Foxit Reader PDF解析越界读取信息泄露漏洞

漏洞

内存缓冲区边界内操作限制不当漏洞

漏洞描述

此漏洞允许远程攻击者在受影响的 Foxit Reader 安装上泄露敏感信息。利用此漏洞需要用户交互，即目标必须访问恶意页面或打开恶意文件。

具体缺陷存在于 PDF 文档的解析过程中。问题源于未能正确验证用户提供的数据，可能导致读取已分配对象末尾之后的数据。攻击者可结合其他漏洞利用此问题，在当前进程上下文中执行代码。

CVE ID

CVE-2018-9950

厂商

www.foxitsoftware.com

产品

• Foxit Reader 8.3.5.30351 及更早版本
• Foxit PhantomPDF 8.3.5.30351 及更早版本

披露时间线

1. 2018年1月19日 - 报告给厂商
2. 2018年4月20日 - 协同公开发布安全公告

致谢

Sudhakar Verma 和 Ashfaq Ansari - Project Srishti

厂商公告

https://www.foxitsoftware.com/support/security-bulletins.php