Lekken in Adobe alternatief Foxit Reader
Ook gebruikers die vanwege alle lekken in Adobe Reader en Acrobat op Foxit Reader zijn overgestapt, ontkomen niet aan het installeren van updates. In een uitbreiding van de alternatieve PDF-lezer zijn twee lekken ontdekt. Standaard is de kwetsbare JPEG2000/JBIG2 Decoder uitbreiding niet geïnstalleerd, maar als een bestand dit vereist, wordt er automatisch gevraagd om die te installeren.
In dit geval zou een aanvaller via een geprepareerde PDF willekeurige code met de rechten van de gebruiker kunnen uitvoeren. De ontwikkelaar van Foxit Reader heeft de code van beveiliging voorzien om misbruik te voorkomen. De lekken werden op 2 juni gemeld, een week later was de patch klaar, die tien dagen later te downloaden was. Updaten naar "build 1817" kan via de Automatische Update functie of de website.
Help\ Check for Updates Now\ Foxit Reader 3.0.2009.1817 Upgrade\ Add\ Install
(en een tweede keer "Check for Updates Now" ter controle),
blijft bij het checken van de versie, via
Help\ About Foxit Reader,
aangegeven worden dat het Build 1506 betreft, niet Build 1817.
Betreft dit een schoonheidsfoutje,
of kan dit betekenen dat de update niet is geslaagd?
Zou dat laatste het geval zijn, dan zou dat betekenen dat de 'automatische' update-functie niet betrouwbaar is...
@Spiff
Dit is geen schoonheidsfoutje...http://www.foxitsoftware.com/pdf/reader/download.php
Op de website staat:
Version: 3.0 Build 1817
De update functie heeft even tijd nodig.......
@ Spiff
Download de nieuwe versie op [url=http://www.foxitsoftware.com/pdf/reader/download.php]http://www.foxitsoftware.com/pdf/reader/download.php[/url]
maar nope,
de update-functie gaf na "Install" de installatie weer met een vollopend balkje, netjes, maar deze weergave verdween toen plotseling, om ook na enige ogenblikken niet meer terug te komen of enige bevestiging te geven.
Opnieuw opstarten van Foxit en zelfs opnieuw opstarten van het systeem gaven geen verandering in de via "About" vermelde build 1506.
Een kanttekening en een vraag:
Ik update Foxit Reader dus via de update-optie in het programma, in een administrator-account in Vista, maar Foxit was 'gewoon' geopend in dat administrator-account, niet ook nog eens via het context-menu "Als administator uitvoeren".
Zou het zo kunnen zijn dat het onder Vista zelfs in een administrator-account nodig is om via het rechtsklik context-menu "Als administator uitvoeren" te kiezen bij het openen van Foxit om succesvol een update te kunnen uitvoeren??
Tweede kanttekening:
Ondanks dat via "About" nog steeds wordt weergegeven dat het build 1506 zou betreffen, wordt via "Check for Updates" de betreffende "Foxit Reader 3.0.2009.1817 Upgrade" niet meer opnieuw aangeboden.
Onduidelijke situatie, vind ik.
Zonodig maar even verwijderen en de nieuwe versie schoon installeren, denk ik. Da's tenslotte niet bepaald een heidens karwei.
vind ik voude boel, vooral omdat er NIET naar ebay gelinkt wordt.
Gewoon de nieuwste versie downloaden en over de bestaande heen installeren laat uiteindelijk wel versie 1817 zien.
Gewoon de nieuwste versie downloaden en over de bestaande heen installeren laat uiteindelijk wel versie 1817 zien.
De kleine moeite en de paar minuten tijd die gaan zitten in de paar instellingen die opnieuw gemaakt moeten worden (zoals o.a. het uit-vinken van "Enable JavaScript Actions"!) zijn volgens mij te verkiezen boven het risico dat met het over een oude versie heen installeren de kwetsbaarheid niet goed verholpen wordt.
Ik kan voor deze kwetsbaarheid in Foxit niet overzien of er met het over de oude versie heen installeren een kans bestaat dat de kwetsbaarheid mogelijk niet goed verholpen wordt, maar gezien eerdere ervaringen met andere programma's, neem ik liever geen onnodige risico's.
Tenslotte,
mocht iemand nog steeds de juiste Foxit-adressen over het hoofd zien:
http://www.foxitsoftware.com/pdf/reader/
--> http://www.foxitsoftware.com/pdf/reader/download.php
Deze posting is gelocked. Reageren is niet meer mogelijk.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
