PDFサイバー攻撃手法一覧、28ビューアの安全性点検

　PDF ほど業務で普及しているファイル形式は他にないだろう。「デジタル主権」のために Microsoft Office からの脱却を図るあのドイツ政府ですら PDF は利用している。普及しているからこそサイバー犯罪者の主要研究テーマでもある。

　昨夏開催 Black Hat USA 2020 で PDF の脆弱性やリスクについて講演があった。Acrobat Reader を筆頭とするビジネスシーンに広く流通する 28 件の PDF ビューアのセキュリティホールを突いて一体どんな攻撃が可能なのか、どうやって情報を盗むのかといった方法を、デモで実演しながら解説するという Black Hat らしいセッションである。

　発表者は、Jens Muller 氏、ルール大学ボーフム校の学生（博士号）である。内容は、Muller 氏他、Dominik Noss 氏、Christian Mainka 氏、Vladislav Mladenov 氏、Jorg Schwenk 氏の共著論文が元になっている。

　扱われた脆弱性は、メジャーな PDF ビューアからブラウザの PDF 表示機能まで含み網羅性が高い。それぞれについて可能な攻撃を 5 つのカテゴリに整理した。研究者なら知っているものや最新バージョンでは対策が施されているものもあるが。いずれも知っておいて損はないだろう。また、講演スライド等を見て感じたのは脆弱性診断や侵入テストにも役立つことだ。脆弱性は既知のものだとしても古いバージョンで作られた文書もあり、すべてのビューアが脆弱性を正しく処理しているとは限らない。PDF は相変わらずリスク要因として忘れてはならない存在だ。