CVE-2025-59802

چکیده

آسیب‌پذیری در محصولات Foxit PDF Editor و Foxit PDF Reader به مهاجم این امکان را می‌دهد که امضای دیجیتال را از طریق گروه‌های محتوای اختیاری (OCG) جعل کند. در این آسیب‌پذیری، مهاجم می‌تواند پس از امضای سند، محتوای نمایش داده شده در PDF را تغییر دهد بدون آنکه امضا نامعتبر شود. این موضوع می‌تواند باعث فریب کاربران و عدم اعتماد به نسخه‌ی دستکاری‌شده‌ی سند شود.

توضیحات

آسیب‌پذیری CVE-2025-59802 در محصولات Foxit PDF Editor و Foxit PDF Reader ناشی از دور زدن احراز هویت با جعل مطابق با CWE-290 و اعتبارسنجی نادرست امضای رمزنگاری مطابق با CWE-347 است. این ضعف در نحوه پردازش گروه‌های محتوای اختیاری (OCG) در فرمت PDF به وجود می‌آید. گروه‌های محتوای اختیاری در PDF برای مدیریت لایه‌های مختلف محتوا به‌کار می‌روند که می‌توانند بسته به نیاز پنهان یا نمایش داده شوند.

در استاندارد PDF، وضعیت (state) لایه‌های OCG تنها در زمان اجرا (runtime-only) مدیریت می‌شود و در بافر محاسبه امضای دیجیتال گنجانده نمی شود. به این معنا که وقتی یک سند PDF امضا می‌شود، وضعیت نمایش یا پنهان بودن لایه‌های OCG در محاسبه امضای دیجیتال در نظر گرفته نمی‌شود. این امر به مهاجم این امکان را می‌دهد که با استفاده از جاوااسکریپت یا تریگرهای PDF، پس از امضای سند (Post-Sign)، وضعیت نمایشی لایه‌های OCG را به‌طور دینامیک تغییر دهد. به عبارت دیگر، محتوای دیداری یا visual content که در دسترس امضاکننده یا تاییدکننده (verifier) قرار می‌گیرد، پس از امضا تغییر می‌کند اما امضای دیجیتال همچنان معتبر باقی می‌ماند و هیچ هشدار یا نشانه‌ای مبنی بر دستکاری در سند ظاهر نمی‌شود. این مسئله باعث می‌شود که اعتماد به سند از بین برود، زیرا تفاوت میان محتوای امضا شده و محتوای واقعی که به تاییدکننده نمایش داده می‌شود، وجود دارد.

در این آسیب‌پذیری، دو جنبه متفاوت از ضعف‌های امنیتی مورد سوءاستفاده قرار گرفته است. ابتدا CWE-290 که به جعل احراز هویت و ضعف در فرآیند بررسی هویت اشاره دارد و سپس CWE-347 که به اعتبارسنجی نادرست امضاهای رمزنگاری پرداخته و ضعف در اعتبارسنجی صحیح امضاها را مورد توجه قرار می‌دهد. در واقع، مهاجم می‌تواند به صورت همزمان از هر دو ضعف استفاده کرده و پس از امضا، محتوای سند را تغییر دهد بدون اینکه امضا نامعتبر شود. این ترکیب از ضعف های امنیتی باعث می‌شود که این آسیب‌پذیری بسیار جدی و قابل بهره‌برداری باشد.

این آسیب‌پذیری به مهاجم اجازه می‌دهد که بدون نیاز به احراز هویت و بدون تعامل کاربر، محتوای سند امضاشده را از طریق شبکه و به‌طور دینامیک دستکاری کند. مهاجم می‌تواند سند PDF حاوی OCG و جاوااسکریپت مخرب را ایجاد کرده یا یک سند امضاشده قانونی را تغییر دهد. سپس لایه‌های OCG را تغییر داده و محتوای جعلی را نمایش دهد. در این فرآیند، امضا همچنان معتبر باقی می‌ماند و هر گونه تغییر در محتوا نادیده گرفته می‌شود.

این آسیب‌پذیری به‌سادگی قابل بهره‌برداری است. مهاجم می‌تواند سند مخرب را از طریق ایمیل، وب‌سایت یا اشتراک فایل توزیع کند. در صورت باز شدن سند توسط تاییدکننده یا گیرنده، محتوای دستکاری‌شده به‌طور ناخودآگاه مشاهده می‌شود، در حالی که امضا معتبر باقی می‌ماند. این بدان معناست که فرد تاییدکننده نمی‌تواند تشخیص دهد که محتوای سند تغییر کرده است و در نتیجه باعث فریب او و پذیرش اسناد جعلی شود.

