Vladislav Mladenov

O software permite a falsificação de assinatura através do uso de Grupos de Conteúdo Opcional (OCG). Quando os OCGs são suportados, a propriedade de estado de um OCG é apenas em tempo de execução e não é incluída no cálculo da assinatura digital. Um atacante pode utilizar JavaScript ou acionadores de PDF para alterar a visibilidade do conteúdo OCG após a assinatura, modificando o conteúdo visual de um PDF assinado sem invalidar a assinatura. Isso pode levar a uma discrepância entre o conteúdo assinado e o que é exibido ao signatário ou verificador, comprometendo potencialmente a confiabilidade da assinatura digital.

Um documento PDF especialmente elaborado pode utilizar JavaScript para modificar o conteúdo das anotações e, em seguida, remover o status de modificação do arquivo por meio de interfaces JavaScript. Isso contorna a verificação de assinatura digital ao ocultar alterações no documento, potencialmente enganando os usuários sobre a integridade do documento e comprometendo a confiança associada a PDFs assinados.

The issue is related to errors in the representation of information by the user interface in Microsoft Office. It allows a remote attacker to conduct spoofing attacks.

O problema está relacionado a erros na verificação de documentos assinados, que podem ser explorados por um invasor remoto para comprometer a integridade das informações. É possível que um invasor manipule o carimbo de data/hora dos documentos assinados.

O problema está relacionado a erros na verificação de assinaturas criptográficas, permitindo que um invasor remoto modifique o conteúdo de um documento ODF. É possível que um invasor manipule documentos para que pareçam ter sido assinados por uma fonte confiável.

O problema está relacionado a erros na verificação de assinaturas criptográficas, permitindo que um invasor manipule documentos e macros assinados para que pareçam ter origem em uma fonte confiável.

O problema está relacionado a uma verificação inadequada de assinaturas criptográficas, especificamente uma variante do encapsulamento de assinaturas XML. Isso ocorre porque o PySAML2 não valida documentos SAML em relação a um esquema XML, permitindo que documentos XML inválidos sejam processados. Tais documentos podem enganar o PySAML2 com uma assinatura encapsulada, possibilitando que um invasor remoto contorne a verificação de assinatura e acesse informações protegidas. Todos os usuários do PySAML2 que precisam validar documentos SAML assinados são afetados.

A vulnerabilidade afeta implementações de clientes que utilizam a biblioteca Python oic, uma implementação do OpenID Connect em Python. Existem várias falhas criptográficas relacionadas: 1) O algoritmo de assinatura do IdToken não era verificado automaticamente, mas apenas se o algoritmo esperado fosse passado como um kwarg. 2) O algoritmo JWA `none` era permitido em todos os fluxos. 3) `oic.consumer.Consumer.parse authz` retorna um IdToken não verificado, deixando a verificação a critério do implementador. 4) A validade da reivindicação `iat` não era verificada, permitindo que ela fosse incluída posteriormente.

An issue existed in the handling of links in encrypted PDFs, which could allow an attacker to exfiltrate the contents of an encrypted PDF. This issue was addressed by adding a confirmation prompt.

The issue allows remote attackers to log into other users' accounts by leveraging an OpenID identity from certain providers. This is demonstrated by providers such as Verisign, LiveJournal, and StackExchange.