Foxit PDF Reader 0day 漏洞
2017-08-18
最近，安全研究人员在Foxit pdf Reader发现两个严重的安全漏洞，漏洞编号分别为CVE-2017-10951和CVE-2017-10952。
CVE-2017-10951：
该漏洞是一个命令注入的漏洞，原因是由于app.launchURL函数缺少恰当的验证会执行攻击者提供的字符串。
CVE-2017-10952：
该漏洞是任意文件写漏洞，能让攻击者在目标系统写入任意文件，攻击者可以利用该漏洞获取代码执行能力。
这两个漏洞都能导致任意代码执行，不过Foxit公司拒绝对这两个漏洞提供补丁，因为Foxit pdf Reader的安全阅读模式是默认开启的，漏洞不会对默认设置的Foxit pdf Reader造成影响。不过未来如果攻击者找到绕过安全阅读模式的方法，以上漏洞可能被大规模利用。
相关地址：
http://thehackernews.com/2017/08/two-critical-zero-day-flaws-disclosed.html
https://www.zerodayinitiative.com/blog/2017/8/17/busting-myths-in-foxit-reader
受影响的版本
Foxit pdf Reader
规避方案
· 不要打开任何来源不明的pdf文档；
· Foxit pdf Reader的安全阅读模式要保持打开状态。
声 明
本安全公告仅用来描述可能存在的安全问题，香港正版挂牌不为此安全公告提供任何保证或承诺。由于传播、利用此安全公告所提供的信息而造成的任何直接或者间接的后果及损失，均由使用者本人负责，香港正版挂牌以及安全公告作者不为此承担任何责任。香港正版挂牌拥有对此安全公告的修改和解释权。如欲转载或传播此安全公告，必须保证此安全公告的完整性，包括版权声明等全部内容。未经香港正版挂牌允许，不得任意修改或者增减此安全公告内容，不得以任何方式将其用于商业目的。
