Ongepatchte lekken in Foxit Reader openbaar gemaakt
Securitybedrijf TippingPoint heeft twee kwetsbaarheden in Foxit Reader openbaar gemaakt waar een aanvaller in het ergste geval systemen volledig mee kan overnemen en een beveiligingsupdate is niet beschikbaar. Foxit Reader is een populair alternatief voor Adobe Reader en Acrobat Reader.
Foxit Reader blijkt in bepaalde gevallen gebruikersinvoer niet goed te controleren, waardoor het voor een aanvaller mogelijk is om willekeurige code op het systeem van gebruikers uit te voeren, zoals het installeren van malware. Hiervoor moet een gebruiker van Foxit Reader wel eerst een kwaadaardig bestand of link openen. De kwetsbaarheden werden op 18 mei en 22 juni aan ontwikkelaar Foxit Software gemeld. Vervolgens kreeg het bedrijf 120 dagen van TippingPoint om de kwetsbaarheden op te lossen, anders zouden ze openbaar worden gemaakt.
Foxit Software liet echter weten dat de beveiligingslekken niet zullen worden gepatcht, aangezien die via de 'Safe Reading Mode' van Foxit Reader worden verholpen. Deze modus moet gebruikers tegen kwaadaardige pdf-bestanden beschermen door alle interactie met het document te voorkomen. Volgens TippingPoint is dit geen oplossing en is de enige manier voor gebruikers om zich te beschermen door alleen nog betrouwbare bestanden met Foxit Reader te openen.
Nooit van gehoord vrees ik,.
En hun bovenstaande standpunt is wel jammerlijk,. dus ik ga het ook niet installeren en niet aanbevelen voor anderen.
Ik zou zeggen dat ze safe reading mode dan de default zouden moeten maken.
Thuis ga ik het meteen de-installeren, waarna hopelijk de vraag komt waarom ik het heb verwijderd.
Het aangehaalde artikel meldt: they are Command Injection and File Write vulnerabilities that can be triggered through the JavaScript API in Foxit Reader.
Lijkt me dus gewoon een kwestie van het uitzetten van JavaScript. Dat kan via File > Preferences > Trust Manager en dan de bovenste setting uitvinken.
Dit doe ik overigens standaard in alle PDF readers die ik links en rechts tegenkom (in Adobe Reader kan dat ook)
Lang niet iedereen heeft per se JavaScript nodig.
Nooit van gehoord vrees ik,.
En hun bovenstaande standpunt is wel jammerlijk,. dus ik ga het ook niet installeren en niet aanbevelen voor anderen.
Ik zou zeggen dat ze safe reading mode dan de default zouden moeten maken.
@Anoniem,
Fantastische tip! Dank!
Geïnstalleerd en al enkele uren in gebruik. Subliem! Voor alleen een .PDF lezen is dit na Acrobat Reader (ooit mee begonnen in v2 voor de classic Mac) en vele jaren niets anders....onderwijl Voorvertoning (MacOSX) Lezer (Windows) en als laatste Foxit, de fijnste PDF reader die ik ooit gebruikte.
https://www.sumatrapdfreader.org/free-pdf-reader.html
Screenshot:
https://www.sumatrapdfreader.org/img/sum-shot-03-full.png....je krijgt al een goed humeur van alleen die leuke pastelkleurtjes :-)
Deze posting is gelocked. Reageren is niet meer mogelijk.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
