پایدار نماند مال بی تجارت زندگی بهادار تعهدی به ضمانت ملل اپلیکیشن پرداخت صاپ در مقابل اعتماد شما؛ مسئولیم خدمات دیجیتال بانک ایران زمین؛ تجربه ای متفاوت
آرشیو اخبار
روز
ماه
سال
پايگاه اطلاع رساني دفتر مقام معظم رهبري پايگاه اطلاع رساني رياست جمهوري اسلامي ايران خانه ملت - خبرگزاري مجلس شوراي اسلامي پرتال جامع قوه قضائيه جمهوري اسلامي ايران logo-samandehi
  • | انصراف
به کانال تلگرام بانک و صنعت بپوندید بانک و صنعت را در اینستاگرام دنبال کنید
شماره: 512060 تاریخ : 1399/02/13-16:16:18
,15,
رفع چندین اشکال مهم در FOXIT READER و PHANTOMPDF

رفع چندین اشکال مهم در FOXIT READER و PHANTOMPDF

طبق تحقیقات انجام شده، نرم افزارهای Foxit PDF Reader و PhantomPDF دارای نقص های امنیتی زیادی هستند که می توانند منجر به اجرای کد از راه دور شوند.

به گزارش پایگاه تحلیلی خبری بانک و صنعت به نقل از مرکز ماهر، چهار نقص مختلف که نمره ی 8/7 را از استاندارد CVSS دریافت کرده اند، بر Foxit PDF Reader تأثیر می گذارند. دو مورد از این آسیب پذیری ها (CVE-2020-10899 و CVE-2020-10907) در XFA وجود دارند. قالب های XFA، الگوهایی هستند که در PDFها تعبیه شده اند و فیلدهای قابل پرکردن را دربر می گیرند. هر دو موضوع ناشی از عدم اعتبارسنجی وجود یک شیء، قبل از انجام عملیات بر روی آن شیء است. یک مهاجم می تواند از این آسیب پذیری ها برای اجرای کد در متن فرایند فعلی استفاده کند.
محققان همچنین نقص اجرای کد از راه دور "CVE-2020-10900" را در فرآیند AcroForms یافتند. AcroFormها فایل های PDF هستند که حاوی فیلدهای فرم هستند. دلیل وجود این آسیب پذیری این است که AcroForm قبل از انجام عملیات بر روی شیء، موجودیت آن را تأیید نمی کند.
نقص مهم دیگر (CVE-2020-10906) در روش resetForm در PDFهای Foxit Reader وجود دارد. این آسیب پذیری به دلیل عدم بررسی شیء قبل از انجام عملیات بر روی آن، به وجود می آید و همین موضوع امکان یک حمله ی RCE به فرایند را برای مهاجم فراهم می کند.
PhantomPDF نیز چندین نقص با شدت بالا را وصله کرده است که نسخه های 9.7.1.29511 و قبل از آن را تحت تأثیر قرار می دهند. شدیدترین این نقص ها (CVE-2020-10890 و CVE-2020-10892) در ارتباط PhantomPDF API وجود دارند. فراخوانی های PhantomPDF API برای ایجاد PDF از انواع دیگر اسناد، ضروری است. این نقص ها ناشی از دستیابی به دستورهای "ConvertToPDF" و "CombineFiles" است که به مهاجمان اجازه ی نوشتن فایل بر روی داده های کنترل شده را می دهد.
علاوه بر این دو برنامه، این اشکالات امنیتی بر افزونه ی U3DBrowser Foxit نیز تأثیر می گذارد. این افزونه، به مشاهده ی یادداشت های سه بعدی تعبیه شده در اسناد PDF کمک می کند.
خوشبختانه این آسیب پذیری ها با انتشار Foxit Reader 9.7.2 ، Foxit PhantomPDF 9.7.2 و3D Plugin Beta 9.7.2.29539 برطرف شده اند و کاربران باید از به روزرسانی دستگاه های خود با نسخه های وصله شده برای جلوگیری از سوءاستفاده ی احتمالی، اطمینان حاصل کنند.



ارسال به دوستان با استفاده از:

نظر کاربران

Memory usage: 197
آینده خواندنی است طرح آرامش پست بانک ایران