福昕閱讀器漏洞可用于執(zhí)行惡意代碼
福昕pdf閱讀器是一款非常流行的PDF文件閱讀器，有大量的用戶。據(jù)福昕軟件官網(wǎng)信息，福昕為全球200余國家的5.5億用戶提供高效專業(yè)安全的福昕PDF編輯器服務。近日，福昕閱讀器修復了一個影響PDF閱讀器的高危遠程代碼執(zhí)行漏洞，攻擊者利用該漏洞可以在用戶的Windows計算機上執(zhí)行惡意代碼，甚至可以接管用戶的計算機。
CVE-2021-21822
漏洞CVE編號為CVE-2021-21822，CVSS V3評分為8.8分。福昕閱讀器中支持JavaScript來記性交互式文件和動態(tài)表單。但JS支持可能會帶來額外的攻擊風險，該漏洞就是福昕pdf閱讀器使用的V8 JS引擎中的UAF漏洞。
該漏洞是由于福昕閱讀器應用和瀏覽器擴展處理特定注釋類型的方式引起的，攻擊者可以利用精心構造的惡意PDF文件可以通過精確的內存控制運行任意代碼觸發(fā)該漏洞，導致任意代碼執(zhí)行。攻擊者只需誘使用戶打開惡意文件或打開啟用了福昕pdf瀏覽器插件擴展的網(wǎng)站就可以觸發(fā)該漏洞。
成功利用該UAF漏洞可能會引發(fā)運行有漏洞的軟件的計算機的程序奔潰、數(shù)據(jù)破壞、任意代碼執(zhí)行等。
漏洞影響福昕pdf閱讀器10.1.3.37598及之前版本，5月6日福昕在更新的10.1.4.37651版本中修復了該漏洞。
研究人員建議用戶下載最新的Foxit Reader 10.1.4版本來修復該漏洞。
關于該漏洞的更多技術細節(jié)參見：https://talosintelligence.com/vulnerability_reports/TALOS-2021-1287
本文翻譯自：
https://www.bleepingcomputer.com/news/security/foxit-reader-bug-lets-attackers-run-malicious-code-via-pdfs/
