Foxit ha liberado las versiones Foxit PDF Reader 2024.1 y Foxit PDF Editor 2024.1, las cuales abordan potenciales problemas de seguridad y estabilidad.
Productos afectados:
Foxit PDF Reader y Foxit PDF Editor:
Versiones:
- La versión 2023.3.0.23028 y anteriores
Impacto:
El desarrollador ha subsanado las siguientes vulnerabilidades que afectan a los productos descritos:
- CVE-2024-25858: Vulnerabilidad del tipo ejecución de código a través de JavaScript en Foxit PDF Reader antes de la versión 2024.1 y en PDF Editor antes de la versión 2024.1 de severidad crítica, la cual aún no cuenta con puntuación asignada por parte del desarrollador. La vulnerabilidad podría permitir a un actor malicioso enviar notificaciones del tipo aviso no optimizados para inducir a los usuarios a que revisen los parámetros de los comandos en el producto afectado, engañando a la víctima a que ejecute comandos con parámetros maliciosos.
- Se solucionaron posibles problemas por los que la aplicación podría quedar expuesta a una vulnerabilidad Use-After-Free o Out-of-Bounds Read y bloquearse al analizar ciertos archivos PDF o manejar ciertos objetos Doc, Annotation, Signature o AcroForm, que los atacantes podrían aprovechar para ejecutar de forma remota, codificar o revelar información. Esto ocurre debido al uso de un puntero no inicializado, memoria u objeto que ha sido eliminado o liberado sin la validación adecuada.(CVE-2024-30322, CVE-2024-30324, CVE-2024-30325, CVE-2024-30326, CVE-2024-30327, CVE-2024-30328, CVE-2024-30329, CVE-2024-30330, CVE-2024-30331, CVE-2024-30332, CVE-2024-30333, CVE-2024-30334, CVE-2024-30335, CVE-2024-30336, CVE-2024-30337, CVE-2024-30338, CVE-2024-30339, CVE-2024-30340, CVE-2024-30342, CVE-2024-30343, CVE-2024-30344, CVE-2024-30345, CVE-2024-30346, CVE-2024-30347, CVE-2024-30350, CVE-2024-30351, CVE-2024-30352, CVE-2024-30353, CVE-2024-30355, CVE-2024-30357, CVE-2024-30348, CVE-2024-30358, CVE-2024-30349, CVE-2024-30363, CVE-2024-30364, CVE-2024-30367, CVE-2024-30371).
- CVE-2024-30356: Esta vulnerabilidad permite a atacantes remotos revelar información sensible en Foxit PDF Reader afectado. Se asignado una puntuación de 3.3 CVSS con serveridad baja. Es necesaria la interacción del usuario para explotar esta vulnerabilidad, ya que la víctima debe visitar una página maliciosa o abrir un archivo malicioso remitido por un actor malicioso, la explotación exitosa de la vulnerabilidad es ocasionada por la falta de validación de los datos suministrados por el usuario, lo que puede dar lugar a una lectura más allá del final del búfer asignado. Un atacante puede aprovechar esto junto con otras vulnerabilidades para ejecutar código arbitrario en el contexto del proceso actual.
Recomendación:
Se recomienda que los usuarios de Foxit Reader y Foxit Editor actualicen a la última versión.
Referencia: