Se ha revelado una vulnerabilidad crítica en el lector de documentos PDF Foxit Reader, que permite la ejecución remota de código. La vulnerabilidad, identificada como CVE-2023-27363, fue reportada inicialmente por el investigador Andrea Micalizzi (aka rgod) y se encuentra relacionada con un problema en la gestión de ciertos códigos JavaScript al validar el parámetro cPath en el método exportXFAData.
Recientemente, se ha publicado una prueba de concepto (PoC) funcional que permite explotar dicha vulnerabilidad mediante la creación de un documento PDF especialmente manipulado. La PoC fue publicada en el repositorio GitHub de j00sean y se basa en el trabajo previo realizado por Sebastian Apelt (aka bitshifter123).
La vulnerabilidad permite una escritura arbitraria de archivos en el sistema, lo que puede ser aprovechado para la ejecución de código remoto. Esto se logra mediante la creación de un archivo con extensión .HTA en el ASEP (AutoStart Entry Point) «StartUp folder» localizado en la ruta C:\Users\[Username]\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\.
La ejecución de código arbitrario puede realizarse cuando el usuario afectado vuelva a iniciar sesión o tras un reinicio del sistema. La vulnerabilidad fue anunciada inicialmente el 2 de mayo de 2023, pero una prueba de concepto funcional se hizo pública el 12 de mayo en el repositorio GitHub.
Características principales
- Identificador CVE: CVE-2023-27363.
- Fecha de publicación: 02/05/2023.
- Software afectado: Foxit PDF Reader.
- CVSS Score: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H (9.8 Critical).
- Versiones afectadas: 12.1.1.15289 y anteriores.
Mitigación
La solución principal consiste en actualizar urgentemente el software Foxit PDF Reader. Las nuevas versiones disponibles corrigen esta vulnerabilidad y están disponibles a través de la página web oficial del fabricante: Actualización Foxit PDF Reader 12.1.2.
Foxit publicó un comunicado con la información oficial y las posibles actualizaciones relativas a esta vulnerabilidad.