¿Qué pasó con los PDF? Nada que no se supiera, pero lo que pasó es malo.

(Por El Microsaurio) El 29 de marzo el avispado Didier Stevens publicó un alarmante mensaje: “…tengo un truco especial para PDF; me las arreglé para meter código dentro de un PDF, que hace que se ejecute un programita que embebí en el documento, sin que se esté explotando ninguna vulnerabilidad…”. No sé si te das cuenta… no es una falla del PDF, es un “característica de diseño” del lector de PDF, lo cual en este caso es más jodido.

Ese Didier Stevens que mencioné antes no es un lerdo ni un desconocido. Se trata de un especialista en seguridad informática belga que trabaja para corporaciones financieras de Bélgica y Luxemburgo (justamente ese tipo de empresas a las que no les importa el valor del dólar… porque lo fijan vendiendo euros). Y lo que descubrió no es una falla en Adobe Reader; ese producto por una vez es inocente.
Se trata de un error de concepto en la especificación de PDF, obra de Adobe Corp.
Dentro de esa especificación existe el comando “/Launch” (lanzar, ejecutar).
Y si el lector de PDF que vos usás soporta ese comando, podrá ejecutar cualquier cosa que esté dentro del pdf que te mandaron. En algunos casos, mostrando antes el cartelito “¿Desea Usted Ejecutar Tal y Cual Cosa?». En otros lectores no hay advertencia, no hay cartelito, el desastre pasa inadvertido, te empoman de una (si vos hacés clic, que quede claro).
Es que a los muchachos de Adobe les pareció bárbaro que su pudiera usar esa maravillosa característica: si deseo que te instales el Paint, por ejemplo, lo dejo embebido en un PDF, dentro del texto del documento te escribo “haga clic acá pasa instalar Paint”, y listo. Encantador. Grrrracias, muchachos de Adobe.
Detalle rápido:

• La mayoría de los lectores de PDF para Windows soportan esa característica.
• La mayoría de los lectores de PDF para Linux no soportan eso. Ahí zafamos.
• En Mac, el panorama es “muy pocos lo soportan”.

Estoy armando una lista de “programas que abren PDF y soportan Launch” y la publicaré el viernes. ¿Porqué esta demora? Hay por lo menos tres grupos de investigadores probando cuanto lector de pdf anda por ahí, todos los días llega un mensaje nuevo.
Hasta ese momento, calzoncillos de lata.