Przejdź do treści
Luki i patche

Siedem podatności w Foxit Reader i LibRaw załatanych. Sprawdź, czy masz aktualizacje

Cisco Talos ujawniło siedem luk w czytniku PDF Foxit Reader oraz bibliotece LibRaw. Wszystkie otrzymały już poprawki, ale użytkownicy powinni niezwłocznie zaktualizować oprogramowanie – zwłoka może umożliwić atakującym wykonanie złośliwego kodu.

3 min read
A cracked digital lock being repaired by a glowing patch, with a document icon and a camera lens floating in the background, symbolizing vulnerability fixes in PDF and RAW file software.

Badacze z Cisco Talos ujawnili w połowie kwietnia siedem podatności w dwóch szeroko wykorzystywanych narzędziach – czytniku dokumentów PDF Foxit Reader oraz bibliotece LibRaw służącej do przetwarzania plików RAW z aparatów cyfrowych. Wszystkie luki zostały już załatane przez producentów, jednak samo istnienie poprawek nie wystarczy – konieczne jest ich wdrożenie po stronie użytkowników i administratorów.

Foxit Reader – niebezpieczny JavaScript w dokumencie

Najpoważniejsza z opisanych podatności dotyczy popularnej alternatywy dla Adobe Acrobat – programu Foxit Reader. Oznaczona jako CVE-2026-3779 luka typu use-after-free tkwi w mechanizmie obsługi obiektów Array przez silnik JavaScript. Atakujący może przygotować złośliwy plik PDF, którego otwarcie doprowadzi do uszkodzenia pamięci i potencjalnego wykonania dowolnego kodu w systemie ofiary.

Google · preferowane źródłaCzytaj nas częściej. Dodaj sekuret.pl do preferowanych źródeł w Google →

Jak podkreśla Cisco Talos w swoim wpisie, do wykorzystania luki konieczne jest nakłonienie użytkownika do otwarcia spreparowanego dokumentu. To klasyczny scenariusz ataku socjotechnicznego – wystarczy jedna nieostrożna decyzja, by przestępca uzyskał kontrolę nad maszyną. Foxit Reader jest chętnie wybierany w środowiskach biznesowych i przez użytkowników indywidualnych, również w Polsce, dlatego szybka aktualizacja ma tu szczególne znaczenie.

LibRaw – sześć luk w obróbce plików RAW

Równolegle zespół Talosa odkrył sześć podatności w bibliotece LibRaw, która stanowi podstawę działania wielu programów do edycji i podglądu zdjęć w formacie RAW. Cztery z nich to przepełnienia bufora na stercie (CVE-2026-20911, CVE-2026-21413, CVE-2026-20889, CVE-2026-24660), a dwie kolejne – błędy przepełnienia liczby całkowitej (CVE-2026-24450, CVE-2026-20884). W każdym przypadku dostarczenie specjalnie spreparowanego pliku RAW może doprowadzić do nadpisania pamięci i potencjalnego wykonania kodu.

LibRaw jest wykorzystywane przez liczne przeglądarki zdjęć, narzędzia graficzne i konwertery plików. Oznacza to, że nawet jeśli samodzielnie nie korzystamy z tej biblioteki, możemy być narażeni za pośrednictwem innego oprogramowania. Producenci aplikacji zależnych od LibRaw powinni już integrować załatane wersje, a użytkownicy – sprawdzać dostępność aktualizacji dla swoich programów fotograficznych.

Co zrobić, by się zabezpieczyć

Przede wszystkim należy upewnić się, że posiadamy najnowszą wersję Foxit Reader – producent udostępnił poprawkę zgodnie z polityką odpowiedzialnego ujawniania. W przypadku LibRaw kluczowe jest śledzenie komunikatów dostawców konkretnych aplikacji (np. przeglądarek zdjęć, edytorów RAW), które mogą korzystać z tej biblioteki. Administratorzy sieci mogą dodatkowo sięgnąć po reguły systemu wykrywania włamań Snort – Cisco Talos udostępniło odpowiednie sygnatury umożliwiające detekcję prób wykorzystania opisanych podatności.

