Beveiligingsupdate beschikbaar voor Adobe Acrobat en Reader | APSB17-24
Bulletin-id Publicatiedatum Prioriteit
APSB17-24 8 augustus 2017 2

Samenvatting

Adobe heeft beveiligingsupdates uitgebracht voor Adobe Acrobat en Reader voor Windows en Macintosh. Deze updates verhelpen kritieke en belangrijk kwetsbaarheden die ertoe kunnen leiden dat een aanvaller de controle krijgt over het betreffende systeem. 

Van toepassing op de volgende versies

Deze updates verhelpen kritieke kwetsbaarheden in de software. Adobe zal de volgende prioriteitswaarderingen aan deze updates toewijzen:

Product Van toepassing op de volgende versies Platform
Acrobat DC (Continuous-track) 2017.009.20058 en eerdere versies
Windows en Macintosh
Acrobat Reader DC (Continuous-track) 2017.009.20058 en eerdere versies
Windows en Macintosh
     
Acrobat 2017 2017.008.30051 en eerdere versies Windows en Macintosh
Acrobat Reader 2017 2017.008.30051 en eerdere versies Windows en Macintosh
     
Acrobat DC (Classic-track) 2015.006.30306 en eerdere versies
Windows en Macintosh
Acrobat Reader DC (Classic-track) 2015.006.30306 en eerdere versies
Windows en Macintosh
     
Acrobat XI 11.0.20 en eerdere versies Windows en Macintosh
Reader XI 11.0.20 en eerdere versies Windows en Macintosh

Ga naar de pagina met veelgestelde vragen over Acrobat DC voor meer informatie over Acrobat DC.

Ga naar de pagina met veelgestelde vragen over Acrobat DC voor meer informatie over Acrobat Reader DC.

Oplossing

Adobe raadt gebruikers aan om hun software bij te werken naar de nieuwste versies door de onderstaande
instructies te volgen.
De nieuwste productversies zijn beschikbaar voor eindgebruikers via een van de volgende methoden:

  • Gebruikers kunnen hun productinstallaties handmatig bijwerken door Help > Controleren op updates te kiezen.
  • De producten worden automatisch bijgewerkt, zonder tussenkomst van de gebruiker, wanneer updates worden
    gedetecteerd.
  • Het volledige Acrobat Reader-installatieprogramma kan worden gedownload via het Acrobat Reader Download Center.

Voor IT-beheerders (beheerde omgevingen):

  • Download de zakelijke installatieprogramma's via ftp://ftp.adobe.com/pub/adobe/ of raadpleeg de specifieke versie van de release-opmerkingen voor koppelingen naar installatieprogramma's.
  • Installeer updates via uw voorkeursmethode, zoals AIP-GPO, bootstrapper, SCUP/SCCM
    (Windows) of Apple Remote Desktop en SSH (Macintosh).

Adobe heeft aan deze updates de volgende prioriteit toegekend en raadt gebruikers aan hun installatie bij te werken naar de recentste versies:

Product Bijgewerkte versies Platform Prioriteitsbeoordeling Beschikbaarheid
Acrobat DC (Continuous-track) 2017.012.20098
Windows en Macintosh 2 Windows
Macintosh
Acrobat Reader DC (Continuous-track) 2017.012.20098 Windows en Macintosh 2 Download Center
         
Acrobat 2017 2017.011.30066 Windows en Macintosh 2 Windows
Macintosh
Acrobat Reader 2017 2017.011.30066 Windows en Macintosh 2 Windows
Macintosh
         
Acrobat DC (Classic-track) 2015.006.30355
Windows en Macintosh
2 Windows
Macintosh
Acrobat Reader DC (Classic-track) 2015.006.30355 
Windows en Macintosh 2 Windows
Macintosh
         
Acrobat XI 11.0.21 Windows en Macintosh 2 Windows
Macintosh
Reader XI 11.0.21 Windows en Macintosh 2 Windows
Macintosh

Opmerking:

Versie 11.0.22 is beschikbaar voor gebruikers die te maken hebben met de functionele regressie in XFA-formulieren die in 11.0.21 is geïntroduceerd (meer informatie kunt u hier vinden).  Zowel 11.0.22 als 11.0.21 verhelpen alle beveiligingsproblemen waarnaar wordt verwezen in dit bulletin.    

