16 lỗ hổng trong Foxit và Apryse: Nguy cơ bị chiếm tài khoản chỉ từ một tệp PDF

[WhiteHat Team]

Các chuyên gia an ninh mạng vừa công bố 16 lỗ hổng trong hai nền tảng PDF phổ biến là Foxit và Apryse. Những lỗ hổng này có thể bị khai thác thông qua tệp PDF độc hại, đường link được thiết kế đặc biệt hoặc nội dung “gài bẫy”, từ đó dẫn đến nguy cơ chiếm quyền tài khoản, đánh cắp dữ liệu và thậm chí thực thi lệnh trái phép trên hệ thống.​

​

Theo phân tích, các lỗ hổng tập trung vào Apryse WebViewer - nền tảng nhúng trình xem PDF vào website/ứng dụng và nhóm dịch vụ PDF trên nền tảng đám mây của Foxit như Foxit PDF Editor Cloud.

Đây là những công cụ thường được doanh nghiệp tích hợp vào hệ thống nội bộ để xem, chỉnh sửa, ký số và quản lý tài liệu PDF trực tiếp trên trình duyệt.

Kết quả rà soát cho thấy phía Apryse tồn tại 1 lỗ hổng mức nghiêm trọng và 2 lỗ hổng mức cao. Trong khi đó, các sản phẩm của Foxit ghi nhận 2 lỗ hổng mức cao và 11 lỗ hổng mức trung bình. Đáng chú ý, một số lỗi có thể bị khai thác chỉ với một yêu cầu duy nhất, ảnh hưởng tới các miền dịch vụ vốn thường được doanh nghiệp tin tưởng và nhúng trực tiếp vào ứng dụng.

Danh sách lỗi bao gồm nhiều loại nguy hiểm như:​

• Lỗi chèn mã độc vào trang web (XSS)​
• Lỗi buộc máy chủ truy cập tài nguyên nội bộ (SSRF)​
• Lỗi truy cập sai đường dẫn (path traversal)​
• Lỗi cho phép thực thi lệnh hệ thống (command injection)​

Trong các kịch bản thực tế, nếu trình xem PDF được nhúng trong ứng dụng có đăng nhập, kẻ tấn công có thể lợi dụng lỗ hổng XSS để đánh cắp phiên đăng nhập, từ đó chiếm quyền tài khoản người dùng. Ngoài ra, tin tặc cũng có thể khai thác các điểm yếu này để rò rỉ dữ liệu tài liệu, thu thập thông tin nhạy cảm, chỉnh sửa nội dung PDF hoặc tạo ra hình thức tấn công dai dẳng ngay trên hệ thống doanh nghiệp.

Các nhà cung cấp đã phát hành bản vá lỗi. Người dùng và doanh nghiệp nên kiểm tra phiên bản đang sử dụng, cập nhật sớm và rà soát các hệ thống web có nhúng trình xem PDF để hạn chế nguy cơ bị tấn công qua tệp PDF hoặc đường link độc hại.​

Theo Security Week​