PDF の契約書を署名段階で改竄、「邪悪なる注釈」そして「密かなる署名」攻撃とは? ~ 26 種類の PDF ソフトのうち 24 にオマケの脆弱性も | ScanNetSecurity
2024.02.22(木)

PDF の契約書を署名段階で改竄、「邪悪なる注釈」そして「密かなる署名」攻撃とは? ~ 26 種類の PDF ソフトのうち 24 にオマケの脆弱性も

研究者らは 26 種類の一般的な PDF 用ツールをテストし、そのうち 24 種類が上述した手口の 1 つあるいは両方に対して脆弱であることを発見した。この問題の影響を一切受けないとお墨付きをもらえたビューワーは PDF Editor 6 ProとPDFelement Pro の 2 つのみだった。

国際
PDF の契約書を署名段階で改竄、「邪悪なる注釈」そして「密かなる署名」攻撃とは? ~ 26 種類の PDF ソフトのうち 24 にオマケの脆弱性も
 ドイツの研究者らが、認証された PDF の内容を密かに改ざんするための 2 つの手口について詳しく述べている。

 結論としては以下のようになる。例えば、契約書の PDF に誰かがデジタルで自らの署名を追加し、そのファイルを相手へと渡してデジタルでサインしてもらうとする。その相手は契約書に署名するだけでなく、その内容を密かに変えることができるのだという。そうなれば大混乱を生み出すことになるだろう。通常、アプリケーションのソフトウェアは 2 つ目の署名を追加することは許可しても、文書を改変したりすればそれを検知して警告するはずである。その相手が上述した改竄手法を使わなければだが。
《The Register》

編集部おすすめの記事

特集

国際 アクセスランキング

  1. 勤務時間外の上司のメールは懲役 ~ 豪 つながらない権利法案 性急な法制化

    勤務時間外の上司のメールは懲役 ~ 豪 つながらない権利法案 性急な法制化

  2. 乗っ取った正規サイトは七万件 最新マーケ技術駆使し犠牲者誘導、明らかになってきた犯罪ネットワーク VexTrio

    乗っ取った正規サイトは七万件 最新マーケ技術駆使し犠牲者誘導、明らかになってきた犯罪ネットワーク VexTrio

  3. セキュリティ基準を満たさない病院の政府補助金打ち切り案

    セキュリティ基準を満たさない病院の政府補助金打ち切り案

  4. そのセキュリティ専門家は「ニセ サイバーサマリア人(善人のふりをした悪人)」ではありませんか? 九つの特徴

  5. 「企業のお粗末なセキュリティ対策の違法化」「身代金支払い全面禁止」~ 有効な立法施策とは?

  6. ドメイン管理事業者 GoDaddy へソーシャルエンジニアリング攻撃、仮想通貨サービス企業はどこまで被害を受けたか

  7. CrowdStrike Blog:攻撃者はどこへ移動した?ラテラルムーブメントの調査を高速化

  8. スパム電子メールを作成するPegasusトロイの木馬

  9. サイバー捜査網:5 人の新しいハッカーたちが、FBI の「最重要指名手配」リストに仲間入り~「Operation Ghost Click」は最後の容疑者を追っている(The Register)

  10. TeraTerm Pro Web及びPuttyがバッファオーバーフローにより任意のコード実行を許可(iDEFENSE独占記事)

アクセスランキングをもっと見る

「経理」「営業」「企画」「プログラミング」「デザイン」と並ぶ、事業で成功するためのビジネスセンスが「セキュリティ」
「経理」「営業」「企画」「プログラミング」「デザイン」と並ぶ、事業で成功するためのビジネスセンスが「セキュリティ」

ページ右上「ユーザー登録」から会員登録すれば会員限定記事を閲覧できます。毎週月曜の朝、先週一週間のセキュリティ動向を総括しふりかえるメルマガをお届け。(写真:ScanNetSecurity 名誉編集長 りく)

×