Foxit Reader Vulnerable to Critical Remote Code Execution Flaw

Foxit Reader, a PDF viewer application often used as an alternative to the more popular Adobe Reader, contains a critical vulnerability in its browser plug-in component that can be exploited by attackers to execute arbitrary code on computers.

Details about the vulnerability and how it can be exploited were publicly disclosed last week by Andrea Micalizzi, an independent security researcher from Italy.

No official patch is yet available, according to an advisory from vulnerability intelligence and management company Secunia. The security firm rated the flaw as highly critical because it can be exploited remotely to gain system access.

Foxit's developers have identified the cause of the vulnerability and are working on creating a patch, a Foxit sales and service representative said Friday via email. The patch is expected to be released within one week, she said.

"The vulnerability is caused due to a boundary error in the Foxit Reader plugin for browsers (npFoxitReaderPlugin.dll) when processing a URL and can be exploited to cause a stack-based buffer overflow via e.g. an overly long file name in the URL," Secunia said. "Successful exploitation allows execution of arbitrary code."

The vulnerability has been confirmed in npFoxitReaderPlugin.dll version 2.2.1.530, which is installed by Foxit Reader 5.4.4.1128—the latest version of the program. However, older versions might also be affected, Secunia said.

By default, Foxit Reader installs the plug-in for Mozilla Firefox, Google Chrome, Opera, and Safari Web browsers.

Reputation as secure alternative reader
In the past, Foxit Reader has been suggested by some people in the security community as a more secure and less attacked alternative to Adobe Reader. In fact, Foxit, the company that develops the application, claims on its website that Foxit Reader is "the most secure PDF reader" and is "better than Adobe PDF Reader and Acrobat." According to the company, the program is used by over 130 million users.

"We have confirmed the vulnerability using Firefox, Opera, and Safari," Chaitanya Sharma, advisory team lead at Secunia, said Thursday via email. "At the moment the best mitigation is to disable this add-on in browsers and use other software e.g. Adobe Reader."

The Foxit representative, too, recommended avoiding using the Foxit browser plug-in for Firefox, Chrome, Opera or Safari, but instead suggested using Internet Explorer to view online PDF files.

EVMBME6EJAKF

Selamat Datang, Foxit Reader Linux !

Alkisah, dulu sekali (sekitar 2006), yaitu ketika saya masih menggunakan 'OS Jendela', saya sangat menyukai sebuah aplikasi PDF Viewer bernama Foxit Reader. Keunggulan aplikasi tersebut tentu saja adalah karena sangat ringan sekali, bahkan ketika saat itu dijalankan dikomputer Pentium 500 MHz saya. Dan juga, walaupun ringan, fitur daripada aplikasi Foxit Reader adalah sangat lengkap, sama sekali tidak kalah bila dibandingkan dengan aplikasi sejenis yang sudah sangat melegenda, Adobe Reader. Oleh karena hal tersebut, pada zaman-zaman OS Jendela masih menguasai komputer saya, Foxit Reader menjadi aplikasi andalan dan kebanggan saya. Saya sering mempromosikan aplikasi tersebut kepada rekan-rekan saya yang lain.


Nah, karena suatu kebetulan, ternyata saya menemukan juga bahwa Foxit Reader telah ada versi Linux-nya! Horeeeeeey!! Sungguh, saya sangat bergembira sekali. Saya seperti bernostalgia dengan aplikasi kebanggaan saya dulu, dan kini bisa dijalankan di desktop kebanggaan saya juga, Ubuntu Linux. Langsung saja saya download versi tarbal (*.tar.bz2), dan sungguh amat sangat ajaib, ternyata Foxit Reader Linux adalah sebuah aplikasi portabel, dan masih tetap sangat ringan!!


Sungguh ajaib, aplikasi ini sangat ringan, kalau boleh saya bandingkan, tingkat ke-ringan-annya sama dengan XPDF, dengan membawa segudang fitur yang menarik dan hebat. Wow wow wow! Karena aplikasi portabel, setelah paket tarbal di extract, kita bisa menjalankan aplikasi ini dengan meng-klik sebuah binari executable static linked bernama FoxitReader. Agar paten, maka kita masukan saja paket Foxit tersebut ke sistem Linux kita. Kita bisa memasukannya ke /opt, atau kemanapun kita suka, /usr/share mungkin.



$ sudo mv 1.1-release /opt -v
$ sudo mv 1.1-release /usr/share -v*
*) saya suka memakai opsi 'verbose' dalam operasi di Terminal, termasuk copy-move.


Setalah itu, kita buat symbolic link untuk binari FoxitReader kita ke direktori /usr/bin.

$ sudo ln -s /opt/1.1-release/FoxitReader /usr/bin/foxit


Agar muncul di menu, kita buat launcher-nya. Agar mudah, buat saja dari desktop Ubuntu. Klik kanan>Create Launcher, beri nama Foxit Reader, pada bagian command, ketik 'foxit' (tanpa petik). Sekarang kita sudah punya launcher Foxit Reader.desktop. Agar lebih pas, edit terlebih dahulu launcher yang baru saja kita buat, dengan gedit.


$ cd Desktop
$ gedit Foxit\ Reader.desktop

Tambahkan satu baris berikut :
Categories=Applications;Office;

Simpan, dan copy-lah launcher tersebut ke sistem :

$ sudo cp Foxit\ Reader.desktop /usr/share/applications -v (posisi masih di Desktop)


Terakhir, agar tiap file pdf kita terafiliasi ke aplikasi Foxit Reader, pada salah satu file pdf, klik kanan>Open With, tambah daftar list aplikasi pembuka (add), pilih use a custom command, dan ketik foxit.


Sekarang, kita sudah mempunyai Foxit Reader di desktop Linux kita. Aplikasi ringan-melayang, dengan segudang fitur. Selamat mencoba !


Catatan :
Sebenarnya ada versi DEB dan RPM di situs Foxit Reader, tetapi kemarin, ketika saya coba mengaksesnya, server download-nya terasa sangat lambat, mungkin waktu itu ada masalah, jadi saya download versi tarbal. Kalau mau yang lebih praktis, download saja installer untuk sistem kita (DEB atau RPM).