Abo
  • IT-Karriere:

Alternativer PDF-Reader: ZDI nötigt Foxit zum Patchen von Sicherheitslücken

Ursprünglich wollte Foxit Software zwei von der Zero Day Initiative entdeckte Sicherheitslücken in seiner PDF-Software nicht schließen, schließlich hat die Software einen Safe Mode, der das Ausführen von Javascript unterbindet. Nach einem Blogeintrag der Initiative hat es sich Foxit anders überlegt.

Artikel veröffentlicht am ,
Zwei Sicherheitslücken erlauben die Ausführung von Schadcode außerhalb des Safe Reading Mode.
Zwei Sicherheitslücken erlauben die Ausführung von Schadcode außerhalb des Safe Reading Mode. (Bild: Foxit Software)

Zwei von der Zero Day Initiative im Mai und Juni 2017 an Foxit gemeldete Sicherheitslücken in der gleichnamigen alternativen PDF-Software werden vom Hersteller demnächst geschlossen. Eine unmittelbare Gefahr für Anwender besteht nicht, sofern sie bei der Verwendung von PDF-Dateien den Safe Reading Mode nicht deaktivieren. Sollten Anwender den Modus allerdings deaktivieren, um weitergehende Funktionen einer PDF-Datei zu verwenden, riskieren sie das Ausführen von fremdem Code.

Stellenmarkt
  1. THD - Technische Hochschule Deggendorf, Deggendorf
  2. über experteer GmbH, Nürnberg

Genau auf diesen Safe Mode wollte sich Foxit Software laut der Zero Day Initiative ursprünglich verlassen und die Fehler der Javascript-Engine nicht beheben. Nach der Publizierung der Fehler sowie einem nicht gerade freundlichen Blogeintrag hat es sich Foxit allerdings anders überlegt. Die negative Publicity zeigte Wirkung. Die Zero Day Initiative nannte auch im Blogpost den Umstand, dass die Fehler im Safe Mode nicht ausgenutzt werden können, verwies aber darauf, dass man sich derzeit darauf verlässt, dass Angreifer keinen Weg finden, den Modus beim Angriff zu deaktivieren.

Es gibt zwar noch kein Datum, der Hersteller will aber in einer zukünftigen Version seiner PDF-Werkzeuge beide Fehler beheben. Foxit entschuldigt sich zudem für die vorangegangene Kommunikation und versichert, dass die Fehler zeitnah behoben würden. Zudem verweist Foxit auch bei der Stellungnahme für die Zero Day Initiative darauf, vorerst den sicheren Modus nicht zu verlassen. Auf seinen eigenen Webseiten oder Social-Media-Kanälen konnten wir einen derartigen Hinweis allerdings nicht finden, obwohl er sich anbietet. Vermutlich gibt es Informationen im Security-Bulletin-Bereich erst nach der Behebung der Fehler.



Anzeige
Spiele-Angebote
  1. 3,99€
  2. (-78%) 11,00€
  3. 34,99€
  4. 51,95€

foho 22. Aug 2017

ja genau, ich meinte auch den hätte ich schon länger gehabt, aber 2010 kam er mir das...

mhstar 21. Aug 2017

FoxIT nötigt Benutzer zur Verwendung unsicherer Software. Denn behoben haben sie den Bug...


Folgen Sie uns
       


Elektro-SUV Nio ES 8 Probe gefahren

Der ES8 ist ein SUV des chinesischen Herstellers Nio. Wir sind damit über die Alpen gefahren.

Elektro-SUV Nio ES 8 Probe gefahren Video aufrufen
Astrobiologie: Woher kommen das Leben, das Universum und der ganze Rest?
Astrobiologie
Woher kommen das Leben, das Universum und der ganze Rest?

Erst kam der Urknall, dann entstand zufällig Leben - oder es war alles vollkommen anders. Statt Materie und Energie könnten Informationen das Wichtigste im Universum sein, und vielleicht leben wir in einer Simulation.
Von Miroslav Stimac

  1. Astronomie Amateur entdeckt ersten echten interstellaren Kometen
  2. Astronomie Forscher entdeckten uralte Galaxien
  3. 2019 LF6 Großer Asteroid im Innern des Sonnensystems entdeckt

Umwelt: Grüne Energie aus der Toilette
Umwelt
Grüne Energie aus der Toilette

In Hamburg wird in bislang nicht gekanntem Maßstab getestet, wie gut sich aus Toilettenabwasser Strom und Wärme erzeugen lassen. Außerdem sollen aus dem Abwasser Pflanzennährstoffe für die Landwirtschaft gewonnen werden. Dafür müssen aber erst einmal die Schadstoffe aus den Gärresten gefiltert werden.
Von Monika Rößiger

  1. Fridays for Future Klimastreiks online und offline

Programmiersprache: Java 13 bringt mehrzeilige Strings mit Textblöcken
Programmiersprache
Java 13 bringt mehrzeilige Strings mit Textblöcken

Die Sprache Java steht im Ruf, eher umständlich zu sein. Die Entwickler versuchen aber, viel daran zu ändern. Mit der nun verfügbaren Version Java 13 gibt es etwa Textblöcke, mit denen sich endlich angenehm und ohne unnötige Umstände mehrzeilige Strings definieren lassen.
Von Nicolai Parlog

  1. Java Offenes Enterprise-Java Jakarta EE 8 erschienen
  2. Microsoft SQL-Server 2019 bringt kostenlosen Java-Support
  3. Paketmanagement Java-Dependencies über unsichere HTTP-Downloads

    •  /