Уязвимость в IE стала причиной утечки конфиденциальной информации из 50 миллионов PDF-файлов

Уязвимость в Internet Explorer привела к утечке в сеть информации из более 50 миллионов файлов, хранящихся в сети, которая может подвергнуть риску конфиденциальность пользователей.

Документы, хранящиеся в формате Adobe PDF, отображают путь к файлу на диске, позволяя также получить реальные имена и логины пользователей, используемые операционной системой, и иную информацию, требующую конфиденциальности. Подобная информация может быть получена с помощью простого поиска в Интернете.

Результаты поиска в Google (как эти) показывают свыше 4 миллионов документов, хранящихся на диске C на компьютерах пользователей. А вкупе с результатами для других логических дисков с помощью данной техники можно получить информацию о более 50 миллионах файлов с локальным путем к ним. Об этом сообщила компания Inferno, выступившая в роли исследователя безопасности для одной крупной компании, чье название держится в секрете.

"С помощью таких PDF-файлов злоумышленники могут использовать результаты поиска для определения реальных имен пользователей и версии используемой ОС" - заявил исследователь Inferno. "Это ставит под угрозу конфиденциальность пользователей."

Подобные конфиденциальные данные включаются в PDF-файлы, напечатанные с помощью Internet Explorer. И хотя эта информация отображается не каждый раз, когда открывается документ, ее легко прочитать с помощью таких редакторов, как Notepad, при этом текст доступен Google и другим поисковым механизмам.

Этот PDF-файл, к примеру, на момент печати был размещен по адресу C:\Program Files\Wids7\WizardReport.htm. Путь показывает, что файл хранится на компьютере под управлением Windows с установленным приложением Worldwide Instructional Design System. Другие PDF-файлы раскрывают имена авторов, проектов и иную информацию, которая должна быть конфиденциальной.
Единственным способом удалить путь является удаление текста в редакторе с последующим сохранением файла.

Уязвимости подвержены все версии IE. Пресс-секретарь Microsoft заявила, что инженеры компании работают над воспроизведением такого поведения. "Мы можем подтвердить, что это не уязвимость" - заявила она. Представитель Adobe не ответил на нашу просьбу прокомментировать ситуацию. Отчет Inferno можно найти здесь.


Источник: http://www.theregister.co.uk
Перевод: deeper2k