Názory k článku
Firefox má vážnou zranitelnost v PDF.js, která umožňuje spustit cizí kód

A kde pisu, ze je to jednoduche? Slozitost prece neni synonymem pro nemoznost. Nejaky zkusenosti s buildenim Firefoxu mam, sranda to uplne neni... ale porad plati, ze to proste jde.

No ve chvíli, kdy je potřeba stáhnout zdroják a ručně ho upravit, se vám podařilo zlikvidovat význam slov "samostatná komponenta". Protože v téhle chvíli se už za samostatnou kompnentu dá považovat jakýkoliv kousek zdrojáků.

Asi neco jako tuny vsemoznych smirovadel. Staci se podivat do changelogu palemoonu, dodnes a to jsou roky, se tam cas od casu objevuje ze byl odstranen dalsi kus nejakeho smirovadla.

Je to do toho zadratovany uplne vsude, a toto bude totez.

Samostatnou komponentou je neco, co se z toho prohlizece da klidne i komplet vyhodit a nebude to k ujme, co se tyce zakladni fukncionality od prohlizece ocekavane. A tady je proste pdf.js doplnek, bez ktereho prohlizec fungovat bude. To, ze si to interne Mozilla v ramci Firefoxu priohne je zhruba tak stejne, jako vselimozne lokalni patche v distribucich - kdy pro zachovani nekterych funkci musite nejak pracovat i s tim distribucnim patchem - a nestaci vzit jen kod z upstreamu. A mimoto, tady to zas takova cerna magie neni.

pokud pdf.js smažeš z repositáře a spustíš build FF, selže ti, musíš upravit i build skripty, tohle jako samostatný doplněk opravdu není.

V těch distribucích mají aspoň všecho veřejně, změny mají v patch souborech. Update script je fajn, ale už v něm nejsou ty kroky navíc, které tam dělají. Ve FF se pdf.js používá tak trochu hardcoded, aktualizace není jen o stažení aktuální verze z repa, to je první krok. Před pár měsíci jsem tam potřeboval propašovat změny, aby se řádně zobrazovaly interní podepsaná pdf a sranda to není. Samostatný doplněk vypadá jinak.

No boze, to je fakt neprekonatelna "komplikace". Tohle je furt dokola...

Jiste, uzivatel vzdy oceni nejvic, kdyz se mu treba prave to pdfko otevira v necem, co pdfka zobrazit neumi. Coz je presne to, co je v browserech.

Na widlich mam tuhle kravinu zakazanou GPOckem v chomakovi, GPOckem v ve foxovi (tam kde jeste jsou pozustatky, protoze sem ho vetsinou vsude zlikvidoval kvuli hromade dalsich krasnych vlastnosti, jako je napriklad nekonecny vytvareni kopii user profilu) ... ovsem chromej edge to s klidem ignoruje, a cas od casu zresetuje uzivatelum preference na sebe ze?

A samozrejme se to nijak nastavit neda.

A az mi budou vasnosti tvrdit, ze da, tak chci priklad zcela konkretne jak nastavim GPOckem asociaci souboru. Samozrejme tak, aby to nerozbilo nic dalsiho a fungovalo aspon 1/2 roku. Budu se tesit, a semnou dalsi miliony spravcu.

O tom, jak vypadaji dodavky SW zjevne neraceji tusit vubec nic. Dodavatel doda blob, a tak jak ho dodal se to i musi pouzivat. Aktualizace typicky znamena ze se to po 10 letech vsechno nainstaluje znova. Tedy pokud dodavatel jeste existuje.

Mam tu treba zalohovac, nikoli levny (licence v radu MKc) a je tam vyslovene zakaz aktualizovat system pod tim (v tomhle pripade nejaky centos).

Už výrazně odbíháme od PDF.js a Firefoxu, který je v celé věci z pohledu správce a řešení té bezpečnostní chyby ten nejmenší problém - stačí jej standardní cestou zaktualizovat.