Opisane luki przypominają, jak ważne jest regularne aktualizowanie nie tylko systemu operacyjnego, ale również wszystkich aplikacji pomocniczych. Nawet mniej rozpoznawalne narzędzia, takie jak biblioteka do obróbki RAW-ów, mogą stać się furtką dla atakujących. W obu przypadkach mechanizm ataku opiera się na dostarczeniu złośliwego pliku – dlatego ostrożność przy otwieraniu załączników i pobieraniu dokumentów z nieznanych źródeł pozostaje podstawową zasadą bezpieczeństwa.

#aktualizacje #CVE #Foxit Reader #LibRaw #luki bezpieczeństwa #podatności
Redakcja sekuret.pl

Redakcja sekuret.pl

AUTHOR
All articles

Read next

Colour signature: deep navy blue and cold white. Low-key night lighting, single hard light source, long dramatic shadows, tense after-hours office or desk mood, restrained and tense. A photorealistic close-up of a middle-aged woman sitting at a home desk in a Polish apartment, looking worried while staring at a laptop screen. Soft natural daylight from a window, slight film grain, shallow depth of field. The image conveys tension and personal risk, not a generic tech illustration. Photorealistic documentary/stock photograph, shot on a real camera - NOT an illustration, NOT digital art, NOT a painting, NOT a vector graphic, NOT a 3D render. Candid natural moment, real skin texture, natural window or ambient light, shallow depth of field, subtle photographic grain, wide 16:9 frame, one dominant close-up subject. Strictly NO text, NO letters, NO numbers, NO digits, NO words, NO typography, NO logos, NO labels, NO watermarks, NO user interface, NO screens showing content, NO banknotes, NO documents, NO signage, NO illustration style, NO cartoon style, NO 3D render style.
Luki i patche

5 milionów haseł w minutę. Czy twoje hasło jest bezpieczne?

28 lipca, 2026 4 min read
Colour signature: deep navy blue and cold white. Low-key night lighting, single hard light source, long dramatic shadows, tense after-hours office or desk mood, restrained and tense. A photorealistic stock-style photo of a person in a home office, looking concerned at a laptop screen. The laptop screen is deliberately blurred, but the user's hand hovers over the keyboard. The background shows a messy desk with a coffee mug and a plant. Natural daylight, shallow depth of field, slightly grainy, 16:9 crop. No text or visible interface. The mood is tense, as if the person just realized something is wrong. Photorealistic documentary/stock photograph, shot on a real camera - NOT an illustration, NOT digital art, NOT a painting, NOT a vector graphic, NOT a 3D render. Candid natural moment, real skin texture, natural window or ambient light, shallow depth of field, subtle photographic grain, wide 16:9 frame, one dominant close-up subject. Strictly NO text, NO letters, NO numbers, NO digits, NO words, NO typography, NO logos, NO labels, NO watermarks, NO user interface, NO screens showing content, NO banknotes, NO documents, NO signage, NO illustration style, NO cartoon style, NO 3D render style.
Luki i patche

Jeden link wystarczył, by przejąć agenta AI w firmie. Nowa luka w ChatGPT

25 lipca, 2026 3 min read
Colour signature: deep navy blue and cold white. Low-key night lighting, single hard light source, long dramatic shadows, tense after-hours office or desk mood, restrained and tense. A photorealistic medium shot of a person in a dimly lit server room, standing in front of a rack of servers, looking at the equipment with a worried expression, dramatic lighting, shallow depth of field, 16:9 aspect ratio, high contrast, no text or logos visible, style of Getty Images reportage photography. Photorealistic documentary/stock photograph, shot on a real camera - NOT an illustration, NOT digital art, NOT a painting, NOT a vector graphic, NOT a 3D render. Candid natural moment, real skin texture, natural window or ambient light, shallow depth of field, subtle photographic grain, wide 16:9 frame, one dominant close-up subject. Strictly NO text, NO letters, NO numbers, NO digits, NO words, NO typography, NO logos, NO labels, NO watermarks, NO user interface, NO screens showing content, NO banknotes, NO documents, NO signage, NO illustration style, NO cartoon style, NO 3D render style.
Luki i patche

Redis ma krytyczne luki zero-day. Co to oznacza dla twoich danych?

24 lipca, 2026 3 min read