Bulletin de sécurité pour Adobe Acrobat et Reader | APSB18-30
Référence du bulletin Date de publication Priorité 
APSB18-30 01 octobre 2018 2

Récapitulatif

Adobe a publié des mises à jour de sécurité pour Adobe Acrobat pour Windows et macOS. Ces mises à jour corrigent des vulnérabilités critiques et importantes.  Une exploitation réussie est susceptible d'entraîner l'exécution d'un code arbitraire dans le contexte de l'utilisateur actuel.

Versions concernées

Produit Suivi Versions concernées Plate-forme Priorité
Acrobat DC  Continue
Versions 2018.011.20063 et antérieures 
Windows et macOS 2
Acrobat Reader DC Continue
Versions 2018.011.20063 et antérieures 
Windows et macOS 2
         
Acrobat 2017 Classic 2017 Versions 2017.011.30102 et antérieures Windows et macOS 2
Acrobat Reader 2017 Classic 2017 Versions 2017.011.30102 et antérieures Windows et macOS 2
         
Acrobat DC  Classic 2015 Versions 2015.006.30452 et antérieures
Windows et macOS 2
Acrobat Reader DC  Classic 2015 Versions 2015.006.30452 et antérieures
Windows et macOS 2

Pour plus d’informations concernant Acrobat DC, consultez les questions fréquemment posées à propos d’Acrobat DC

Pour plus d’informations concernant Acrobat Reader DC, consultez les questions fréquemment posées à propos d’Acrobat Reader DC.

Solution

Adobe invite les utilisateurs à mettre à jour leurs installations logicielles avec les dernières versions disponibles, en suivant les instructions ci-dessous.
Les dernières versions des produits sont à la disposition des utilisateurs finaux par le biais d’une des méthodes suivantes :

  • Les utilisateurs peuvent mettre à jour leurs installations manuellement en sélectionnant le menu Aide > Rechercher les mises à jour.
  • Les produits sont mis à jour automatiquement, sans l’intervention de l’utilisateur, lorsque des mises à jour sont détectées.
  • Un programme d’installation complet d’Acrobat Reader peut être téléchargé à partir du Centre de téléchargement d’Acrobat Reader.

Pour les administrateurs informatiques (environnements gérés) :

  • Téléchargez les programmes d’installation d’entreprise à partir du site ftp://ftp.adobe.com/pub/adobe/ ou consultez la version spécifique des notes de versions pour accéder aux liens associés.
  • Installez les mises à jour avec votre méthode préférée. Par exemple : AIP via GPO, programme d’amorçage, SCUP/SCCM (Windows), ou sur macOS, Apple Remote Desktop et SSH.

Adobe attribue à ces mises à jour les niveaux de priorité suivantes et recommande aux utilisateurs concernés de mettre à jour leurs installations avec les dernières versions des logiciels :

Produit Suivi Versions mises à jour Plate-forme Priorité Disponibilité
Acrobat DC Continue 2019.008.20071
Windows et macOS 2
Windows
macOS
Acrobat Reader DC Continue 2019.008.20071
Windows et macOS 2
Windows
macOS
           
Acrobat 2017 Classic 2017 2017.011.30105 Windows et macOS 2
Windows
macOS
Acrobat Reader DC 2017 Classic 2017 2017.011.30105 Windows et macOS 2
Windows
macOS
           
Acrobat DC Classic 2015 2015.006.30456
Windows et macOS
2
Windows
macOS
Acrobat Reader DC Classic 2015 2015.006.30456 Windows et macOS 2
Windows
macOS

Remarque :

Comme indiqué dans l’annonce précédente, Adobe Acrobat 11.x et Adobe Reader 11.x ne sont plus pris en charge depuis le 15 octobre 2017.  La version 11.0.23 correspond à la dernière version d’Adobe Acrobat 11.x et Adobe Reader 11.x.  Adobe recommande de passer aux dernières versions d’Adobe Acrobat DC et Adobe Acrobat Reader DC. En installant les dernières versions, vous bénéficierez des dernières fonctionnalités améliorées et mesures de sécurité renforcées.

