Bulletin de sécurité Adobe

Date de publication : 5 janvier 2017

Dernière mise à jour : 30 mars 2017

Identifiant de vulnérabilité : APSB17-01

Priorité : 2

Références CVE : CVE-2017-2939, CVE-2017-2940, CVE-2017-2941, CVE-2017-2942, CVE-2017-2943, CVE-2017-2944, CVE-2017-2945, CVE-2017-2946, CVE-2017-2947, CVE-2017-2948, CVE-2017-2949, CVE-2017-2950, CVE-2017-2951, CVE-2017-2952, CVE-2017-2953, CVE-2017-2954, CVE-2017-2955, CVE-2017-2956, CVE-2017-2957, CVE-2017-2958, CVE-2017-2959, CVE-2017-2960, CVE-2017-2961, CVE-2017-2962, CVE-2017-2963, CVE-2017-2964, CVE-2017-2965, CVE-2017-2966, CVE-2017-2967, CVE-2017-2970, CVE-2017-2971, CVE-2017-2972, CVE-2017-3009, CVE-2017-3010

Plates-formes : Windows et Macintosh

Adobe a publié des mises à jour de sécurité d’Adobe Acrobat et Reader pour Windows et Macintosh. Ces mises à jour corrigent des vulnérabilités critiques susceptibles de permettre à un pirate de prendre le contrôle du système concerné.

Pour plus d’informations concernant Acrobat DC, consultez les questions fréquemment posées à propos d’Acrobat DC. Pour plus d’informations concernant Acrobat Reader DC, consultez les questions fréquemment posées à propos d’Acrobat Reader DC.

Adobe invite les utilisateurs à mettre à jour leurs installations logicielles avec les dernières versions disponibles, en suivant les instructions ci-dessous.

Les dernières versions des produits sont à la disposition des utilisateurs finaux par le biais d’une des méthodes suivantes :

• Les utilisateurs peuvent mettre à jour leurs installations manuellement en sélectionnant le menu Aide > Rechercher les mises à jour. 
• Les produits sont mis à jour automatiquement, sans l’intervention de l’utilisateur, lorsque des mises à jour sont détectées. 
• Un programme d’installation complet d’Acrobat Reader peut être téléchargé à partir du Centre de téléchargement d’Acrobat Reader.
  

Pour les administrateurs informatiques (environnements gérés) :

• Téléchargez les programmes d’installation d’entreprise à partir du site ftp://ftp.adobe.com/pub/adobe/ ou consultez la version spécifique des notes de versions pour accéder aux liens associés. 
• Installez les mises à jour avec votre méthode préférée. Par exemple : AIP via GPO, programme d’amorçage, SCUP/SCCM (Windows), ou sur Macintosh, Apple Remote Desktop et SSH.
  

Adobe attribue à ces mises à jour les priorités suivantes et recommande aux utilisateurs concernés de mettre à jour leurs installations avec les dernières versions des logiciels :

• Ces mises à jour corrigent une vulnérabilité de confusion de type susceptible d’entraîner l’exécution de code (CVE-2017-2962).
• Ces mises à jour corrigent des vulnérabilités de type « utilisation de zone désallouée » susceptibles d’entraîner l’exécution de code (CVE-2017-2950, CVE-2017-2951, CVE-2017-2955, CVE-2017-2956, CVE-2017-2957, CVE-2017-2958, CVE-2017-2961).
• Ces mises à jour corrigent des vulnérabilités de type « débordement de la mémoire tampon au niveau du tas » susceptibles d’entraîner l’exécution de code (CVE-2017-2942, CVE-2017-2945, CVE-2017-2946, CVE-2017-2949, CVE-2017-2959, CVE-2017-2966, CVE-2017-2970, CVE-2017-2971, CVE-2017-2972).
• Ces mises à jour corrigent des vulnérabilités de type débordement de la mémoire tampon susceptibles d’entraîner l’exécution de code (CVE-2017-2948, CVE-2017-2952).
• Ces mises à niveau corrigent des vulnérabilités de type corruption de mémoire susceptibles d'entraîner une exécution de code (CVE-2017-2939, CVE-2017-2940, CVE-2017-2941, CVE-2017-2943, CVE-2017-2944, CVE-2017-2953, CVE-2017-2954, CVE-2017-2960, CVE-2017-2963, CVE-2017-2964, CVE-2017-2965, CVE-2017-2967, CVE-2017-3010).
• Ces mises à niveau corrigent une vulnérabilité de type contournement de la sécurité (CVE-2017-2947).
• Ces mises à jour corrigent une vulnérabilité de type « débordement de la mémoire tampon » susceptible d’entraîner la divulgation d’informations (CVE-2017-3009).

