Логотип exploitDog
Консоль
Логотип exploitDog

exploitDog

nvd логотип

CVE-2018-14298

Опубликовано: 31 июл. 2018
Источник: nvd
CVSS3: 8.8
CVSS2: 6.8
EPSS Низкий

Уязвимость удалённого выполнения произвольного кода в Foxit Reader через обработку аннотаций "Ink"

Описание

Эта уязвимость позволяет злоумышленникам выполнять произвольный код на уязвимых установках Foxit Reader. Для эксплуатации уязвимости требуется взаимодействие пользователя, который должен посетить вредоносную страницу или открыть вредоносный файл. Конкретная проблема заключается в обработке аннотаций Ink. Путем манипуляции элементами документа злоумышленник способен повторно использовать указатель после его освобождения. Это позволяет выполнить код в контексте текущего процесса.

Затронутые версии ПО

  • Foxit Reader 9.0.1.5096

Тип уязвимости

  • Удалённое выполнение кода
  • Выполнение произвольного кода

Ссылки

Уязвимые конфигурации

Конфигурация 1

Одновременно

Одно из

cpe:2.3:a:foxitsoftware:foxit_reader:*:*:*:*:*:*:*:*
Версия до 9.1.0.5096 (включая)
cpe:2.3:a:foxitsoftware:phantompdf:*:*:*:*:*:*:*:*
Версия до 9.1.0.5096 (включая)
cpe:2.3:o:microsoft:windows:-:*:*:*:*:*:*:*

EPSS

Процентиль: 59%
0.00387
Низкий

8.8 High

CVSS3

6.8 Medium

CVSS2

Дефекты

CWE-416
CWE-416

Связанные уязвимости

github логотип

GHSA-9486-fqv5-42mm

CVSS3: 8.8
github
больше 3 лет назад

This vulnerability allows remote attackers to execute arbitrary code on vulnerable installations of Foxit Reader 9.0.1.5096. User interaction is required to exploit this vulnerability in that the target must visit a malicious page or open a malicious file. The specific flaw exists within the processing of Ink annotations. By manipulating a document's elements, an attacker can cause a pointer to be reused after it has been freed. An attacker can leverage this vulnerability to execute code under the context of the current process. Was ZDI-CAN-6214.

EPSS

Процентиль: 59%
0.00387
Низкий

8.8 High

CVSS3

6.8 Medium

CVSS2

Дефекты

CWE-416
CWE-416