Détails concernant la vulnérabilité

Catégorie de la vulnérabilité Impact de la vulnérabilité Gravité Référence CVE
Ecriture hors limites 
Exécution de code arbitraire
Critique

CVE-2018-15955,

CVE-2018-15954,

CVE-2018-15952,

CVE-2018-15945,

CVE-2018-15944,

CVE-2018-15941,

CVE-2018-15940,

CVE-2018-15939,

CVE-2018-15938,

CVE-2018-15936,  

CVE-2018-15935,

CVE-2018-15934,

CVE-2018-15933,

CVE-2018-15929,

CVE-2018-15928,

CVE-2018-12868,

CVE-2018-12865,

CVE-2018-12864,

CVE-2018-12862,

CVE-2018-12861,

CVE-2018-12860,

CVE-2018-12759

Lecture hors limites Divulgation d’informations Important

CVE-2018-15956,

CVE-2018-15953,

CVE-2018-15950,

CVE-2018-15949,

CVE-2018-15948,

CVE-2018-15947,

CVE-2018-15946,

CVE-2018-15943,

CVE-2018-15942,

CVE-2018-15932,

CVE-2018-15927,

CVE-2018-15926,

CVE-2018-15925,

CVE-2018-15923,

CVE-2018-15922,

CVE-2018-12880,

CVE-2018-12879,

CVE-2018-12878,

CVE-2018-12875,

CVE-2018-12874,

CVE-2018-12873,

CVE-2018-12872,

CVE-2018-12871,

CVE-2018-12870,

CVE-2018-12869,

CVE-2018-12867,

CVE-2018-12866,

CVE-2018-12859,

CVE-2018-12857,

CVE-2018-12856,

CVE-2018-12845,

CVE-2018-12844,

CVE-2018-12843,

CVE-2018-12839,

CVE-2018-12834,

CVE-2018-15968,

CVE-2018-15921

Débordement de tas

Exécution de code arbitraire

Critique

 

CVE-2018-12851,

CVE-2018-12847,

CVE-2018-12846,

CVE-2018-12837,

CVE-2018-12836,

CVE-2018-12833,

CVE-2018-12832

Utilisation de zone désallouée

Exécution de code arbitraire

Critique

 

CVE-2018-15924,

CVE-2018-15920,

CVE-2018-12877,

CVE-2018-12863,

CVE-2018-12852,

CVE-2018-12831,

CVE-2018-12769

CVE-2018-15977

Confusion de type

Exécution de code arbitraire

Critique

 

CVE-2018-12876,

CVE-2018-12858,

CVE-2018-12835

Débordement de pile

Divulgation d’informations

Important

CVE-2018-12838

Double Free

Exécution de code arbitraire

Critique

 

CVE-2018-12841

Débordement d’entier

Divulgation d’informations

Important

CVE-2018-12881,

CVE-2018-12842

Erreurs de mémoire tampon

Exécution de code arbitraire

Critique

 

CVE-2018-15951,

CVE-2018-12855,

CVE-2018-12853

Déréférencement d’un pointeur non approuvé

Exécution de code arbitraire

Critique

 

CVE-2018-15937,

CVE-2018-15931,

CVE-2018-15930

Contournement de sécurité

Réaffectation de privilèges

Critique

CVE-2018-15966

Remerciements

Adobe tient à remercier les personnes et sociétés suivantes pour avoir signalé ces problèmes et joint leurs efforts aux nôtres pour protéger nos clients :

