В ПО для просмотра PDF-файлов обнаружена уязвимость 6-летней давности

В 2011 году немецкий исследователь Андреас Богк (Andreas Bogk) сообщил об уязвимости в компоненте для парсинга PDF-файлов в приложении для просмотра PDF-документов Evince для Linux, приводящей к зависанию и отказу в обслуживании программы. Исследователь проинформировал разработчиков об уязвимости и в скором времени она была исправлена. На тот момент проблема не рассматривалась как серьезная угроза безопасности, поскольку затрагивала только не слишком популярное приложение, разработанное для Linux.

Тем не менее, спустя шесть лет выяснилось, что проблема не так незначительна, как считалось ранее. Эксперт в области безопасности Ханно Бек (Hanno Böck) обнаружил подобное поведение в ряде довольно популярных программ для просмотра PDF-файлов. В частности проблема, выявленная Богтом, затрагивает PDFium (движок для рендеринга PDF-документов в браузере Google Chrome), библиотеку Pdf.js, используемую для тех же целей в браузере Mozilla Firefox и на сайте GitHub, открытые проекты Ghostscript и QPDF.

Помимо вышеуказанных, уязвимость также затрагивает библиотеку WinRT PDF (Windows Runtime PDF Renderer library). Данная библиотека встроена в браузер Edge, а также является дефолтным парсером PDF в Windows 8 и более поздних версиях ОС.

По данным Бека, проблеме не подвержено приложение Adobe Reader и встроенное приложение для просмотра PDF-документов в операционной системе Apple macOS. Исследователь проинформировал разработчиков об уязвимости. В настоящее время производители готовят патчи, исправляющие проблему. Разработчики Firefox устранили уязвимость с выпуском версии Firefox 57.