Af Torben B. Sørensen, 22/08/17
To sikkerhedshuller i Foxit Reader bliver alligevel lukket, selvom producenten først havde afvist det.
Sårbarhederne gør det muligt at afvikle skadelig programkode. Det kan kun lade sig gøre, hvis programmets Safe Reading Mode er slået fra. Det er som standard slået til, hvorfor Foxit Software ikke mente, det var nødvendigt at ændre på programmet.
Efter sikkerhedsforskere offentliggjorde sårbarhederne, har firmaet skiftet mening. Det regner med at have en rettet version af Foxit Reader og PhantomPDF klar på fredag.
Rettelsen vil fungere ved at kræve, at dokumenter er digitalt signeret med et certifikat, som brugeren har tillid til. Kun hvis det er tilfældet, kan de potentielt skadelige funktioner blive afviklet.
Anbefaling
Opdater til den rettede version, når den er klar.
Links
- Zero Day Vulnerabilities (CVE-2017-10951; CVE-2017-10952) with Foxit Reader and PhantomPDF, Foxit Software
- Foxit PDF Reader pressured to patch RCE vulnerabilities by researchers angry about "no fix" message, blogindlæg fra Guurhart
- To huller i Foxit Reader står åbne, DKCERT, 18-8-2017