Vor zwei kritischen Zero-Day-Lücken im Foxit PDF Reader warnen Sicherheitsforscher. Sie ermöglichen die Ausführung von Schadcode auf dem lokalen Rechner und wurden mit CVE-2017-10951 und CVE-2017-10952 bezeichnet. Allerdings muss der Angreifer den Nutzer erst dazu bringen, ein speziell präpariertes PDF-Dokument mit dem Foxit Reader zu öffnen. Die Reader-eigene JavaScript-API spielt bei beiden Lücken eine zentrale Rolle.

Foxit lehnt es ab, die Lücken zu schließen, berichtet die Zero Day Initiative (ZDI), mit der Begründung, dass ein standardmäßig aktivierter "Safe Reading Mode" die JavaScript-Ausführung kontrolliere und somit bereits ausreichenden Schutz biete. Diesen Schutz halten die ZDI-Experten auf Dauer aber nicht für ausreichend, denn Angreifer könnten in naher Zukunft einen Weg finden, den Safe Reading Mode zu umgehen.

Laut Foxits Online-Hilfe können Foxit-Nutzer ihre Einstellungen für den Safe Reading Mode unter Preferences > Trust Manager prüfen.

(ts, hannover)

(siehe auch Heise News-Ticker:)

Hannover · EDV-Beratung · Linux · Novell · Microsoft · Seminar · IT-Consult · Netzwerk · LPIC · CLE