Liebe Kolleginnen und Kollegen,

bitte beachten Sie die folgende Sicherheitsmeldung.

Betroffene Software:

Foxit Reader < 8.0 PhantomPDF < 8.0 Betroffene Plattformen: Microsoft Windows Mehrere Schwachstellen in Foxit Reader und PhantomPDF vor Version 8.0 ermöglichen einem entfernten, nicht authentifizierten Angreifer mit Hilfe speziell präparierter Bild- oder PDF-Dateien die Ausführung beliebigen Programmcodes und das Ausspähen von Informationen. Foxit Software informiert über sechs der Schwachstellen in Foxit Reader und PhantomPDF für Windows und stellt die jeweilige Version 8.0 bereit, um die Schwachstellen zu beheben. Die Zero Day Initiative (ZDI) veröffentlicht insgesamt zwölf Schwachstellenbeschreibungen zu diesem Sicherheitsupdate, die sich teilweise mit den von Foxit veröffentlichten Hinweisen decken. Nach Angaben der ZDI sind all diese Schwachstellen durch das Sicherheitsupdate behoben. Patch: Security Update für Foxit Reader und PhantomPDF https://www.foxitsoftware.com/support/security-bulletins.php#content-2016

ZDI-16-402: Schwachstelle in Foxit Reader ermöglicht Ausspähen von
Informationen

Eine Schwachstelle im ConvertToPDF-Plugin kann mit Hilfe einer speziell
präparierten Bilddatei vom Typ ‘BMP’ dazu ausgenutzt werden, Foxit Reader
zum Einlesen von Speicher über Speichergrenzen hinweg zu zwingen. Ein
entfernter, nicht authentifizierter Angreifer kann mit Hilfe einer speziell
präparierten Bilddatei Informationen ausspähen und in Verbindung mit anderen
Schwachstellen in der Folge möglicherweise beliebigen Programmcode mit den
Rechten des Prozesses ausführen, wenn er den Benutzer zum Öffnen der Datei
verleiten kann.

ZDI-16-401: Schwachstelle in Foxit Reader ermöglicht Ausführung beliebigen
Programmcodes

Bei der Verarbeitung von Bilddateien des Typs ‘BMP’ mit dem
ConvertToPDF-Plugin kann Foxit Reader dazu gebracht werden, Daten hinter den
für ein Objekt allozierten Speicherbereich zu schreiben. Ein entfernter,
nicht authentifizierter Angreifer kann mit Hilfe einer speziell präparierten
Bilddatei beliebigen Programmcode mit den Rechten des Prozesses ausführen,
wenn er den Benutzer zum Öffnen der Datei verleiten kann.

ZDI-16-400: Schwachstelle in Foxit Reader ermöglicht Ausführung beliebigen
Programmcodes

Bei der Verarbeitung von Bilddateien des Typs ‘GIF’ mit dem
ConvertToPDF-Plugin kann Foxit Reader dazu gebracht werden, Daten hinter den
für ein Objekt allozierten Speicherbereich zu schreiben. Ein entfernter,
nicht authentifizierter Angreifer kann mit Hilfe einer speziell präparierten
Bilddatei beliebigen Programmcode mit den Rechten des Prozesses ausführen,
wenn er den Benutzer zum Öffnen der Datei verleiten kann.

ZDI-16-399: Schwachstelle in Foxit Reader ermöglicht Ausspähen von
Informationen

Eine Schwachstelle bei der Verarbeitung von Bilddateien des Typs ‘JPEG’ kann
dazu ausgenutzt werden, Foxit Reader zum Einlesen von Speicher über
Speichergrenzen hinweg zu zwingen. Ein entfernter, nicht authentifizierter
Angreifer kann mit Hilfe einer speziell präparierten Bilddatei Informationen
ausspähen und in Verbindung mit anderen Schwachstellen in der Folge
möglicherweise beliebigen Programmcode mit den Rechten des Prozesses
ausführen, wenn er den Benutzer zum Öffnen der Datei verleiten kann.

ZDI-16-398: Schwachstelle in Foxit Reader ermöglicht Ausspähen von
Informationen

Eine Schwachstelle im ConvertToPDF-Plugin kann mit Hilfe einer speziell
präparierten Bilddatei vom Typ ‘JPEG’ dazu ausgenutzt werden, Foxit Reader
zum Einlesen von Speicher über Speichergrenzen hinweg zu zwingen.
Ein entfernter, nicht authentifizierter Angreifer kann mit Hilfe einer
speziell präparierten Bilddatei Informationen ausspähen und in Verbindung
mit anderen Schwachstellen in der Folge möglicherweise beliebigen
Programmcode mit den Rechten des Prozesses ausführen, wenn er den Benutzer
zum Öffnen der Datei verleiten kann.

ZDI-16-397: Schwachstelle in Foxit Reader ermöglicht Ausführung beliebigen
Programmcodes

Bei der Verarbeitung von Bilddateien des Typs ‘TIFF’ mit dem
ConvertToPDF-Plugin kann Foxit Reader dazu gebracht werden, Daten hinter den
für ein Objekt allozierten Speicherbereich zu schreiben. Ein entfernter,
nicht authentifizierter Angreifer kann mit Hilfe einer speziell präparierten
Bilddatei beliebigen Programmcode mit den Rechten des Prozesses ausführen,
wenn er den Benutzer zum Öffnen der Datei verleiten kann.

ZDI-16-396: Schwachstelle in Foxit Reader ermöglicht Ausführung beliebigen
Programmcodes

Foxit Reader überprüft einen an exportData übergebenen Verzeichnispfad
nicht. Ein entfernter, nicht authentifizierter Angreifer kann mit Hilfe
einer speziell präparierten Datei beliebigen Programmcode mit den Rechten
des aktuellen Prozesses ausführen, wenn er den Benutzer zum Öffnen der
Datei verleiten kann.

