Christian Mainka

O software permite a falsificação de assinatura através do uso de Grupos de Conteúdo Opcional (OCG). Quando os OCGs são suportados, a propriedade de estado de um OCG é apenas em tempo de execução e não é incluída no cálculo da assinatura digital. Um atacante pode utilizar JavaScript ou acionadores de PDF para alterar a visibilidade do conteúdo OCG após a assinatura, modificando o conteúdo visual de um PDF assinado sem invalidar a assinatura. Isso pode levar a uma discrepância entre o conteúdo assinado e o que é exibido ao signatário ou verificador, comprometendo potencialmente a confiabilidade da assinatura digital.

Um documento PDF especialmente elaborado pode utilizar JavaScript para modificar o conteúdo das anotações e, em seguida, remover o status de modificação do arquivo por meio de interfaces JavaScript. Isso contorna a verificação de assinatura digital ao ocultar alterações no documento, potencialmente enganando os usuários sobre a integridade do documento e comprometendo a confiança associada a PDFs assinados.

The issue is related to errors in the representation of information by the user interface in Microsoft Office. It allows a remote attacker to conduct spoofing attacks.

O problema está relacionado a erros na verificação de assinaturas criptográficas, permitindo que um invasor remoto modifique o conteúdo de um documento ODF. É possível que um invasor manipule documentos para que pareçam ter sido assinados por uma fonte confiável.

O problema está relacionado a erros na verificação de assinaturas criptográficas, permitindo que um invasor manipule documentos e macros assinados para que pareçam ter origem em uma fonte confiável.

O problema está relacionado a erros na verificação de documentos assinados, que podem ser explorados por um invasor remoto para comprometer a integridade das informações. É possível que um invasor manipule o carimbo de data/hora dos documentos assinados.

A vulnerabilidade afeta implementações de clientes que utilizam a biblioteca Python oic, uma implementação do OpenID Connect em Python. Existem várias falhas criptográficas relacionadas: 1) O algoritmo de assinatura do IdToken não era verificado automaticamente, mas apenas se o algoritmo esperado fosse passado como um kwarg. 2) O algoritmo JWA `none` era permitido em todos os fluxos. 3) `oic.consumer.Consumer.parse authz` retorna um IdToken não verificado, deixando a verificação a critério do implementador. 4) A validade da reivindicação `iat` não era verificada, permitindo que ela fosse incluída posteriormente.

An issue existed in the handling of links in encrypted PDFs, which could allow an attacker to exfiltrate the contents of an encrypted PDF. This issue was addressed by adding a confirmation prompt.

The issue allows remote attackers to recover the plaintext form of a symmetric key via a series of crafted messages, due to improper information leakage about decryption failures when decrypting an encrypted key or message data.

The issue allows remote attackers to log into other users' accounts by leveraging an OpenID identity from certain providers. This is demonstrated by providers such as Verisign, LiveJournal, and StackExchange.

The issue allows remote attackers to bypass the `requireSignedEncryptedDataElements` configuration through vectors related to "wrapping attacks". This enables attackers to evade security measures.

The issue allows remote attackers to cause a denial of service, consuming CPU and memory, via crafted XML with a large number of elements, attributes, nested constructs, and possibly other vectors.