CVE-2017-10952

Итак, это высокоуровневый пример атаки с локальным выполнением кода на Foxit PDF reader. Подробности этой атаки можно найти здесь [1]. Я скопировал текстовое описание этой уязвимости по ссылке [1] сюда, чтобы сохранить описание с течением времени — описание было написано автором Root на vulners.com.

Установка Foxit

Установите Foxit_Reader_v8.3.0.14878.exe. Пройдите по шагам установки. Поскольку это всего лишь высокоуровневая демонстрация того, как эксплуатировать эту версию Foxit PDF reader, нет необходимости изменять настройки браузера или настройки Windows по умолчанию для открытия PDF-файлов; ниже приведены несколько скриншотов установки, которые помогут определить настройки установки:

Демонстрация атаки

1. После установки Foxit Reader откройте приложение.
2. Откройте проводник в этом каталоге с файлами "document.pdf" и "document2.pdf"
3. Перетащите "document.pdf" в Foxit Reader. Должно появиться окно печати. Закройте окно печати и закройте документ в Foxit.
4. Затем перетащите "document2.pdf" в Foxit Reader. Должно запуститься приложение calc.exe.

Что происходит?

В обоих случаях атак используется формат XFA для PDF-файлов; пример этого показан corkami здесь. Более подробное объяснение этой эксплуатации можно найти в ссылке выше в разделе "[+] Fixed: Safe-Reading mode bypass".

[1] - https://vulners.com/seebug/SSV:96369 [2] - https://github.com/corkami/pics [3] - https://raw.githubusercontent.com/corkami/pocs/master/pdf/formevent_js.pdf

CVE-2017-10951

Нажмите здесь, чтобы узнать, как мы расширяем эксплойт CVE-2017-10952 до CVE-2017-10951.