Foxit PDF閱讀器多個漏洞安全通告
發布時間 2019-10-08漏洞編號和級別
CVE編號：CVE-2019-5031，危險級別：高危，CVSS分值：廠商自評：8.8，官方未評定
CVE編號：CVE-2019-13326，危險級別：高危，CVSS分值：7.8
CVE編號：CVE-2019-13327，危險級別：高危，CVSS分值：7.8
CVE編號：CVE-2019-13328，危險級別：高危，CVSS分值：7.8
CVE編號：CVE-2019-13329，危險級別：高危，CVSS分值：7.8
CVE編號：CVE-2019-13330，危險級別：高危，CVSS分值：7.8
CVE編號：CVE-2019-13331，危險級別：高危，CVSS分值：7.8
CVE編號：CVE-2019-13332，危險級別：高危，CVSS分值：7.8
影響版本
基于Windows平臺的Foxit Reader 9.6.0.25114及之前版本中的V8引擎
漏洞概述
Foxit軟件發布了關于Foxit pdf閱讀器的8個漏洞利用。Foxit軟件去年的數據顯示產品使用用戶超過4.75億。這些漏洞均可允許黑客在該軟件中遠程執行代碼，但需要受害者事先訪問惡意網站或打開惡意文件。
研究人員在Foxit PDF閱讀器的JavaScript引擎的JavaScript Array.includes中發現了一個內存破壞漏洞CVE-2019-5031。攻擊者利用一個精心偽造的PDF文檔就可以觸發一個out-of-memory條件，導致處理不當引發任意代碼執行。攻擊者只需要誘使用戶打開惡意pdf文件就可以觸發該漏洞。如果啟用了對應的瀏覽器插件擴展，訪問惡意站點也會觸發該漏洞。
其他7個漏洞的CVSS分值都為7.8分。攻擊者利用這些漏洞可以遠程獲取受害者系統的訪問權限。
CVE-2019-13326，CVE-2019-13327，CVE-2019-13328這3個漏洞產生的原因與Foxit Reader處理AcroForm域的方式有關，在含有form域的pdf文件中可以輸入內容。由于在對象上執行操作前沒有驗證對象存在的有效性，因此攻擊者可以利用該漏洞在當前進程環境下執行代碼。
CVE-2019-13329漏洞是處理TIF文件時引發的問題，CVE-2019-13330，CVE-2019-13331是處理JPG文件時引發的漏洞，CVE-2019-13332是處理XFA Form模板時引發的漏洞。XFA表示XML Form Architecture，是JetForm用來增強web form處理的專用XML規格說明。
漏洞驗證
暫無POC/EXP。
修復建議
目前廠商已發布升級補丁以修復漏洞，補丁獲取鏈接：
https://www.foxitsoftware.com/support/security-bulletins.php
參考鏈接
https://threatpost.com/foxit-pdf-reader-vulnerable-to-8-high-severity-flaws/148897/
京公網安備11010802024551號