Jiste, uzivatel vzdy oceni nejvic, kdyz se mu treba prave to pdfko otevira v necem, co pdfka zobrazit neumi. Coz je presne to, co je v browserech.

Jasně, vzhledem k tomu jak dlouho je to default, tak si klidně tipnu, že uživatelé browserů napříč si zobrazí klidně vyšší desítky milionů nejrůznějších PDFek denně, a to naprosto uspokojivým způsobem pro většinu použití. Ale váš závěr z toho je, že to obecně neumí zobrazovat PDFka :))

Beru, že má někdo osobně jinou preferenci. Stejně jako si dovedu představit, že ve firmě, kde většinově pracují s PDFky obsahující formuláře a skripty a nebo mají postavené document workflow na proprietární fíčurách od Adobe (schvalování, sdílené poznámky atp.), tak řeší deploy Adobe Readeru nebo plného Acrobatu.
Tam kde tahle speciální PDFka nejsou úplně dominantní, a věříte v inteligenci uživatelů, tak ten Reader bohatě stačí nainstalovat jako fallback. Tím mají zachované rychlé, progresivní načítání a zobrazování přímo z prohlížeče nebo mailu, což je většinou "good enough", a pokud už narazí na nějaký formulář, nebo mají třeba velký dokument, kde využijí lepšího vyhledávání, tak si to stáhnou na disk a otevřou v Readeru. Přesně tohle jsou zkušenosti mé zkušenosti jak z menších i větších firem (cca 2k stanic).

Stran té asociace souborů přes GPO, nejsem na rozdíl od kolegů specialista na AD (spíš Linux, MacOS atd.), ale když koukám na jeden server, co tam řeší v šabloně, tak je to v podstatě tohle..
https://techcommunity.microsoft.com/t5/ask-the-performance-team/how-to-configure-file-associations-for-it-pros/ba-p/1313151
Tzn. XMLko s definicí přiřazení na sdílené složce, plus ty volby v článku dole (vypnuté notifikace o nové aplikaci, vypnuté hledání aplikace pro otevření na internetu a ve store...).
Dovedu si představit, že kdybych z nějakého důvodu chtěl mít jistotu, že to použije vždycky ta systémová přiřazení, tak to ještě doplním nějakým powershellem, co rekurzivně projede existující uživatele v systému a odmázne pro konkrétní přípony klíč UserChoice v HKCU\SOFTWARE\Mi­crosoft\Window­s\CurrentVersi­on\Explorer\Fi­leExts
Což může být samozřejmě super invazivní, pokud si tam už něco sám nastavil.
Nicméně jak jsem předesílal, není to můj denní chleba. A konkrétně ten MS Edge vypadá, že je super agresivní v revertování nastavení, ignorování existujících politik a spousta věcí a jeho chování se mění mezi jeho různými buildy, aspoň co jsem slyšel. Takže jestli pak něco vydrží déle jak půl roku je otázka :)

O tom, jak vypadaji dodavky SW zjevne neraceji tusit vubec nic. Dodavatel doda blob, a tak jak ho dodal se to i musi pouzivat. Aktualizace typicky znamena ze se to po 10 letech vsechno nainstaluje znova. Tedy pokud dodavatel jeste existuje.

Ale samozřejmě že tuším.. proto jsem psal, že správce (resp. bezpečák) by měl zhodnotit riziko. Ať zůstaneme u tématu, asi bude rozdíl, jestli máte třeba starý Firefox a distribuci na serveru v nějakém izolovaném systému v segmentované síti s jasně danými přístupy a prostupy, nebo PDF.js v nějaké webové aplikaci/kontej­neru, co přímo využívají třeba tísícovky uživatelů.
Nicméně rozhodně to není tak, že takovéhle peklo, co jste popsal, je vždycky. Chápu, že někdy řadový správce není nutně v nějakém rozhodovacím procesu, nemá nejspíš vliv na výši investic ani prostředků na rozvoj. Ale někdy ta potenciální frustrace může vést i k zásadnějším rozhodnutím, kdy si člověk vyhodnotí, že než zdegenderovat na takového toho strejdu Nejdeto, co akorát pi*uje v kantýně, a valí před sebou čím dál větší kuličku, tak u toho taky nemusí být a otevře se mu spousty dalších možností :)

