注册
登录
| 关键词： 漏洞 Foxit PhantomPDF 代码 攻击者 2020 更新 安全 用户 Reader |
 0x01 漏洞背景2020年04月22日，360CERT监测到Foxit官方于2020年04月16日发布了多个Foxit Reader高危漏洞的安全更新。 Foxit Reader是流行的PDF软件，其免费版本的用户群超过5亿，它提供了用于创建、签名和保护PDF文件的工具。同时，PhantomPDF使用户可以将不同的文件格式转换为PDF。除了数以百万计的品牌软件用户外，亚马逊、谷歌和微软等大型公司还许可福昕软件技术。 此次安全更新发布了36个漏洞补丁，涵盖了Foxit Reader、Foxit PhantomPDF两个产品及其3D插件。其中包括了多个高危漏洞可在用户交互的情况下完成远程代码执行。 对此，360CERT建议广大用户及时安装最新补丁，做好资产自查以及预防工作，以免遭受黑客攻击。 0x02 风险等级360CERT对该事件的评定结果如下  0x03 漏洞详情CVE-2020-10899|CVE-2020-10907：XFA模板 UAF代码执行漏洞XFA模板是嵌入PDF的模板，且允许填充字段。XFA模板对对象执行操作前没有对对象进行存在性验证，攻击者可以利用该缺陷在当前进程的上下文中执行代码。 CVE-2020-10900：AcoreForms UAF代码执行漏洞AcoreForms是包含表单字段的PDF文件。AcoreForms在对对象执行操作前没有验证对象是否存在，攻击者可以利用该缺陷执行代码。 CVE-2020-10906：restForm UAF代码执行漏洞Foxit Reader PDF restForm方法在对象执行前未对对象进行检查，导致处理过程中存在远程代码执行风险。 CVE-2020-10890|CVE-2020-10892：PhantomPDF ConvertToPDF任意文件写入远程执行代码漏洞PhantomPDF的通信API中存在缺陷，当用户完成交互触发ConvertToPDF命令时，该命令允许将攻击者控制的数据写入任意文件，攻击者可以通过该漏洞在当前进程的上下文中执行代码。 CVE-2020-10912：PhantomPDF SetFieldValue类型混淆远程代码执行漏洞PhantomPDF通信API的SetFieldValue命令的处理中存在缺陷，其未校验用户传入数据的正确性，这可能导致类型混乱，攻击者可以通过该漏洞在当前进程的上下文中执行代码。 0x04 影响版本
0x05 修复建议通用修补建议：360CERT建议通过安装 360安全卫士 进行一键更新。 手动升级方案
0x06 产品侧解决方案360安全卫士针对本次安全更新，Windows用户可通过360安全卫士实现对应补丁安装，其他平台的用户可以根据修复建议列表中的产品更新版本对存在漏洞的产品进行更新。 0x07 时间线2020-04-16 Foxit官方发布安全预警 2020-04-22 360CERT发布漏洞通告 0x08 参考链接1.Foxit官方安全通 https://www.foxitsoftware.com/support/security-bulletins.php 2.threatpost安全漏洞通告 https://threatpost.com/foxit-pdf-reader-phantompdf-remote-code-execution/154942/ |
| 本文出处： https://www.toutiao.com/a6818446871917232643/ |
|
声明：文章版权归原作者所有 部分文章转自互联网 如有侵权请联系
[邮箱地址] 删除
|
