福昕阅读器是一款非常受欢迎的PDF文件阅读器，拥有大量用户。据福昕软件官网介绍，福昕为全球200多个国家的5.5亿用户提供高效、专业、安全的福昕PDF编辑器服务。近日，福昕阅读器修复了一个影响PDF阅读器的高危远程代码执行漏洞。攻击者可以利用该漏洞在用户的Windows电脑上执行恶意代码，甚至接管用户的电脑。CVE-2021-21822漏洞的CVE编号为CVE-2021-21822，CVSSV3评分为8.8。福昕阅读器支持JavaScript来记忆交互式文档和动态表单。但是JS的支持可能会带来额外的攻击风险。该漏洞为福昕pdf阅读器使用的V8JS引擎中的UAF漏洞。该漏洞是由FoxitReader应用程序和浏览器扩展处理某些评论类型的方式引起的。攻击者可以利用精心制作的恶意PDF文件运行具有精确内存控制的任意代码来触发漏洞，从而导致任意代码执行。攻击者可以通过诱使用户打开恶意文件或打开启用了FoxitPDF浏览器扩展的网站来触发该漏洞。成功利用此UAF漏洞可能会导致运行易受攻击软件的计算机出现程序崩溃、数据破坏、任意代码执行等情况。该漏洞影响FoxitPDFReader10.1.3.37598及更早版本。5月6日，福昕在更新的10.1.4.37651版本中修复了该漏洞。研究人员建议用户下载最新的FoxitReader10.1.4版本来修复该漏洞。有关此漏洞的更多技术细节，请参见：https://talosintelligence.com/vulnerability_reports/TALOS-2021-1287本文翻译自：https://www.bleepingcomputer.com/news/security/foxit-reader-bug-lets-attackers-run-malicious-code-via-pdfs/
