来自全球领先的网络解决方案提供商思科的Talos团队在上周四公布了存在于福昕PDF阅读器（Foxit PDF Reader）中的五个安全漏洞，其中有四个漏洞的CVSS 3.0得分都为8.8 ，这意味着它们都被分类为高危漏洞。
福昕PDF阅读器是一款在全球范围内流行且免费的PDF文档阅读器和打印器，可用于查看、创建和编辑及打印任何PDF文件。它采用了Microsoft Office的界面设计风格，给用户提供类似于Microsoft Office的使用体验。
通常来讲，如果用户不习惯于使用Adobe PDF阅读器（Adobe Acrobat Reader），那么福昕PDF阅读器会是一个不错的选择。它同时也被作为浏览器插件广泛使用，使得用户能够直接在网页中查看PDF文档。
第一个漏洞：CVE-2017-14458
CVSS：8.8
影响版本：Foxit PDF Reader 8.3.2.25013
漏洞描述：
这个漏洞存在于福昕阅读器用于交互式文档和动态表单的JavaScript引擎中，特制的PDF文档可以触发内存中先前释放的对象以供重用，从而导致任意代码执行。
第二个漏洞：CVE-2018-3842
CVSS：8.8
影响版本：Foxit PDF Reader 9.0.1.1049
漏洞描述：
这个漏洞同样存在于福昕阅读器的JavaScript引擎中，它是由于JavaScript引擎中存在未初始化的指针而造成的。特制的PDF文档可能导致对未初始化指针的解引用，如果这个指针是由攻击者控制的，则可能导致任意代码执行。
第三个漏洞：CVE-2018-3843
CVSS：6.5
影响版本：Foxit PDF Reader 9.0.1.1049
漏洞描述：
福昕PDF阅读器9.0.1.1049版本解析相关文件注释文件的方式存在可利用类型混淆漏洞。特制的PDF文档可能会导致无效类型的对象被解除引用，这可能会导致敏感的内存泄露，并可能导致任意代码执行。
第四个漏洞：CVE-2018-3850
CVSS：8.8
影响版本：Foxit PDF Reader 9.0.1.1049
漏洞描述：
福昕阅读器JavaScript引擎中存在可利用的释放后使用漏洞，这个特定的漏洞在于“this.xfa.clone（）”方法，这会导致无后续使用情况。特制的PDF文档可以触发内存中先前释放的对象以供重用，从而导致敏感内存泄露或潜在的任意代码执行。
第五个漏洞：CVE-2018-3853
CVSS：8.8
影响版本：Foxit PDF Reader 9.0.1.1049
漏洞描述：
该漏洞存在于与福昕阅读器的JavaScript功能相关的“createTemplate”和“closeDoc”方法的组合。特制的PDF文档可以触发内存中先前释放的对象以供重用，从而导致敏感内存泄露或潜在的任意代码执行。
Talos团队表示，要触发这些漏洞，攻击者只需要诱骗受害者打开特制的恶意PDF文件。如果受害者启用了浏览器插件扩展程序，攻击者则还可以通过诱骗受害者访问由其控制的恶意网站来触发漏洞。
福昕在收到Talos团队的报告之后，已经在发布的最近版本对所有漏洞进行了修复。因此，我们建议各位福昕阅读器用户应尽快将自己所使用的软件更新至最新版本。
END
本文来源于黑客视界
深圳市极限网络科技有限公司专注于系统底层和网络攻防技术研究，是一家将网络安全与大数据人工智能运用相结合的信息安全运营服务商，成立至今为我国关键信息基础设施、政府部门、大中型企事业单位以及重点行业提供了全方位的网络安全解决方案以及专业的安全服务。
