sandi-go/cve-2018-9951Foxit Reader CPDF_Object उपयोग-के-बाद-मुक्त (use-after-free) रिमोट कोड निष्पादन भेद्यता (CVE-2018-9951) के लिए प्रूफ-ऑफ-कॉन्सेप्ट शोषण, जो संस्करण 8.3.5.30351 और उससे पहले के संस्करणों को प्रभावित करता है।
मुक्त होने के बाद मेमोरी का संदर्भ देने से प्रोग्राम क्रैश हो सकता है, अप्रत्याशित मानों का उपयोग हो सकता है, या कोड निष्पादित हो सकता है।
यह भेद्यता दूरस्थ हमलावरों को Foxit Reader के असुरक्षित इंस्टॉलेशन पर मनमाना कोड निष्पादित करने की अनुमति देती है। इस भेद्यता का शोषण करने के लिए उपयोगकर्ता की सहभागिता आवश्यक है, क्योंकि लक्ष्य को एक दुर्भावनापूर्ण पृष्ठ पर जाना होगा या एक दुर्भावनापूर्ण फ़ाइल खोलनी होगी।
विशिष्ट दोष CPDF_Object ऑब्जेक्ट्स की हैंडलिंग में मौजूद है। यह समस्या किसी ऑब्जेक्ट पर संचालन करने से पहले उसके अस्तित्व को सत्यापित न करने के कारण उत्पन्न होती है। एक हमलावर इस भेद्यता का लाभ उठाकर वर्तमान प्रोसेस के संदर्भ में कोड निष्पादित कर सकता है।
CVE-2018-9951
Sudhakar Verma and Ashfaq Ansari - Project Srishti
https://www.foxitsoftware.com/support/security-bulletins.php