Details van kwetsbaarheid

Categorie van kwetsbaarheid Impact van kwetsbaarheid Ernst CVE-nummers
Geheugenbeschadiging Externe code-uitvoering Kritiek CVE-2017-3016
Geheugenbeschadiging Externe code-uitvoering Kritiek CVE-2017-3038
Use-after-free Externe code-uitvoering Kritiek CVE-2017-3113
Onvoldoende verificatie van gegevensauthenticiteit Openbaarmaking van informatie Belangrijk CVE-2017-3115
Geheugenbeschadiging Externe code-uitvoering Kritiek CVE-2017-3116
Massabufferoverloop Externe code-uitvoering Kritiek CVE-2017-3117
Omzeilen van de beveiliging Openbaarmaking van informatie Belangrijk CVE-2017-3118
Geheugenbeschadiging Externe code-uitvoering Belangrijk CVE-2017-3119
Use-after-free Externe code-uitvoering Kritiek CVE-2017-3120
Massabufferoverloop Externe code-uitvoering Kritiek CVE-2017-3121
Geheugenbeschadiging Openbaarmaking van informatie Belangrijk CVE-2017-3122
Geheugenbeschadiging Externe code-uitvoering Kritiek CVE-2017-3123
Geheugenbeschadiging Externe code-uitvoering Kritiek CVE-2017-3124
Geheugenbeschadiging Openbaarmaking van informatie Belangrijk CVE-2017-11209
Geheugenbeschadiging Openbaarmaking van informatie Belangrijk CVE-2017-11210
Massabufferoverloop Externe code-uitvoering Kritiek CVE-2017-11211
Geheugenbeschadiging Externe code-uitvoering Kritiek CVE-2017-11212
Geheugenbeschadiging Externe code-uitvoering Kritiek CVE-2017-11214
Geheugenbeschadiging Externe code-uitvoering Kritiek CVE-2017-11216
Geheugenbeschadiging Openbaarmaking van informatie Belangrijk CVE-2017-11217
Use-after-free Externe code-uitvoering Kritiek CVE-2017-11218
Use-after-free Externe code-uitvoering Kritiek CVE-2017-11219
Massabufferoverloop Externe code-uitvoering Kritiek CVE-2017-11220
Typeverwarring Externe code-uitvoering Kritiek CVE-2017-11221
Geheugenbeschadiging Externe code-uitvoering Kritiek CVE-2017-11222
Use-after-free Externe code-uitvoering Kritiek CVE-2017-11223
Use-after-free Externe code-uitvoering Kritiek CVE-2017-11224
Geheugenbeschadiging Externe code-uitvoering Kritiek CVE-2017-11226
Geheugenbeschadiging Externe code-uitvoering Kritiek CVE-2017-11227
Geheugenbeschadiging Externe code-uitvoering Kritiek CVE-2017-11228
Omzeilen van de beveiliging Externe code-uitvoering Belangrijk CVE-2017-11229
Geheugenbeschadiging Openbaarmaking van informatie Belangrijk CVE-2017-11230
Use-after-free Externe code-uitvoering Kritiek CVE-2017-11231