ZDI-16-395: Schwachstelle in Foxit Reader ermöglicht u.a. Ausspähen von
Informationen

In PDF-Dateien eingebettete Shockwave-Flash-Dateien (SWF) werden in Foxit
Reader nicht im Safe-Mode-Kontext ausgeführt. Ein entfernter, nicht
authentifizierter Angreifer kann mit Hilfe einer speziell präparierten Datei
Informationen ausspähen und in Verbindung mit anderen Schwachstellen in der
Folge möglicherweise beliebigen Programmcode mit den Rechten des Prozesses
ausführen, wenn er den Benutzer zum Öffnen der Datei verleiten kann.

ZDI-16-393: Schwachstelle in Foxit Reader ermöglicht Ausführung beliebigen
Programmcodes

Bei der Verarbeitung von PDF-Pattern wird eine bestimmte Variable vor der
Nutzung nicht korrekt initialisiert, wodurch es zur Speicherkorruption
kommen kann. Ein entfernter, nicht authentifizierter Angreifer kann mit
Hilfe einer speziell präparierten Datei beliebigen Programmcode mit den
Rechten des Prozesses ausführen, wenn er den Benutzer zum Öffnen der Datei
verleiten kann.

ZDI-16-392 ZDI-16-394: Schwachstellen in Foxit Reader ermöglichen Ausführung
beliebigen Programmcodes

Durch zwei Schwachstellen in FlateDecode von Foxit Reader kann bei der
Verarbeitung von PDF-Dateien mit bestimmten FlateDecode-Streams ein bereits
freigegebener Zeiger (Dangling Pointer) wieder verwendet werden
(Use-after-free). Ein entfernter, nicht authentifizierter Angreifer kann mit
Hilfe einer speziell präparierten Datei beliebigen Programmcode mit den
Rechten des Prozesses ausführen, wenn er den Benutzer zum Öffnen der Datei
verleiten kann.

ZDI-16-391: Schwachstelle in Foxit Reader ermöglicht Ausführung beliebigen
Programmcodes

Eine Schwachstelle in der GoToR-Action von Foxit Reader kann bei der
Verarbeitung von PDF-Dateien zu einem Pufferüberlauf auf dem Stack führen.
Ein entfernter, nicht authentifizierter Angreifer kann mit Hilfe einer
speziell präparierten Datei beliebigen Programmcode mit den Rechten des
Prozesses ausführen, wenn er den Benutzer zum Öffnen der Datei verleiten
kann.

FOXIT-READER-8-0-B: Schwachstelle in Foxit Reader ermöglicht Ausführung
beliebigen Programmcodes

Durch eine Schwachstelle bei der Verarbeitung von PDF-Dateien mit ungültigen
Bezier-Daten in Foxit Reader kann ein entfernter, nicht authentifizierter
Angreifer einen Pufferüberlauf auf dem Heap-Speicher (Heap Overflow)
auslösen und in der Folge möglicherweise beliebigen Programmcode mit den
Rechten des Prozesses ausführen.

FOXIT-READER-8-0-A: Schwachstelle in Foxit Reader ermöglicht Ausspähen von
Informationen

Durch eine nicht näher spezifizierte Schwachstelle in Foxit Reader kann ein
entfernter, nicht authentifizierter Angreifer einen Lesezugriff auf Speicher
außerhalb des zugewiesenen Speicherbereichs auslösen, dadurch Informationen
ausspähen und in der Folge möglicherweise beliebigen Programmcode mit den
Rechten des Prozesses ausführen.

Referenzen:

Dieses Advisory finden Sie auch im DFN-CERT Portal unter:
https://portal.cert.dfn.de/adv/DFN-CERT-2016-1070/

Security Update für Foxit Reader und PhantomPDF:
https://www.foxitsoftware.com/support/security-bulletins.php#content-2016

Zero Day Initiative Advisory ZDI-16-391:
http://www.zerodayinitiative.com/advisories/ZDI-16-391

Zero Day Initiative Advisory ZDI-16-392:
http://www.zerodayinitiative.com/advisories/ZDI-16-392

Zero Day Initiative Advisory ZDI-16-393:
http://www.zerodayinitiative.com/advisories/ZDI-16-393

Zero Day Initiative Advisory ZDI-16-394:
http://www.zerodayinitiative.com/advisories/ZDI-16-394

Zero Day Initiative Advisory ZDI-16-395:
http://www.zerodayinitiative.com/advisories/ZDI-16-395

Zero Day Initiative Advisory ZDI-16-396:
http://www.zerodayinitiative.com/advisories/ZDI-16-396

Zero Day Initiative Advisory ZDI-16-397:
http://www.zerodayinitiative.com/advisories/ZDI-16-397

Zero Day Initiative Advisory ZDI-16-398:
http://www.zerodayinitiative.com/advisories/ZDI-16-398

Zero Day Initiative Advisory ZDI-16-399:
http://www.zerodayinitiative.com/advisories/ZDI-16-399

Zero Day Initiative Advisory ZDI-16-400:
http://www.zerodayinitiative.com/advisories/ZDI-16-400

Zero Day Initiative Advisory ZDI-16-401:
http://www.zerodayinitiative.com/advisories/ZDI-16-401

Zero Day Initiative Advisory ZDI-16-402:
http://www.zerodayinitiative.com/advisories/ZDI-16-402

(c) DFN-CERT Services GmbH, all rights reserved!
Die Weiterverbreitung ist mit Hinweis auf den Copyrightinhaber innerhalb der
eigenen Einrichtung erlaubt. Eine darüber hinausgehende Verbreitung bedarf
des schriftlichen Einverständnisses des Rechteinhabers.