Los usuarios de Foxit PDF Reader y PhantomPDF necesitan actualizar sus dispositivos lo antes posible, según los informes, ambos software exhibieron numerosas fallas de seguridad que podrían conducir a la ejecución remota de código en un exploit. Foxit PDF Reader y fallas PhantomPDF Según un reciente aviso de Foxit, Foxit PDF Reader y PhantomPDF tenían serias fallas de seguridad.

Como lo reveló Trend Micro ZDI, cuatro fallas diferentes de alta gravedad afectaron a Foxit PDF Reader que podría permitir la ejecución remota de código. Dos de estas vulnerabilidades ( CVE-2020-10899 y CVE-2020-10907 ) existían en las plantillas XFA. Mientras que, existían fallas similares en AcroForms ( CVE-2020-10900 ) y el método resetForm ( CVE-2020-10906 ) del software.

Los cuatro errores recibieron un puntaje CVSS de 7.8. Explicando más sobre los defectos, ZDI declaró:

“El problema resulta de la falta de validación de la existencia de un objeto antes de realizar operaciones en el objeto. Un atacante puede aprovechar esta vulnerabilidad para ejecutar código en el contexto del proceso actual”.

Asimismo, ZDI también compartió detalles de varias vulnerabilidades de ejecución remota de código en PhantomPDF Reader. Estas vulnerabilidades también podrían permitir la ejecución remota de código cuando se activa. Además de las dos aplicaciones, los errores de seguridad también afectaron el complemento U3DBrowser de Foxit. Es un complemento que ayuda a ver anotaciones 3D incrustadas en documentos PDF.

Parches desplegados Foxit ha confirmado que las vulnerabilidades afectaron a Foxit PDF Reader y PhantomPDF Reader versiones 9.7.1.29511 y anteriores, y 3D Plugin Beta versiones 9.7.1.29511 y anteriores.

En consecuencia, los proveedores han corregido los defectos con el lanzamiento de Foxit Reader 9.7.2, Foxit PhantomPDF 9.7.2 y 3D Plugin Beta 9.7.2.29539, respectivamente.

Las actualizaciones anteriores de Foxit salieron en octubre de 2019 , cuando repararon ocho errores diferentes en Foxit PDF Reader. Esos errores también incluían vulnerabilidades de ejecución remota de código.