Use-after-free Openbaarmaking van informatie Belangrijk CVE-2017-11232
Geheugenbeschadiging Openbaarmaking van informatie Belangrijk CVE-2017-11233
Geheugenbeschadiging Externe code-uitvoering Kritiek CVE-2017-11234
Use-after-free Externe code-uitvoering Kritiek CVE-2017-11235
Geheugenbeschadiging Openbaarmaking van informatie Belangrijk CVE-2017-11236
Geheugenbeschadiging Externe code-uitvoering Kritiek CVE-2017-11237
Geheugenbeschadiging Openbaarmaking van informatie Kritiek CVE-2017-11238
Geheugenbeschadiging Openbaarmaking van informatie Kritiek CVE-2017-11239
Massabufferoverloop Externe code-uitvoering Kritiek CVE-2017-11241
Geheugenbeschadiging Openbaarmaking van informatie Belangrijk CVE-2017-11242
Geheugenbeschadiging Openbaarmaking van informatie Belangrijk CVE-2017-11243
Geheugenbeschadiging Openbaarmaking van informatie Belangrijk CVE-2017-11244
Geheugenbeschadiging Openbaarmaking van informatie Belangrijk CVE-2017-11245
Geheugenbeschadiging Openbaarmaking van informatie Belangrijk CVE-2017-11246
Geheugenbeschadiging Openbaarmaking van informatie Belangrijk CVE-2017-11248
Geheugenbeschadiging Openbaarmaking van informatie Belangrijk CVE-2017-11249
Geheugenbeschadiging Externe code-uitvoering Kritiek CVE-2017-11251
Geheugenbeschadiging Openbaarmaking van informatie Kritiek CVE-2017-11252
Use-after-free Externe code-uitvoering Belangrijk CVE-2017-11254
Geheugenbeschadiging Openbaarmaking van informatie Belangrijk CVE-2017-11255
Use-after-free Externe code-uitvoering Kritiek CVE-2017-11256
Typeverwarring Externe code-uitvoering Kritiek CVE-2017-11257
Geheugenbeschadiging Openbaarmaking van informatie Belangrijk CVE-2017-11258
Geheugenbeschadiging Externe code-uitvoering Kritiek CVE-2017-11259
Geheugenbeschadiging Externe code-uitvoering Kritiek CVE-2017-11260
Geheugenbeschadiging Externe code-uitvoering Kritiek CVE-2017-11261
Geheugenbeschadiging Externe code-uitvoering Kritiek CVE-2017-11262
Geheugenbeschadiging Externe code-uitvoering Belangrijk CVE-2017-11263
Geheugenbeschadiging Openbaarmaking van informatie Belangrijk CVE-2017-11265
Geheugenbeschadiging Externe code-uitvoering Kritiek CVE-2017-11267
Geheugenbeschadiging Externe code-uitvoering Kritiek CVE-2017-11268
Geheugenbeschadiging Externe code-uitvoering Kritiek CVE-2017-11269
Geheugenbeschadiging Externe code-uitvoering Kritiek CVE-2017-11270
Geheugenbeschadiging Externe code-uitvoering Kritiek CVE-2017-11271

