Исследователи нашли две критические уязвимости в Foxit Reader

Исследователи безопасности обнаружили две критические уязвимости в Foxit Reader. Эти бреши могут позволить злоумышленникам выполнить произвольный код на целевом компьютере.

Первая уязвимость (CVE-2017-10951) - это ошибка командной инъекции, обнаруженная исследователем Ариэлем Кальтабиано (Ariele Caltabiano), который работает в рамках проекта Trend Micro Zero Day Initiative (ZDI). Вторая брешь (CVE-2017-10952) связана с файловой записью, была найдена исследователем Offensive Security Стивеном Сили (Steven Seeley).

Для того чтобы использовать эти две уязвимости, злоумышленник должен отправить пользователю Foxit специально созданный PDF-файл, и заставить открыть его. Примечательно, что команда Foxit отказалась устранять эти бреши по той причине, что они не представляют опасности с функцией безопасного чтения, которая, к счастью, включена по умолчанию в Foxit Reader.

«В наших продуктах Foxit Reader и PhantomPDF есть режим безопасного чтения, который по умолчанию включен, что позволяет контролировать выполнение JavaScript и защищать от его несанкционированных действий» - говорится в сообщении компании.

Однако эксперты полагают, что наличие безопасного режима не является достаточным основанием для того, чтобы оставить эти уязвимости нетронутыми. В конечном итоге злоумышленники могут нащупать способ обойти безопасный режим чтения в будущем.

Обе уязвимые уязвимости могут запускаться через API JavaScript в Foxit Reader. В случае с CVE-2017-10951 ошибка находится в функции app.launchURL из-за отсутствия правильной проверки. На видео эксперты наглядно продемонстрировали наличие этой проблемы.

CVE-2017-10952: эта уязвимость существует в JavaScript-функции «saveAs», которая позволяет злоумышленникам сохранить произвольный файл в целевой системе в любом месте. Исследователи также опубликовали видео использования этой бреши.

«Эксперт использовал эту уязвимость, вставив в документ HTA-файл, а затем вызвав saveAS, чтобы записать его в папку автозагрузки, тем самым выполнится произвольный код VBScript при запуске» - говорится в сообщении, опубликованном ZDI.

Если вы используете Foxit Reader или PhantomPDF, убедитесь, что функция «Безопасный режим чтения» включена. Пользователям также рекомендуется всегда проявлять бдительность при открытии любых файлов, полученных по электронной почте.