Новый метод инъекции кода позволяет извлечь данные из PDF

Новый метод инъекции кода позволяет извлечь данные из PDF

Новый метод инъекции кода позволяет извлечь данные из PDF

Исследователи в области кибербезопасности описали новый метод, позволяющий извлекать конфиденциальные данные из PDF-файлов. По словам специалистов, всего лишь одна простая ссылка может скомпрометировать весь контент цифрового документа.

О новой технике получения важных данных эксперты рассказали на конференции Black Hat Europe. Всё строится на инъекции кода и запуске XSS-атаки в пределах PDF-документа. Учитывая, что именно формат PDF используется в качестве стандарта для обмена документами, описанный экспертами способ может представлять серьёзную угрозу.

Например, PDF используется авиакомпаниями для формирования билетов. Следовательно, каждый такой документ может содержать паспортные данные, домашний адрес, информацию о банковском счёте и другую конфиденциальную информацию.

Гарет Хэйес, исследователь из компании PortSwigger, предупредил о серьёзной проблеме безопасности: злоумышленники могут провести инъекцию кода в PDF, что позволит подменить ссылки и даже выполнить произвольный JavaScript-код внутри таких файлов.

По словам Хэйеса, вся проблема кроется в уязвимых библиотеках PDF, которые некорректно обрабатывают код — круглые скобки и обратные косые черты. Специалист протестировал технику на нескольких популярных библиотеках PDF и нашёл две уязвимые: PDF-Lib (52 000 загрузок каждую неделю) и jsPDF (250 000 загрузок).

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

На PSD 2025 представят обновлённую киберплатформу Standoff 365

8 октября 2025 года на конференции Positive Security Day в Москве компания Positive Technologies покажет обновлённую платформу Standoff 365. Она используется для тренировки специалистов по информационной безопасности, тестирования систем защиты и проверки готовности организаций к реальным кибератакам.

Обновлённая версия объединяет пять направлений. Для специалистов по защите информации предусмотрены онлайн-симулятор Standoff Cyberbones и полигон Standoff Defend.

Для «красных» команд — хакеров, работающих на стороне защиты, — есть инфраструктура Standoff Hackbase. Компании могут проводить программы поиска уязвимостей через площадку Standoff Bug Bounty. А участие в международной кибербитве Standoff позволяет и «синим» защитникам, и «красным» атакующим отрабатывать сценарии противостояния.

С 6 по 8 октября пройдёт очередная кибербитва Standoff 16, финал которой состоится в рамках конференции. Там команды будут соревноваться в обнаружении и устранении уязвимостей, моделируя атаки и защиту максимально близко к реальным условиям.

По словам разработчиков, цель Standoff 365 — помочь специалистам и организациям уменьшить разрыв между теорией и практическими навыками, чтобы быть готовыми к сложным и целенаправленным атакам.

Не так давно мы публиковали обзор Standoff 365, в котором рассмотрели особенности платформы и принцип работы на ней.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru