کمیته رکن چهارم – اگر برای مطالعه‌ی پرونده‌های پی‌دی‌اف از نرم‌افزار فوکسیت استفاده می‌کنید، باید به شما هشدار بدهیم که دو آسیب‌پذیری حیاتی در این نرم‌افزار کشف شده است. این دو آسیب‌پذیری روز-صفرم هستند و اگر مورد بهرهبرداری قرار بگیرند و کاربر نیز خواندن اسناد در حالت امن را پیکربندی نکردهب اشد، مهاجم می‌تواند کدهای دلخواه خود را بر روی سامانه‌ی هدف اجرا کند.
اولین آسیب‌پذیری با شناسه‌ی CVE-۲۰۱۷-۱۰۹۵۱ یک اشکال تزریق دستور و دومین آسیب‌پذیری با شناسه‌ی CVE-۲۰۱۷-۱۰۹۵۲ اشکال نوشتن پرونده است. مهاجم برای بهرهبرداری از این آسیب‌پذیری‌ها می‌تواند یک پرونده‌ی جعلی و مخربِ پی‌دی‌اف را برای کاربر فوکسیت ارسال کرده و او را متقاعد کند تا پرونده را باز کند.
شرکت فوکسیت از وصله‌ی این آسیب‌پذیری‌ها خودداری می‌کرد چرا که بهرهبرداری از آن‌ها در حالت امن نرم‌افزار امکان‌پذیر نیست و خوشبختانه این ویژگی به‌طور پیش‌فرض در نرم‌افزار فعال شده است. با این حال محققان امنیتی معتقدند ارائه‌ی یک راه‌کار حفاظتی به‌طور کامل این آسیب‌پذیری‌ها را برطرف نمی‌کند و اگر مهاجمان در آینده‌ی نزدیک راهی برای دور زدن حالت امن پیدا کنند، آسیب‌پذیری‌ها قابل بهرهبرداری خواهند بود. هر دوی این آسیب‌پذیری‌ها توسط واسط‌های برنامه‌نویسی جاوا اسکریپت در فوکسیت ریدر قابل بهرهبرداری هستند.
آسیب‌پذیری CVE-۲۰۱۷-۱۰۹۵۱: آسیب‌پذیری تزریق دستور در داخل تابع app.launchURL وجود دارد که رشته‌هایی که توسط مهاجم ارسال می‌کند را به دلیل اعتبارسنجی ناکافی، اجرا می‌کند.
آسیب‌پذیری CVE-۲۰۱۷-۱۰۹۵۲: این آسیب‌پذیری در داخل تابع جاوا اسکریپت saveAs وجود دارد و به مهاجم اجازه می‌دهد تا پرونده‌ی دلخواه خود را در مکان مشخصی از سامانه‌ی هدف بنویسد.
اگر شما هم یکی از کاربران فوکسیت ریدر و PhantomPDF هستید، اطمینان حاصل کنید که در نرم‌افزار شما، ویژگی حالت امن فعال شده است. علاوه بر این می‌توانید در منوی Preferences برنامه، تیک گزینه‌ی «فعال‌سازی عملیات جاوا اسکریپت» را بردارید هرچند ممکن است برخی از قابلیت‌های برنامه با اختلال مواجه شود. همچنین زمانی که رایانامه‌ای را دریافت می‌کنید، در باز کردن ضمیمه‌های آن محتاط باشید. اخیراً خبری را منتشر کردیم مبنی بر اینکه با باز کردن یک پرونده‌ی پاورپوینت ممکن است سامانه‌ی شما به بدافزار آلوده شود. پس همیشه مراقب هرزنامه‌ها، رایانامه‌های فیشینگ و ضمیمه‌های مخرب آن‌ها باشید.
منبع : asis