Opmerking:

CVE-2017-3038 is opgelost in 2017.009.20044 en 2015.006.30306 (de versie van april 2017), maar de oplossing is onvolledig voor versie 11.0.20.  Deze kwetsbaarheid is nu volledig opgelost in versie 11.0.21 (de versie van augustus 2017).  

Dankbetuigingen

Adobe bedankt de volgende personen en organisaties voor het melden van de
relevante problemen en voor hun samenwerking met Adobe om onze klanten te helpen beschermen:

  • @vftable in samenwerking met het Zero Day Initiative van Trend Micro (CVE-2017-11211, CVE-2017-11251)
  • Aleksandar Nikolic van Cisco Talos (CVE-2017-11263)
  • Alex Infuhr van Cure 53 (CVE-2017-11229)
  • Ashfaq Ansari van Project Srishti (CVE-2017-11221)
  • Ashfaq Ansari van Project Srishti in samenwerking met het Vulnerability Contributor Program van iDefense (CVE-2017-3038)
  • Cybellum Technologies LTD (CVE-2017-3117)
  • Anoniem gemeld via het Zero Day Initiative van Trend Micro (CVE-2017-3113, CVE-2017-3120, CVE-2017-11218, CVE-2017-11224, CVE-2017-11223)
  • Fernando Munoz in samenwerking met het Zero Day Initiative van Trend Micro (CVE-2017-3115)
  • Giwan Go van STEALIEN & HIT in samenwerking met het Zero Day Initiative van Trend Micro (CVE-2017-11228, CVE-2017-11230)
  • Heige (ook bekend als SuperHei) (CVE-2017-11222)
  • Jaanus Kp Clarified Security in samenwerking met het Zero Day Initiative van Trend Micro (CVE-2017-11236, CVE-2017-11237, CVE-2017-11252, CVE-2017-11231, CVE-2017-11265)
  • Jaanus Kp Clarified Security in samenwerking met het Zero Day Initiative van Trend Micro en Ashfaq Ansari van Project Srishti in samenwerking met het Zero Day Initiative van Trend Micro (CVE-2017-11231)
  • Jihui Lu van Tencent KeenLab (CVE-2017-3119)
  • kdot in samenwerking met het Zero Day Initiative van Trend Micro (CVE-2017-11234, CVE-2017-11235, CVE-2017-11271)
  • Ke Liu van Tencent's Xuanwu LAB in samenwerking met het Zero Day Initiative van Trend Micro (CVE-2017-3121, CVE-2017-3122, CVE-2017-11212, CVE-2017-11216, CVE-2017-11217, CVE-2017-11238, CVE-2017-11239, CVE-2017-11241, CVE-2017-11242, CVE-2017-11243, CVE-2017-11244, CVE-2017-11245, CVE-2017-11246, CVE-2017-11248, CVE-2017-11249, CVE-2017-11233, CVE-2017-11261, CVE-2017-11260, CVE-2017-11258, CVE-2017-11259, CVE-2017-11267, CVE-2017-11268, CVE-2017-11269, CVE-2017-11259, CVE-2017-11270, CVE-2017-11261)
  • Ke Liu van Tencent's Xuanwu LAB in samenwerking met het Zero Day Initiative van Trend Micro en Steven Seeley (mr_me) van Offensive Security (CVE-2017-11212, CVE-2017-11214, CVE-2017-11227)
  • Siberas in samenwerking met het SecuriTeam Secure Disclosure-programma van Beyond Security (CVE-2017-11254)
  • Richard Warren (CVE-2017-3118)
  • riusksk van Tencent Security Platform Department (CVE-2017-3016)
  • Sebastian Apelt siberas in samenwerking met het Zero Day Initiative van Trend Micro (CVE-2017-11219, CVE-2017-11256, CVE-2017-11257)
  • Steven Seeley (mr_me) van Offensive Security in samenwerking met het Zero Day Initiative van Trend Micro (CVE-2017-11209, CVE-2017-11210, CVE-2017-11232, CVE-2017-11255, CVE-2017-3123, CVE-2017-3124)
  • Steven Seeley in samenwerking met SecuriTeam Secure Disclosure Program van Beyond Security (CVE-2017-11220)
  • Steven Seeley (CVE-2017-11262)
  • Sushan (CVE-2017-11226
  • Toan Pham (CVE-2017-3116)

Revisies

29 augustus 2017: De tabel Oplossing is bijgewerkt met de nieuwe updates die vanaf 29 augustus beschikbaar zijn.  Deze updates verhelpen een functionele regressie met de functionaliteit voor XFA-formulieren waarmee bepaalde gebruikers te maken hebben gehad.  De releases van 29 augustus verhelpen ook het beveiligingsprobleem CVE-2017-11223.  

CVE-2017-11223 is oorspronkelijk verholpen in de updates van 8 augustus (versies 2017.012.20093, 2017.011.30059 en 2015.006.30352), maar vanwege een functionele regressie in deze versies zijn tijdelijke hotfixes uitgebracht waarmee de oplossing voor CVE-2017-11223 is teruggedraaid. De releases van 29 augustus verhelpen de regressie en bieden een oplossing voor CVE-2017-11223. Zie dit blogbericht voor meer informatie.