由于官方拒绝提供补丁，专家给出两个建议，1不要打开任何来源不明的pdf文档；2 安全阅读模式要保持打开状态。绿盟科技发布《 Foxit PDF Reader 0day 漏洞安全威胁通告 》，通告全文如下：
Foxit PDF Reader 0day 漏洞安全威胁通告
最近，安全研究人员在Foxit pdf Reader发现两个严重的安全漏洞，漏洞编号分别为CVE-2017-10951和CVE-2017-10952。
CVE-2017-10951 该漏洞是一个命令注入的漏洞，原因是由于app.launchURL函数缺少恰当的验证会执行攻击者提供的字符串。
CVE-2017-10952 该漏洞是任意文件写漏洞，能让攻击者在目标系统写入任意文件，攻击者可以利用该漏洞获取代码执行能力。
Foxit拒绝提供补丁
这两个漏洞都能导致任意代码执行，不过Foxit公司拒绝对这两个漏洞提供补丁，因为Foxit pdf Reader的安全阅读模式是默认开启的，漏洞不会对默认设置的Foxit pdf Reader造成影响。不过未来如果攻击者找到绕过安全阅读模式的方法，以上漏洞可能被大规模利用。
相关地址：
http://thehackernews.com/2017/08/two-critical-zero-day-flaws-disclosed.html
https://www.zerodayinitiative.com/blog/2017/8/17/busting-myths-in-foxit-reader
受影响的版本
Foxit pdf Reader
规避方案
- 不要打开任何来源不明的pdf文档；
- Foxit pdf Reader 的安全阅读模式要保持打开状态。
绿盟科技声明
本安全公告仅用来描述可能存在的安全问题，绿盟科技不为此安全公告提供任何保证或承诺。由于传播、利用此安全公告所提供的信息而造成的任何直接或者间接的后果及损失，均由使用者本人负责，绿盟科技以及安全公告作者不为此承担任何责任。绿盟科技拥有对此安全公告的修改和解释权。如欲转载或传播此安全公告，必须保证此安全公告的完整性，包括版权声明等全部内容。未经绿盟科技允许，不得任意修改或者增减此安全公告内容，不得以任何方式将其用于商业目的。
原文发布时间：2017年8月18日
本文由：绿盟科技发布，版权归属于原作者
原文链接:http://toutiao.secjia.com/foxit-pdf-reader-2-0day
本文来自云栖社区合作伙伴安全加，了解相关信息可以关注安全加网站
