福昕PDF閱讀器(Foxit Reader)是一款免費小巧的PDF文檔閱讀器和打印器，擁有快捷的啟動速度和豐富的功能。也是中國為數不多的具有全球影響力和競爭力的國際知名軟件品牌。

　　不過，近日，安全研究人員在福昕PDF閱讀器中發現了兩個致命的零日漏洞，如果用戶未事先以安全閱讀模式打開文件，攻擊者就可以利用這兩個漏洞在目標計算機上執行任意代碼。

　　第一個漏洞是CVE-2017-10951，由趨勢科技的零日計劃(ZDI)研究員Ariele Caltabiano所發現，屬于一個命令注入漏洞。

　　第二個漏洞是CVE-2017-10952，由Offensive Security公司的研究員Steven Seeley發現的，屬于一個文件寫入漏洞。

　　攻擊者可以通過向福昕用戶發送一個特制的PDF文件并誘使他們打開來利用這些漏洞。但令人意外的是，該公司拒絕修復這兩個漏洞，因為他們給出的理由如下：

　　福昕Reader & PhantomPDF存在默認啟用的安全閱讀模式來控制JavaScript的運行，它能有效地阻止來自未經授權的JavaScript對潛在漏洞的利用。

　　然而，研究人員認為，這種固步自封的做法是非常危險的，也是對用戶不負責任的。如果攻擊者在不久的將來找到一種可以繞過安全閱讀模式的方法，那么這種防御措施將會失效。

　　通過閱讀器中的JavaScript API觸發兩個漏洞

　　CVE-2017-10951：命令注入漏洞存在于一個app.launchURL函數中，由于缺乏正確的驗證，該函數能執行由攻擊者提供的字符串。

　　CVE-2017-10952：文件寫入漏洞存存在于“saveAs”JavaScript函數中，允許攻擊者在任何特定位置的目標系統上寫入任意文件。

　　目前Steven已經對此漏洞進行了驗證性運行，首選通過在文檔中嵌入HTA文件來，然后調用saveAS將其寫入啟動文件夾，從而在啟動時執行任意的VBScript代碼。

　　緩解方式

　　如果你正在使用福昕的PDF閱讀器，請確保你啟用了“安全閱讀模式”功能。此外，你還可以從閱讀器的“首選項”菜單中取消 “啟用JavaScript操作”這個選項，但這可能會破壞某些使用功能。

　　建議用戶始終保持警惕，同時對接受的任何電子郵件的附件保持高度安全防護，以防被釣魚攻擊。就在昨天，我們就報告了一個通過PowerPoint文件進行攻擊的事件。

責任編輯：韓希宇