本周Foxit软件发布了关于Foxit pdf阅读器的8个漏洞利用。Foxit软件去年的数据显示产品使用用户超过4.75亿。Foxit软件建议用户更新Foxit pdf阅读器到最新的9.7版本。

8个CVE高危漏洞

CVE-2019-5031

研究人员在Foxit PDF阅读器9.4.1.16828版本的JavaScript引擎的JavaScript Array.includes中发现了一个内存破坏漏洞——CVE-2019-5031。该漏洞CVSS分值为8分，是这8个漏洞中最严重的。攻击者利用一个精心伪造的PDF文档就可以触发一个out-of-memory条件，导致处理不当引发任意代码执行。攻击者只需要诱使用户打开恶意pdf文件就可以触发该漏洞。如果启用了对应的浏览器插件扩展，访问恶意站点也会触发该漏洞。

该漏洞的更多技术细节参见https://talosintelligence.com/vulnerability_reports/TALOS-2019-0793

其他漏洞

其他7个漏洞的CVSS分值都为7.8分。攻击者利用这些漏洞可以远程获取受害者系统的访问权限。

CVE-2019-13326,CVE-2019-13327,CVE-2019-13328

CVE-2019-13326,CVE-2019-13327,CVE-2019-13328这3个漏洞产生的原因与Foxit Reader处理AcroForm域的方式有关，在含有form域的pdf文件中可以输入内容。由于在对象上执行操作前没有验证对象存在的有效性，因此攻击者可以利用该漏洞在当前进程环境下执行代码。

CVE-2019-13329, CVE-2019-13330,CVE-2019-13331, CVE-2019-13332

CVE-2019-13329漏洞是处理TIF文件时引发的问题，CVE-2019-13330，CVE-2019-13331是处理JPG文件时引发的漏洞，CVE-2019-13332是处理XFA Form模板时引发的漏洞。XFA表示XML Form Architecture，是JetForm用来增强web form处理的专用XML规格说明。

攻击者利用以上漏洞可以在安装了受影响版本的阅读器中执行任意代码，但前提是目标必须首先访问恶意页面或打开恶意文件。

去年，Foxit软件修复了Foxit Reader中的超过100个漏洞，大多数是高危的远程代码执行漏洞。