Eine Software ohne Bugs, ein Computerprogramme ohne Fehler gibt es nicht – das weiß jeder Programmierer. Die Frage ist: Wie geht man damit um, wenn ein Fehler bekannt wird? Als verantwortungsvoller Programmierer und erst recht als verantwortungsvolles, erfolgreiches Softwareunternehmen sollte es selbstverständlich sein, dass das Problem so schnell wie möglich beseitigt wird. Im Interesse aller. Ein aktuelles Sicherheitsproblem im PDF-Format, das vor allem den Adobe Reader zum Einfallstor für Angreifer aus dem Internet machen kann, will der Softwareriese Adobe nicht stopfen. Fachleute sind empört.
Interessanterweise ist nicht Windows, Internet Explorer oder Outlook das Programm mit den meisten Sicherheitslecks im vergangenen Jahr gewesen, sondern der Adobe Reader. Der PDF-Experte Didier Stevens hat nun jedoch ein Sicherheitsleck entdeckt und in seinem Blog veröffentlicht, das sehr bedenklich ist.
Wie Stevens zeigt, gibt es eine „Launch Actions/Launch File“ genannte Funktion im PDF-Format, die es erlaubt, ein im PDF-Dokument eingebettetes Skript zu starten. Sogar das Starent eines beliebigen Programms auf der Festplatte ist damit möglich. Fatal, denn so lassen sich nicht nur beliebige Programme auf der Festplatte starten und ausführen, sondern auch beliebiger Programmcode in einen PC einschleusen.
Der Adobe Reader fragt zwar in solchen Situationen nach, ob der Benutzer das wirlocu möchte, allerdings erkennt kaum ein Anwender die Brisanz der Nachfrage. Die Folge: Die meisten User werden die nicht besonders gefährlich klingende Sicherheitsabfrage arglos bestätigen.
Wie einfach es ist, die User zu täuschen, hat das auf IT-Sicherheit spezialisierte Unternehmen Sophos demonstriert: Im Firmenblog gibt es ein Beispiel-PDF, das zeigt, wie so etwas aussehen kann. Andere auf IT-Sicherheit spezialisierte Unternehmen berichten, dass bereits entsprechend präparierte PDF-Dokumente im Internet kursieren, die das Sicherheitsleck ausnutzen. Sie versuchen mitunter, einen Bot im System zu installieren, ein Programm, das die Fernsteuerung des PCs ermöglicht.
Diese Lücke im PDF ist übrigens keine Sicherheitslücke im traditionellen Sinne, da kein Programmfehler ausgenutzt wird, sondern praktisch systembedingt existuert. Umso schlimmer, könnte man meinen, dann lassen sich PCs sogar auf „legalen“ Weg infizieren.
Eigentlich müssten da bei Adobe doch die Alarmglocken läuten, denn die meisten Anwender vertrauen dem PDF-Format, sie vermuten in einem PDF-Dokument nichts Gefährliches.
Doch Adobe spielt das Problem herunter, stuft das Problem als unkritisch ein. Das Argument: Eigentlich handele es sich um ein sinnvolles Feature, das nur durch missbräuchliche Verwendung zum Problem werde. Außerdem erhalte der Benutzer einen Warnhinweis und könne in einem Dialog reagieren. Wen das stört, der kann laut Adobe unter dem Menüpunkt „Bearbeiten > Voreinstellungen > Berechtigungen“ die Option „Nicht-PDF-Dateianlagen dürfen in externen Anwendungen geöffnet werden“ deaktivieren, die standardmäßig eingeschaltet ist.
In der Praxis bedeutet dieses „Feature“ ein erhebliches Sicherheitsrisiko.
Ich kann da wirklich nur mit dem Kopf schütteln. Adobe sollte seiner Verantwortung gerecht werden und das ernsthafte Sicherheitsproblem schleunigst beseitigen.
Denn eins steht fest: Betrüger warten nur auf solche Gelegenheiten. Sie stürzen sich mit Vorliebe auf Sicherheitslecks wie dieses. Abgesehen davon ist hat eine solche Funktion in einem PDF-Dokument in meinen Augen ohnehin nichts verloren. Also deshalb: Weg damit. Im Interesse der Sicherheit.
Mein Tipp: Den TxtBear benutzen. Damit lassen sich PDFs problemlos anschauen und verteilen – ganz ohne Sicherheitsrisiko.
