Vorsicht bei unbekannten PDF-Dokumenten: JavaScript macht PDF-Dateien zum Sicherheitsrisiko

[1]Hannover, 20. Januar 2010 – PDF-Dateien sind durch die Integration von JavaScript zu einem potenziellen Sicherheitsrisiko geworden. Anwender sollten Acrobat entsprechend konfigurieren und bei Dokumenten unbekannter Herkunft misstrauisch sein, rät das IT-Profimagazin iX [2] in seiner aktuellen Ausgabe 2/10, die am 21. Januar in den Handel kommt.Trifft ein böswillig manipuliertes PDF-Dokument auf einen Acrobat Reader, in dem die Sicherheitstore weit offen stehen, besteht akute Gefahr für das System des Anwenders. „Daher gilt grundsätzlich: Keine unbekannten PDFs beziehungsweise PDF-Dokumente von unbekannten Absendern öffnen, wenn nicht vorsorglich Einschränkungen in den Sicherheitskonfigurationen des Acrobat Readers vorgenommen wurden“, empfiehlt iX-Chefredakteur Jürgen Seeger.

In der letzten Version hat Adobe Funktionen zur „Erweiterten Sicherheit“ in Acrobat und im Reader integriert. Unter dem Menüpunkt „Voreinstellungen“
können Anwender wesentliche Konfigurationen vornehmen, zum Beispiel, woher ein Dokument externe Daten nachladen darf. Für das gelegentliche Anschauen von PDF-Dokumenten bieten sich alternative PDF-Reader an, da sie in der Betrachtungsfunktion vom Umfang durchaus vergleichbar sind.

Seit Version 7 unterstützt Adobe die Integration von JavaScript. Dadurch wurde ein Einfallstor für Schadcode geschaffen, denn der Funktionsumfang von JavaScript im PDF ist enorm. So lassen sich der Standardaktion „Speichern“ beliebige JavaScript-Aktionen zuordnen, auch solche, die Sicherheitslücken ausnutzen. Eine weitere Schwachstelle von Acrobat ist das Ergebnis der Verschmelzung von Flash und Acrobat durch die Übernahme von Macromedia durch Acrobat. Sicherheitslücken im Flash Player betreffen oft auch Adobe Reader sowie Acrobat 9.x, da Flash-Komponenten dort im Lieferumfang enthalten sind. Zusammen mit der Tatsache, dass Acrobat laut Herstellerangaben auf über 93 Prozent aller Computersysteme weltweit installiert ist, haben Hacker beste Voraussetzungen. Von Januar bis April 2008 zählten die Sicherheitsspezialisten der Firma F-Secure 128, im gleichen Zeitraum ein Jahr später bereits 2300 verseuchte PDF-Dokumente.