  • Une personne anonyme pour sa contribution au projet Zero Day Initiative de Trend Micro (CVE-2018-12851)
  • Zhiyuan Wang du Chengdu Security Response Center de Qihoo 360 Technology Co. Ltd. (CVE-2018-12841, CVE-2018-12838, CVE-2018-12833)
  • willJ pour sa contribution au projet Zero Day Initiative de Trend Micro (CVE-2018-12856, CVE-2018-12855)
  • Sebastian Apelt de Siberas pour sa contribution au projet Zero Day Initiative de Trend Micro (CVE-2018-12858)
  • Lin Wang de la Beihang University pour sa contribution au projet Zero Day Initiative de Trend Micro (CVE-2018-12876, CVE-2018-12868)
  • Esteban Ruiz (mr_me) de Source Incite pour sa contribution au projet Zero Day Initiative de Trend Micro (CVE-2018-12879, CVE-2018-12877)
  • Kamlapati Choubey dans le cadre du projet Zero Day Initiative de Trend Micro (CVE-2018-15948, CVE-2018-15946, CVE-2018-12842)
  • Ron Waisberg dans le cadre du projet Zero Day Initiative de Trend Micro (CVE-2018-15950, CVE-2018-15949, CVE-2018-15947)
  • Aleksandar Nikolic de Cisco Talos.(CVE-2018-12852)
  • Guy Inbar (guyio) (CVE-2018-12853)
  • Lin Wang de la Beihang University (CVE-2018-15951, CVE-2018-12881, CVE-2018-12880, CVE-2018-12845, CVE-2018-12844, CVE-2018-12843, CVE-2018-12759)
  • Gal De Leon de Palo Alto Networks (CVE-2018-15920, CVE-2018-12846, CVE-2018-12836, CVE-2018-12832, CVE-2018-12769, CVE-2018-15921)
  • Zhenjie Jia de l’équipe Qihoo 360 Vulcan (CVE-2018-12831)
  • Hui Gao de Palo Alto Networks et Heige (connu sous le pseudo SuperHei) de Knownsec 404 Security Team (CVE-2018-15925, CVE-2018-15924, CVE-2018-15968)
  • Bo Qu et Zhibin Zhang de Palo Alto Networks (CVE-2018-15923, CVE-2018-15922)
  • Qi Deng de Palo Alto Networks et Heige (connu sous le pseudo SuperHei) de Knownsec 404 Security Team (CVE-2018-15977)
  • Esteban Ruiz (mr_me) de Source Incite pour sa collaboration avec iDefense Labs (CVE-2018-12835)
  • Ashfaq Ansari (Project Srishti) pour sa collaboration avec iDefense Labs (CVE-2018-15968)
  • Netanel Ben-Simon et Yoav Alon de Check Point Software Technologies (CVE-2018-15956, CVE-2018-15955, CVE-2018-15954,CVE-2018-15953, CVE-2018-15952, CVE-2018-15938, CVE-2018-15937, CVE-2018-15936, CVE-2018-15935, CVE-2018-15934, CVE-2018-15933, CVE-2018-15932 , CVE-2018-15931, CVE-2018-15930 , CVE-2018-15929, CVE-2018-15928, CVE-2018-15927, CVE-2018-12875, CVE-2018-12874 , CVE-2018-12873, CVE-2018-12872,CVE-2018-12871, CVE-2018-12870, CVE-2018-12869, CVE-2018-12867 , CVE-2018-12866, CVE-2018-12865 , CVE-2018-12864 , CVE-2018-12863, CVE-2018-12862, CVE-2018-12861, CVE-2018-12860, CVE-2018-12859, CVE-2018-12857, CVE-2018-12839)
  • Ke Liu de Tencent Security Xuanwu Lab (CVE-2018-15945, CVE-2018-15944, CVE-2018-15943, CVE-2018-15942, CVE-2018-15941, CVE-2018-15940, CVE-2018-15939, CVE-2018-15926, CVE-2018-12878, CVE-2018-12837, CVE-2018-12834)
  • Benjamin Brupbacher (CVE-2018-12847)
  • Wei Wei (@Danny__Wei) de Xuanwu LAB de Tencent (CVE-2018-15966)