Pdf-ридер Foxit получил важное обновление
Вышла версия 9.1 PDF-ридера Foxit Reader, закрывающая ряд уязвимостей, обнаруженных экспертами по информационной безопасности. Среди ошибок, найденных специалистами — несколько проблем с обработкой кода JavaScript, небезопасная загрузка DLL и другие недостатки.
Один из самых серьезных багов заключался в том, что, загружая внешнюю динамическую библиотеку, приложение могло выбрать неверный путь к файлу.
Как выяснил исследователь из Сингапура И Инт (YeYint), если нужная DLL по этому пути отсутствует, злоумышленник может поместить в эту папку вредоносный файл с таким же названием, и Foxit Reader его загрузит и запустит на исполнение. Таким образом можно было подменить 24 библиотеки, используемые этой программой на Windows.
Среди ошибок, связанных с выполнением JavaScript-кода, наибольшую угрозу представляет CVE-2017-14458. Как выяснили исследователи, при закрытии PDF-документа Foxit не завершает процесс, выполняющий встроенные скрипты, хотя все соответствующие объекты в памяти высвобождаются. Таким образом, открывается возможность для выполнения произвольного кода через повторное использование освобожденной памяти.
Вредоносный PDF-файл для эксплойта use-after-free в JavaScript-движке ридера может быть доставлен на компьютер пользователя через спам-рассылку или зараженный сайт.
Прочие JavaScript-уязвимости также можно атаковать с помощью специально созданного PDF-файла, однако последствия их эксплуатации выглядят менее серьезными. CVE-2018-3842 представляет собой баг использования неинициализированного указателя, CVE-2018-3850 и CVE-2018-3853 относятся к классу use-after-free.
Foxit Reader создавался как альтернатива Adobe Acrobat Reader. Кроме бесплатной программы для просмотра файлов, на том же движке работает коммерческий продукт Foxit Phantom PDF, предназначенный для создания и редактирования документов. Оба приложения Foxit обновлены до версии 9.1 с устранением замеченных багов.
PDF-ридеры и браузеры долгое время лидировали по количеству обнаруженных в них уязвимостей. Компания Secunia Research, регулярно проводившая исследования рынка информационной безопасности, неоднократно отмечала, что Foxit ненамного отстает от ближайшего конкурента из Adobe по количеству выявленных брешей.
Однако даже регулярный выпуск обновлений не спасет ситуацию, если пользователи не будут их устанавливать. Здесь у программ для чтения PDF тоже беда — как утверждают специалисты, еще пару лет назад 62% установок Foxit оставались без патчей.