Foxit Reader 3.2.1.0401

Foxit Reader 3.2.1.0401 fixt een 'niet te repareren' beveiligingslek. Althans, de Belgische ontdekker Didier Stevens van het beveiligingsprobleem in PDF-documenten noemt het een lek zonder oplossing. Er wordt bij het uitbuiten van de zwakte namelijk gebruik gemaakt van de mogelijkheid om in PDF-documenten uitvoerbare bestanden in te bedden. En dit is een eigenschap (feature) van het PDF-bestandsformaat. Als het de bedoeling is dat ingebedde bestanden in PDF-documenten uitgevoerd kunnen worden, hoe kun je dan voorkomen dat schadelijke bestanden uitgevoerd worden?

Adobe Reader toont - als extra beveiliging - een waarschuwing voordat de uitvoerbare bestanden gestart worden. Niet een optimale oplossing, maar het is in ieder geval wat. Foxit Reader liet tot nog toe zelfs helemaal geen waarschuwing zien en voerde de ingebedde bestanden gewoon uit. Met de update naar Foxit 3.2.1.0401 vertoont de lichte pdf-lezer nu ook een waarschuwing voordat bestanden uitgevoerd worden. Netjes wordt eerst toestemming gevraagd aan de gebruiker. Of het iets helpt bij aanvallen die gebruikmaken van deze mogelijkheid in PDF-documenten is de vraag. U bent in ieder geval gewaarschuwd.

Release notes:

Authorization Bypass When Executing An Embedded Executable.

SUMMARY

Fixed a security issue that Foxit Reader runs an executable embedded program inside a PDF automatically without asking for user’s permission.

AFFECTED SOFTWARE VERSION

Foxit Reader 3.2.0.0303.

SOLUTION

Please do one of the followings:

• Please go to "Check for Updates Now" in Reader help menu to update to the latest version 3.2.1.0401

• Click here to download the updated version now.

SECURITY PROCESS

2010-03-29: Didier Stevens found the issue;
2010-03-31: Core Security Technologies confirmed the issue;
2010-03-31: Foxit fixed the issue;
2009-04-02: Foxit released fixed versions of Foxit Reader 3.2.1.0401.