Hele, ano, souhlasím s tebou. Jsou PDF, která se nedají zobrazit jinde, než v acroreadu. Ale jsou tu dva body, které potřebuji zmínit:

1) já osobně jsem se s takovým PDF už velmi dlouho nesetkal. Je to ale moje zkušenost a nerozporuji zkušenost ostatních, hlavně co se týče komunikace se státní správou. Jsou to sice ta nejdůležitější PDFka, ale je jich naprosté minimum v celkovém objemu.

2) Adobe prosadilo spoustu rozšíření PDF formátu, která ale nejsou otevřená. Navíc je to funkcionalita z „vyšší dívčí“, takže se s ní člověk v běžných PDF nesetká (výjimka viz bod 1).

Osobně používám na většinu PDF Okular, jsem s ním spokojený více než dost s jedinou malou výjimkou - editování formulářů a diakritika. V tom případě PDF otevřu ve vestavěném prohlížeči PDF ve Firefoxu a mám vyřešeno.

Takže se vyhrazuji proti tvrzení, že 90% PDF se jinde než v acroreadu nezobrazí správně. Tento dojem může vzniknout jen u člověka, který většinou neustále otevírá těch pár rozbitých PDF od pos*nych úřadů.

Navrhuju, abyste přestal psát nesmysly. Když někdo píše, že se něco děje v 90 % případů, a já se ptám na konkrétní příklady (k čemuž stačí poslat odkazy na poslední 3 ze 4 posledních PDF, které jste na internetu potkal), nedává smysl na to odpovídat tak, že nepošlete žádný odkaz, ale napíšete, že to není žádná výjimka.

Já jsem nedávno potkal PDFka na insolvenčním rejstříku (náhodně vybraný "Jan Novák"), ty "Vedlejší dokumenty" mi nefungují a v patičce je napsáno "Upozorňujeme uživatele, že vedlejší dokumenty (PDF portfolia) již nelze otevřít v internetovém prohlížeči MS Edge, Google Chrome aj.. ".

Jestli to chápu správně, je to "PDF portfolio", což je nějaký způsob jak použít PDF jako kontejner na soubory. Linuxový Okular mi z toho vybalí PDFka a ta pak jdou normálně otevřít. Ale nevím jestli tam jsou i nějaké další věci, které jdou jen v Adobe.

24. 5. 2024, 18:51 editováno autorem komentáře

To je ovšem nejspíš nějaké proprietární rozšíření Adobe. To pak není chyba prohlížeče, že to nepodporuje, ale spíš chyba státní instituce, že je to jediný formát, ve kterém zpřístupňuje data.

U těch formulářů je to ale vlastnost, kterou jen Adobe špatně (nebo možná naopak dobře, záleží na úhlu pohledu) prodává. Ty formuláře jsou totiž dělané tak, že je to proprietární technologie Adobe, k jejímuž využití potřebujete „velký“ Adobe Acrobat. Ale Adobe umožňuje poskytnout licenci ostatním k vyplňování – a aby k tomu nepotřebovali speciální program, je ta funkcionalita vyplňování náhodou vestavěná do Adobe Readeru.

Že některé funkcionality uživatele zmatou chápu. Nicméně dřívější stav byl takový, že uživatel často PDF vůbec neodkázal otevřít, a když už ho dokázal otevřít, nedokázal ho vytisknout. Stav, kdy někdy nejde vytisknout tak, jak bych chtěl, je výrazný posun vpřed.

(Já jsem to kdysi implementoval tak, že se v prohlížeči odchytila a zrušila událost tisku, a místo ní se zavolal skript v PDF, který vyvolal tiskový dialog pro PDF soubor. Vývojáři PDF.js se pak po letech divili, že je něco takového s PDF možné…)