最近公表されたFoxit PDF Readerの脆弱性により、既にコード実行権限を持つローカル攻撃者が権限をNT AUTHORITY\SYSTEMまで昇格させられる可能性があります。
ゼロデイ脆弱性アラート
この問題はCVE-2026-57239として追跡されており、バージョン2026.2より前のFoxit PDF Readerのインストールに影響します。原因は、ProgramDataディレクトリ内のユーザー書き込み可能なファイルによってトリガーされるアップデーターの処理フローが、安全でない方法で扱われていることにあります。
Foxit PDF Readerの脆弱性
セキュリティ研究者のLuke Paris氏は、Process Monitorとリバースエンジニアリングツールを使ってFoxitのアップデートコンポーネントを調査し、この脆弱性を特定しました。
この攻撃を成立させるには、攻撃者があらかじめWindowsの低権限ユーザーとしてコードを実行できている必要があり、これはリモートコード実行の脆弱性ではなく、ローカル権限昇格の脆弱性に分類されます。
しかし、悪用に成功すれば、攻撃者は影響を受けたWindowsホストを完全に制御できるようになり、認証情報の窃取、セキュリティツールの改ざん、永続化、そして横展開の準備につながります。
この脆弱性の核心は、NT AUTHORITY\SYSTEM権限で動作するFoxitPDFReaderUpdateService.exeサービスにあります。このサービスは、C:\ProgramData\Foxit\Software\Foxit\PDF\Reader\FoxitData.txtを含むファイルを監視しています。
標準ユーザーでも該当のProgramDataディレクトリに書き込めるため、攻撃者は細工した暗号化アップデートリクエストを用意し、この特権サービスに対して、現在のユーザーのAppDataディレクトリからFoxitPDFReaderUpdater.exeを起動させることができます。
Foxitのアップデーターは実行ファイル名と署名情報を検証するため、アップデーターのバイナリを単純に差し替えることはできませんが、研究者は実行可能なサイドローディングの経路を発見しました。
アップデーターにグラフィカルなアップデートプロンプトを表示させ、そのインターフェース上のリンクを操作することで、作業ディレクトリから悪意を持って細工されたwinspool.drvファイルを読み込ませることが可能でした。
Windowsの.drvファイルはDllMainを通じてコードを実行できるポータブル実行可能モジュールであるため、この悪意あるモジュールはSYSTEM権限で起動されたアップデーターのコンテキスト内で実行されます。
この概念実証チェーンには、書き込み可能な制御ファイル、予測可能なサービスの挙動、そして安全でないモジュール読み込み条件が関係しています。
研究者の報告によると、FoxitData.txtのペイロードはハードコードされた鍵を使ったAES暗号化を利用しており、UTF-16リトルエンディアンでのエンコードを必要とします。これにより攻撃者は、特権を持つアップデーターの処理フローを起動させるリクエストを作成できます。Foxitはこの問題をバージョン2026.2で修正済みと伝えられています。
各組織は直ちにFoxit PDF Readerをアップデートし、%APPDATA%\Foxit\Software\Continuous\Addon\Foxit\PDF\Reader配下に不正な.dllや.drvファイルがないかエンドポイントを確認する必要があります。
さらに、防御側はFOXIT SOFTWARE INC.によって署名されていないプロセスによるFoxitData.txtへの書き込みや、Windowsのプロセス作成(イベントID 4688)、および異常なトークン関連の動作を監視する必要があります。
AppLockerやWindows Defender Application Controlを通じてアプリケーション制御ポリシーを導入することで、悪意あるモジュールの読み込みをさらに制限し、DLLサイドローディングへの露出を減らすことができます。
警告:20以上の政府系サイトが、企業や市民にマルウェアを配布していました。 攻撃の全容に関する調査レポートはこちら から確認し、自組織の露出状況をチェックしてください。
翻訳元: https://gbhackers.com/foxit-pdf-reader-flaw/