پیامد اصلی این آسیب پذیری تاثیر بالا بر یکپارچگی است و می‌تواند منجر به فریب کاربران، پذیرش اسناد جعلی یا خسارات قانونی و مالی شود. این آسیب‌پذیری با انتشار نسخه‌های 2025.2.1، 14.0.1 و 13.2.1 توسط Foxit به‌طور کامل پچ شده است.

CVSS

لیست محصولات آسیب پذیر

لیست محصولات بروز شده

استفاده محصول در ایران

در این جدول، تعداد صفحات ایندکس‌شده در گوگل با دامنه .ir که Foxit را ذکر کرده اند، ثبت شده است. این داده صرفاً برای برآورد تقریبی حضور محصولات در وب ایران استفاده شده و نمایانگر میزان نصب دقیق و استفاده واقعی نیست.

نتیجه گیری

این آسیب‌پذیری با شدت بالا در محصولات Foxit PDF Editor و Foxit PDF Reader این امکان را فراهم می‌کند که محتوای یک سند امضاشده دیجیتال جعل شود، بدون اینکه امضا باطل گردد. این مسئله به‌طور جدی اعتماد به اسناد PDF را تهدید می کند. باتوجه به انتشار نسخه‌های ایمن توسط Foxit ، اجرای اقدامات زیر برای جلوگیری از بهره‌برداری و کاهش ریسک ضروری است:

• به‌روزرسانی فوری: تمام نصب‌های Foxit PDF Editor و Foxit PDF Reader را به نسخه‌های 2025.2.1، 14.0.1 یا 13.2.1 به‌روزرسانی کنید. این اقدام، مؤثرترین و قطعی‌ترین راهکار برای رفع آسیب‌پذیری است و باید در اولویت قرار گیرد. سایر اقدامات نقش مکمل را دارند و می‌توانند به کاهش ریسک این آسیب پذیری و مقابله با حملات مشابه کمک کنند.
• اعمال سیاست‌های امضای دیجیتال: در سازمان‌ها، از ابزارهای مرکزی برای اعتبارسنجی امضاها استفاده کنید و برای اسناد حساس، از چندین لایه تأیید (مثل ترکیب با ابزارهای خارجی) بهره ببرید تا فرآیند بررسی امضاها قوی‌تر و مطمئن‌تر شود.
• آموزش کاربران: کاربران باید از ریسک‌های اسناد PDF امضاشده از منابع ناشناس آگاه شوند. به آنها توصیه کنید که به‌صورت دستی امضاها را بررسی کنند (مثلاً تاریخ امضا و محتوای لایه‌ها را بررسی کنند) تا از دستکاری احتمالی جلوگیری نمایند.
• ارزیابی پس از به‌روزرسانی: پس از نصب نسخه جدید، اسناد امضاشده قبلی را مجدداً اعتبارسنجی کنید تا از عدم تأثیر ضعف اطمینان حاصل شود.

اجرای این اقدامات، به‌ویژه به‌روزرسانی سریع و آموزش کاربران، می‌تواند ریسک جعل امضای دیجیتال را به‌طور قابل‌توجهی کاهش دهد و اعتماد به اسناد PDF را حفظ کند.

امکان استفاده در تاکتیک های Mitre Attack

Initial Access (TA0001)

مهاجم با توزیع یک فایل PDF امضاشده‌ی ظاهراً معتبر (از طریق ایمیل، اشتراک فایل یا وب‌سایت) به قربانی دسترسی اولیه پیدا می‌کند. هیچ احراز هویت، اکانت یا دسترسی قبلی لازم نیست و اعتماد ذاتی کاربر به امضای دیجیتال، نقش دروازه ورود را بازی می‌کند.

Defense Evasion (TA0005)

مهاجم با سوءاستفاده از runtime-only بودن وضعیت OCGها، مکانیزم‌های اعتبارسنجی امضای دیجیتال را دور می‌زند؛ امضا معتبر باقی می‌ماند در حالی که محتوای نمایش‌داده‌شده تغییر کرده است. این یک bypass کلاسیک کنترل‌های یکپارچگی است.

Impact (TA0040)

تأثیر مستقیم روی Integrity اسناد است؛ پذیرش اسناد جعلی، خسارت حقوقی، مالی و از بین رفتن اعتماد به فرآیند امضای دیجیتال صورت می گیرد. Availability و Confidentiality درگیر نیستند، اما ضربه تجاری کاملاً واقعی است.

منابع

1. https://www.cve.org/CVERecord?id=CVE-2025-59802
2. https://www.cvedetails.com/cve/CVE-2025-59802/
3. https://www.foxit.com/support/security-bulletins.html
4. https://vulmon.com/vulnerabilitydetails?qid=CVE-2025-59802
5. https://vuldb.com/?id.335995
6. https://cwe.mitre.org/data/definitions/290.html
7. https://cwe.mitre.org/data/definitions/347.html