A Foxit Software corrigiu mais de 100 vulnerabilidades em seu popular software Foxit PDF Reader. Muitos dos bugs enfrentados pela empresa incluem uma ampla gama de vulnerabilidades de execução remota de código de alta gravidade.
Na sexta-feira (28/09/2018), a Foxit liberou as correções para o Foxit Reader 9.3 e o Foxit PhantomPDF 9.3, que abordou uma enorme quantidade de 124 vulnerabilidades. É importante observar que alguns bugs abordados se sobrepõem, portanto, o número real de bugs reais é menor. Os impactos são para o Foxit Reader e o Foxit PhantomPDF, versões 9.2.0.9297 e anteriores para Windows.
Dezoito vulnerabilidades foram descobertas pela Cisco, que publicou uma análise dos bugs na segunda-feira em um relatório. Todas as 18 falhas da Cisco têm uma pontuação CVSSv3 de 8.0, ou uma classificação alta em gravidade. Eles foram todos encontrados no mecanismo JavaScript do Foxit PDF Reader, um componente (ou interpretador) que executa o código JavaScript.
Das falhas divulgadas pela Cisco, sete são vulnerabilidades do tipo use-after-free (UAF) encontradas no mecanismo de JavaScript que podem resultar na execução remota de código.
“Como um leitor de PDF rico em recursos, o Foxit suporta JavaScript para documentos interativos e formulários dinâmicos”, disse a Cisco em seu post. “Ao executar o código JavaScript incorporado, um documento pode ser fechado, o que libera vários objetos usados, mas o JavaScript pode continuar a executar, potencialmente levando a uma condição de user-after-free.”
A Cisco também descobriu quatro falhas do tipo use-after-free que podem ser aproveitadas para executar código arbitrário no mecanismo JavaScript do Foxit PDF Reader, incluindo uma (CVE-2018-3964) que aproveita a invocação do método getPageNumWords do documento ativo com um objeto criado como argumento. Outro ataque descoberto pela Cisco faz referência a seis CVEs do tipo use-after-free no mecanismo JavaScript do Foxit PDF Reader, que podem ser usados para executar códigos arbitrários.
“Um documento PDF especialmente criado e enviado para uma vítima pode acionar um objeto anteriormente liberado na memória para ser reutilizado, resultando na execução arbitrária de código. Deve-se ressaltar que, embora todas as falhas acima ocorram no mesmo local, os caminhos de execução são diferentes, conforme evidenciado pela pilha de chamadas, portanto, CVEs separados foram alocados para cada um”, de acordo com a análise da Cisco.
Esta foi uma semana ruim para os leitores de PDF. A Adobe também lançou patches para seu próprio conjunto de serviços para visualizar, criar e gerenciar arquivos PDF – o Adobe Acrobat e o Reader. Na segunda-feira, a Adobe liberou até 47 das correções de vulnerabilidades críticas permitindo a execução de código arbitrário – incluindo 22 falhas de out-of-bounds, sete falhas críticas de estouro de heap (“Heap Overflow”), sete bugs do tipo use-after-free, três vulnerabilidades type confusion, três buffer error bugs, três falhas de referência de ponteiro não confiáveis e uma vulnerabilidade double free.
Solução
Os usuários Foxit devem atualizar para o Reader 9.3 e o Foxit PhantomPDF 9.3 para corrigir as mais de 100 vulnerabilidades. Acesse o comunicado oficial da Foxit e atualize suas versões.
.
.
Publicado originalmente no ThreatPost em 02 de outubro de 2018.
Este conteúdo foi traduzido com permissão. ThreatPost não é afiliado com este site.
Autor: Lindsey O’Donnell
Tradução por Tiago Souza
.