Adobe tient à remercier les personnes et sociétés suivantes pour avoir signalé ces problèmes et joint leurs efforts aux nôtres pour protéger nos clients :

• Jaanus Kääp de Clarified Security et une personne anonyme pour leur contribution au projet Zero Day Initiative de Trend Micro (CVE-2017-2939)
• kelvinwang de Tencent PC Manager (CVE-2017-2955, CVE-2017-2956, CVE-2017-2957, CVE-2017-2958)
• Steven Seeley de Source Incite pour sa contribution au projet Zero Day Initiative de Trend Micro et Kushal Arvind Shah de FortiGuard Labs de Fortinet (CVE-2017-2946)
• Sebastian Apelt (siberas) pour sa contribution au projet Zero Day Initiative de Trend Micro (CVE-2017-2961, CVE-2017-2967)
• Ke Liu de Xuanwu LAB de Tencent (CVE-2017-2940, CVE-2017-2942, CVE-2017-2943, CVE-2017-2944, CVE-2017-2945, CVE-2017-2952, CVE-2017-2953, CVE-2017-2954, CVE-2017-2972)
• kdot pour sa contribution au projet Zero Day Initiative de Trend Micro (CVE-2017-2941, CVE-2017-3009)
• Nicolas Grégoire (Agarri) pour sa contribution au projet Zero Day Initiative de Trend Micro (CVE-2017-2962)
• Nicolas Grégoire (Agarri) pour sa contribution au programme iDefense Vulnerability Contributor Program (CVE-2017-2948)
• Une personne anonyme pour sa contribution au projet Zero Day Initiative de Trend Micro (CVE-2017-2951, CVE-2017-2970)
• Une personne anonyme pour sa contribution au projet Zero Day Initiative de Trend Micro et une autre travaillant sur le programme d’iDefense (CVE-2017-2950)
  
• Ke Liu de Xuanwu LAB de Tencent pour sa contribution au projet Zero Day Initiative de Trend Micro et riusksk (泉哥) du Tencent Security Platform Department (CVE-2017-2959)
  
• Ke Liu de Xuanwu LAB de Tencent pour sa contribution au projet Zero Day Initiative de Trend Micro (CVE-2017-2960, CVE-2017-2963, CVE-2017-2964, CVE-2017-2965, CVE-2017-2966)
• Wei Lei et Liu Yang de la Nanyang Technological University, une personne anonyme pour sa contribution au projet Zero Day Initiative de Trend Micro et Nicolas Grégoire (Agarri) pour sa contribution à l’iDefense Vulnerability Contributor Program (CVE-2017-2949)
• Alex Inführ of Cure53.de (CVE-2017-2947)
• Aleksandar Nikolic de Cisco Talos (CVE-2017-2971)
  
• Kushal Arvind Shah et Peixue Li de FortiGuard Labs de Fortinet (CVE-2017-3010)

20 janvier 2017 : ajout des références CVE-2017-2970, CVE-2017-2971 et CVE-2017-2972, qui ont été omises par inadvertance du bulletin.

16 février 2017 : mise à jour des remerciements associés aux références CVE-2017-2939, CVE-2017-2946, CVE-2017-2949, CVE-2017-2950 et CVE-2017-2959, car ils avaient été omis par inadvertance du bulletin.

30 mars 2017 : mise à jour des remerciements associés aux références CVE-2017-3009 et CVE-2017-3010, car ils avaient été omis par inadvertance du bulletin.