Beveiligingsadvies voor Adobe Acrobat en Reader | APSB19-41
Bulletin-id Publicatiedatum Prioriteit
APSB19-41 13 augustus 2019 2

Samenvatting

Adobe heeft beveiligingsupdates uitgebracht voor Adobe Acrobat en Reader voor Windows en macOS. Deze updates verhelpen belangrijke kwetsbaarheden. Misbruik van deze kwetsbaarheden kan leiden tot willekeurige code-uitvoering binnen de context van de huidige gebruiker.    

Van toepassing op de volgende versies

Deze updates verhelpen belangrijke kwetsbaarheden in de software. Adobe zal de volgende prioriteit toekennen aan deze updates:

Product Track-abonnement Van toepassing op de volgende versies Platform
Acrobat DC  Continuous 

2019.012.20034 en eerdere versies  macOS
Acrobat DC  Continuous  2019.012.20035 en eerdere versies Windows
Acrobat Reader DC Continuous

2019.012.20034 en eerdere versies  macOS
Acrobat Reader DC Continuous  2019.012.20035 en eerdere versies  Windows
       
Acrobat DC  Classic 2017 2017.011.30142 en eerdere versies   macOS
Acrobat DC  Classic 2017 2017.011.30143 en eerdere versies Windows
Acrobat Reader DC Classic 2017 2017.011.30142  en eerdere versies macOS
Acrobat Reader DC Classic 2017 2017.011.30143 en eerdere versies Windows
       
Acrobat DC  Classic 2015 2015.006.30497 en eerdere versies  macOS
Acrobat DC  Classic 2015 2015.006.30498 en eerdere versies Windows
Acrobat Reader DC  Classic 2015 2015.006.30497 en eerdere versies  macOS
Acrobat Reader DC Classic 2015 2015.006.30498 en eerdere versies Windows

Oplossing

Adobe raadt gebruikers aan om hun software bij te werken naar de nieuwste versies door de onderstaande instructies te volgen.    

De nieuwste productversies zijn beschikbaar voor eindgebruikers via een van de volgende methoden:    

  • Gebruikers kunnen hun productinstallaties handmatig bijwerken door Help > Controleren op updates te kiezen.     

  • De producten worden automatisch bijgewerkt, zonder tussenkomst van de gebruiker, wanneer updates worden gedetecteerd.      

  • Het volledige Acrobat Reader-installatieprogramma kan worden gedownload van het Acrobat Reader Download Center.   

Voor IT-beheerders (beheerde omgevingen):     

  • Download de zakelijke installatieprogramma's via ftp://ftp.adobe.com/pub/adobe/ of raadpleeg de specifieke versie van de release-opmerkingen voor links naar installatieprogramma's.

  • Installeer updates via uw voorkeursmethode, zoals AIP-GPO, bootstrapper, SCUP/SCCM (Windows) of op Apple Remote Desktop en SSH (macOS). 

   

Adobe heeft aan deze updates de onderstaande prioriteitsbeoordelingen toegekend en raadt gebruikers aan hun installatie bij te werken naar de meest recente versie:   

Product Track-abonnement Bijgewerkte versies Platform Prioriteitsbeoordeling Beschikbaarheid
Acrobat DC Continuous 2019.012.20036 Windows en macOS 2

Windows    

macOS  

Acrobat Reader DC Continuous 2019.012.20036

Windows en macOS 2

Windows



macOS

           
Acrobat DC Classic 2017 2017.011.30144 Windows en macOS 2

Windows

macOS

Acrobat Reader DC Classic 2017 2017.011.30144 Windows en macOS 2

Windows

macOS

           
Acrobat DC Classic 2015 2015.006.30499 Windows en macOS 2

Windows

macOS

Acrobat Reader DC Classic 2015 2015.006.30499 Windows en macOS 2

Windows

macOS

Details van kwetsbaarheid

Categorie van kwetsbaarheid Impact van kwetsbaarheid Ernst CVE-nummer

Lezen buiten het bereik   

 

 

Openbaarmaking van informatie   

 

 

Belangrijk   

 

 

