosos dentro de otros archivos PDF, engañando a los analizadores antivirus al evitar que examinen el archivo PDF oculto.
Controles de medios integrados: Además de Flash, los PDF pueden contener históricamente Windows Media Player, RealPlayer y QuickTime. Esto permitiría a un PDF explotar vulnerabilidades en estos controles de reproductor multimedia integrables.

Hay muchas más características en el formato de archivo PDF que aumentan su superficie de ataque, incluida la capacidad de incrustar cualquier archivo dentro de un PDF y usar gráficos 3D.

La seguridad de PDF ha mejorado

Esperemos que ahora entiendas por qué Adobe Reader y los archivos PDF han sido una fuente de tantas vulnerabilidades de seguridad. Los archivos PDF pueden parecer documentos simples, pero no se dejen engañar, podría haber mucho más bajo la superficie.

La buena noticia es que la seguridad de PDF ha mejorado. Adobe agregó un arenero llamado "Modo protegido" en Adobe Reader X. Esto ejecuta el PDF en un entorno limitado y restringido donde solo tiene acceso a ciertas partes de su computadora, no a todo su sistema operativo. Es similar a cómo el sandboxing de Chrome aísla los procesos de la página web del resto de su computadora. Esto crea mucho más trabajo para los atacantes. No solo tienen que encontrar una vulnerabilidad de seguridad en el visor de PDF: tienen que encontrar una vulnerabilidad de seguridad y luego usar una segunda vulnerabilidad de seguridad en la caja de arena para escapar de la caja de arena y dañar el resto de su computadora. Esto no es imposible de hacer, pero se han descubierto y explotado muchas menos vulnerabilidades de seguridad en Adobe Reader desde que se introdujo el sandbox..

También puede usar lectores de PDF de terceros, que generalmente no son compatibles con todas las funciones de PDF. Esto puede ser una bendición en un mundo donde el PDF contiene tantas características cuestionables. Chrome tiene un visor de PDF integrado que usa su caja de arena, mientras que Firefox tiene su propio visor de PDF integrado escrito completamente en JavaScript, por lo que se ejecuta en el mismo entorno de seguridad que una página web normal..

Si bien podemos preguntarnos si los PDF realmente deberían poder hacer todas estas cosas, la seguridad de PDF al menos ha mejorado. Eso es más de lo que podemos decir para el complemento de Java, que es terrible y actualmente es el principal vector de ataque en la web. Chrome le advierte antes de ejecutar contenido Java si también tiene instalado el complemento Java.