Data de liberação: 9 de janeiro de 2007
Identificador da vulnerabilidade: APSA07-02
Número CVE: CVE-2007-0045
Este Conselho sobre segurança tem o objetivo de apresentar soluções alternativas no lado do servidor para que operadores de sites impeçam a vulnerabilidade de scripts entre sites documentada no Boletim de segurança APSB07-01. A Adobe recomenda aos usuários do Adobe Reader e do Acrobat atualizar os softwares* para evitar o problema.
A Adobe recomenda aos usuários do Adobe Reader e do Acrobat atualizar os softwares* para evitar o problema. As possíveis soluções alternativas no lado do servidor estão detalhadas abaixo.
OBSERVAÇÃO: antes de aplicar qualquer uma destas alterações de configuração aos servidores de produção, você deve testá-las para se certificar de que funcionarão no seu ambiente.
Modifique o tipo de MIME de PDFs.
Uma forma de impedir que Plug-ins do Adobe Reader e do Acrobat passem JavaScript para o navegador é forçar a abertura de PDFs fora do navegador e do Adobe Reader ou do Acrobat Professional. Para isso, altere o tipo de MIME (Multipurpose Internet Mail Extension) da extensão de arquivo .pdf (application/pdf) para um binário genérico (application/octet-stream), o qual o navegador solicitará ao usuário para abrir ou salvar.
IIS 6.0 |
Observação: esta propriedade pode ser alterada em um arquivo específico. |
Apache 2.2.3 |
Use mod_mime e AddType ou mod_rewrite
|
Adicione o cabeçalho Content-Disposition
Assim como a alteração de um tipo de MIME, é possível adicionar um cabeçalho Content-Disposition à resposta do servidor.
IIS 6.0 |
attachment; nomedoarquivo=seuarquivo.pdf
Observe que esta configuração é aplicada por arquivo, individualmente. |
Apache 2.2.3 |
Use mod_headers
<IfModule mod_headers.c>
|
Armazene o PDF em um local que não possa ser acessado via Web
Para finalizar, em um ambiente onde o acesso aos arquivos de configurações não é possível, considere criar um código de servidor (ColdFusion, Java, PHP, ASP.NET etc.) para ler o arquivo e enviá-lo de volta como parte da Resposta. Por exemplo, MyPDF.cfm poderia ser um script que retorna o PDF real.
Observação: ainda assim você precisará definir Response.ContentType como “application/pdf” ou “application/octet-stream”. Para obter mais informações, releia a documentação sobre a linguagem do servidor.
A Adobe considera ser este um problema importante* e recomenda que os usuários afetados atualizem seus softwares.
Este Conselho sobre segurança tem o objetivo de apresentar soluções alternativas no lado do servidor para que operadores de sites impeçam a vulnerabilidade de scripts entre sites documentada no Boletim de segurança APSB07-01. Uma vulnerabilidade de scripts entre sites (XSS) nas versões 7.0.8 e anteriores do Adobe Reader e do Acrobat poderia permitir que invasores remotos injetassem JavaScript arbitrário em uma sessão do navegador. Este problema poderia ocorrer quando um usuário clicasse em um link mal-intencionado para um arquivo PDF. A capacidade de exploração depende do navegador e da versão do navegador que está sendo usada. Esta vulnerabilidade não permite a execução de código binário. Esse problema pode ser explorado remotamente. A Adobe recomenda aos usuários do Adobe Reader e do Acrobat atualizar os softwares* para evitar o problema.