CVE-2019-8077

CVE-2019-8094

CVE-2019-8095

CVE-2019-8096

CVE-2019-8102

CVE-2019-8103

CVE-2019-8104

CVE-2019-8105

CVE-2019-8106

CVE-2019-8002

CVE-2019-8004

CVE-2019-8005

CVE-2019-8007

CVE-2019-8010

CVE-2019-8011

CVE-2019-8012

CVE-2019-8018

CVE-2019-8020

CVE-2019-8021

CVE-2019-8032

CVE-2019-8035

CVE-2019-8037

CVE-2019-8040

CVE-2019-8043

CVE-2019-8052

Out-of-Bounds Schrijven   

 

 

Willekeurige code-uitvoering    

 

 

Belangrijk  

 

 

CVE-2019-8098

CVE-2019-8100

CVE-2019-7965

CVE-2019-8008

CVE-2019-8009

CVE-2019-8016

CVE-2019-8022

CVE-2019-8023

CVE-2019-8027

Opdrachtinjectie  Willekeurige code-uitvoering   Belangrijk  CVE-2019-8060

Use-after-free   

 

 

Willekeurige code-uitvoering     

 

 

Belangrijk 

 

 

CVE-2019-8003

CVE-2019-8013

CVE-2019-8024

CVE-2019-8025

CVE-2019-8026

CVE-2019-8028

CVE-2019-8029

CVE-2019-8030

CVE-2019-8031

CVE-2019-8033

CVE-2019-8034

CVE-2019-8036

CVE-2019-8038

CVE-2019-8039

CVE-2019-8047

CVE-2019-8051

CVE-2019-8053

CVE-2019-8054

CVE-2019-8055

CVE-2019-8056

CVE-2019-8057

CVE-2019-8058

CVE-2019-8059

CVE-2019-8061

CVE-2019-8257

Massabufferoverloop 

 

 

Willekeurige code-uitvoering     

 

 

Belangrijk 

 

 

CVE-2019-8066

CVE-2019-8014

CVE-2019-8015

CVE-2019-8041

CVE-2019-8042

CVE-2019-8046

CVE-2019-8049

CVE-2019-8050

Bufferfout  Willekeurige code-uitvoering       Belangrijk   CVE-2019-8048
Double Free  Willekeurige code-uitvoering      Belangrijk    CVE-2019-8044 
Integeroverloop Openbaarmaking van informatie Belangrijk 

CVE-2019-8099

CVE-2019-8101

Interne openbaarmaking van het IP Openbaarmaking van informatie Belangrijk  CVE-2019-8097
Typeverwarring Willekeurige code-uitvoering   Belangrijk 

CVE-2019-8019 

CVE-2019-8249

CVE-2019-8250

Dereferentie niet-vertrouwde aanwijzer

 

 

Willekeurige code-uitvoering 

 

 

Belangrijk 

 

 

CVE-2019-8006

CVE-2019-8017

CVE-2019-8045

Versleuteling onvoldoende robuust Omzeiling van beveiligingsfunctie Kritiek CVE-2019-8237
Typeverwarring Openbaarmaking van informatie Belangrijk

CVE-2019-8251

CVE-2019-8252

Dankbetuigingen

Adobe bedankt de volgende personen en organisaties voor het melden van de relevante problemen en voor hun samenwerking met Adobe om onze klanten te helpen beschermen:    

