PDF编纂器Able2Extract两个远程代码执行缝隙安全公告

颁布功夫 2019-11-06

缝隙编号和级别


CVE编号：CVE-2019-5088，危险级别：高危，CVSS分值：8.8

CVE编号：CVE-2019-5089，危险级别：高危，CVSS分值：8.8


影响版本


Investintech Able2Extract Professional 14.0.7 x64


缝隙概述


Investintech Able2Extract Professional是加拿大Investintech公司的一款PDF文档转换器和编纂器。该产品支持PDF文档扫描、PDF编纂和PDF查看等，合用于Windows、Mac和Linux等平台。其专业版在135个国度/地域占有超过25万名用户。


思科Talos钻研人员发现Investintech的Able2Extract Professional工具存在两个内存败坏缝隙：CVE-2019-5088和CVE-2019-5089，攻击者可借助特造的BMP文件或者JPEG文件利用缝隙在用户系统上执行肆意代码。


缝隙验证


暂无POC/EXP。


建复建议


目前厂商已颁布升级补丁以建复缝隙，详情请关注厂商主页：https://www.investintech.com。


参考链接


https://blog.talosintelligence.com/2019/11/vuln-spotlight-RCE-investintech-able2extract-nov-2019.html