  • Dhanesh Kizhakkinan van FireEye Inc.(CVE-2019-8066) 
  • Xu Peng en Su Purui van het TCA/SKLCS Instituut voor Software van de Chinese Academie van Wetenschappen en het Codesafe Team van Legendsec van de Qi'anxin Group (CVE-2019-8029, CVE-2019-8030, CVE-2019-8031) 
  • (A.K.) Karim Zidani, Onafhankelijke veiligheidsonderzoeker; https://imAK.xyz/ (CVE-2019-8097)
  • Anoniem in samenwerking met het Zero Day Initiative van Trend Micro (CVE-2019-8033, CVE-2019-8037)  
  • BUGFENSE Anonymous Bug Bounties https://bugfense.io (CVE-2019-8015) 
  • Haikuo Xie van het Baidu Security Lab in samenwerking met het Zero Day Initiative van Trend Micro (CVE-2019-8035, CVE-2019-8257)
  • Wei Lei van STAR Labs (CVE-2019-8009, CVE-2019-8018, CVE-2019-8010, CVE-2019-8011) 
  • Li Qi(@leeqwind) & Wang Lei(@CubestoneW) & Liao Bangjie(@b1acktrac3) van Qihoo360 CoreSecurity(@360CoreSec) (CVE-2019-8012) 
  • KE Liu van Tencent Security Xuanwu Lab (CVE-2019-8094, CVE-2019-8095, CVE-2019-8096, CVE-2019-8004, CVE-2019-8005, CVE-2019-8006, CVE-2019-8077, CVE-2019-8003, CVE-2019-8020, CVE-2019-8021, CVE-2019-8022, CVE-2019-8023) 
  • Haikuo Xie van Baidu Security Lab (CVE-2019-8032, CVE-2019-8036) 
  • ktkitty (https://ktkitty.github.io) in samenwerking met het Zero Day Initiative van Trend Micro (CVE-2019-8014) 
  • Mat Powell van het Zero Day Initiative van Trend Micro (CVE-2019-8008, CVE-2019-8051, CVE-2019-8053, CVE-2019-8054, CVE-2019-8056, CVE-2019-8057, CVE-2019-8058, CVE-2019-8059) 
  • Mateusz Jurczyk van Nul (CVE -2019-8041 Google-Project, CVE -2019-8042, CVE -2019-8043, CVE -2019-8044, CVE -2019-8045, CVE -2019-8046, CVE -2019-8047, CVE -2019-8048, CVE -2019-8049, CVE -2019-8050, CVE -2019-8016, CVE -2019-8017) 
  • Michael Bourque (CVE-2019-8007) 
  • peternguyen in samenwerking met het Zero Day Initiative van Trend Micro (CVE-2019-8013, CVE-2019-8034) 
  • Simon Zuckerbraun van het Zero Day Initiative van Trend Micro (CVE-2019-8027) 
  • Steven Seeley (mr_me) van Source Incite in samenwerking met het Zero Day Initiative van Trend Micro (CVE-2019-8019)
  • Steven Seeley (mr_me) van Source Incite in samenwerking met iDefense Labs(https://vcp.idefense.com/) (CVE-2019-8098, CVE-2019-8099, CVE-2019-8100, CVE-2019-8101, CVE-2019-8102, CVE-2019-8103, CVE-2019-8104, CVE-2019-8106, CVE-2019-7965, CVE-2019-8105) 
  • willJ in samenwerking met het Zero Day Initiative van Trend Micro (CVE-2019-8040, CVE-2019-8052) 
  • Esteban Ruiz (mr_me) van Source Incite in samenwerking met iDefense Labs(https://vcp.idefense.com/) (CVE-2019-8002) 
  • Bo Qu van Palo Alto Networks en Heige van het Knownsec 404-beveiligingsteam (CVE-2019-8024, CVE-2019-8061, CVE-2019-8055) 
  • Zhaoyan Xu, Hui Gao van Palo Alto Networks (CVE-2019-8026, CVE-2019-8028) 
  • Lexuan Sun, Hao Cai van Palo Alto Networks (CVE-2019-8025) 
  • Deel van STARLabs in samenwerking met het Zero Day Initiative van Trend Micro (CVE-2019-8038, CVE-2019-8039)
  • Zhongcheng Li(CK01) van Topsec Alpha Team (CVE-2019-8060)
  • Jens Müller (CVE-2019-8237)
  • Steven Seeley (mr_me) van Source Incite (CVE-2019-8249, CVE-2019-8250, CVE-2019-8251, CVE-2019-8252)

Revisies

14 augustus 2019: Erkenning toegevoegd voor CVE-2019-8016 en CVE-2019-8017.

22 augustus 2019: Bijgewerkte CVE-identiteitskaart van CVE-2019-7832 tot CVE-2019-8066.

26 november 2019: Erkenning toegevoegd voor CVE-2019-8060.

23 oktober 2019: Informatie opgenomen over CVE-2019-8237.

19 november 2019: Informatie opgenomen over CVE-2019-8249, CVE-2019-8250, CVE-2019-8251, CVE-2019-8252

10 december 2019: Informatie opgenomen over CVE-2019-8257.