Beveiligingsadviezen van Adobe

Beveiligingsupdates beschikbaar voor Adobe Reader en Acrobat

Releasedatum: 12 mei 2015

ID kwetsbaarheidsprobleem: APSB15-10

CVE-nummers: CVE-2014-8452, CVE-2014-9160, CVE-2014-9161, CVE-2015-3046, CVE-2015-3047, CVE-2015-3048, CVE-2015-3049, CVE-2015-3050, CVE-2015-3051, CVE-2015-3052, CVE-2015-3053, CVE-2015-3054, CVE-2015-3055, CVE-2015-3056, CVE-2015-3057, CVE-2015-3058, CVE-2015-3059, CVE-2015-3060, CVE-2015-3061, CVE-2015-3062, CVE-2015-3063, CVE-2015-3064, CVE-2015-3065, CVE-2015-3066, CVE-2015-3067, CVE-2015-3068, CVE-2015-3069, CVE-2015-3070, CVE-2015-3071, CVE-2015-3072, CVE-2015-3073, CVE-2015-3074, CVE-2015-3075, CVE-2015-3076

Platform: Windows en Macintosh

Samenvatting

Adobe heeft beveiligingsupdates uitgebracht voor Adobe Reader en Acrobat voor Windows en Macintosh. Deze updates verhelpen kwetsbaarheden die ertoe kunnen leiden dat een aanvaller de controle kan krijgen over het desbetreffende systeem. Adobe raadt gebruikers aan hun productinstallaties bij te werken naar de recentste versies:

Gebruikers van Adobe Reader XI (11.0.10) en eerdere versies moeten een update uitvoeren naar versie 11.0.11.
Gebruikers van Adobe Reader X (10.1.13) en eerdere versies moeten een update uitvoeren naar versie 10.1.14.
Gebruikers van Adobe Acrobat XI (11.0.10) en eerdere versies moeten een update uitvoeren naar versie 11.0.11.
Gebruikers van Adobe Acrobat X (10.1.13) en eerdere versies moeten een update uitvoeren naar versie 10.1.14.

Van toepassing op de volgende softwareversies

Adobe Reader XI (11.0.10) en eerdere 11.x-versies
Adobe Reader X (10.1.13) en eerdere 10.x-versies
Adobe Acrobat XI (11.0.10) en eerdere 11.x-versies

Adobe Acrobat X (10.1.13) en eerdere 10.x-versies

Opmerking: de verwijzingen naar CVE's in dit bulletin zijn niet van toepassing op Adobe Acrobat Reader.

Oplossing

Adobe raadt gebruikers aan om hun software bij te werken aan de hand van de onderstaande instructies:

Adobe Reader

Het updatemechanisme van het product is standaard ingesteld om regelmatig automatische controles op updates uit te voeren. U kunt de controles op updates ook handmatig activeren door Help > Controleren op updates te kiezen.

Gebruikers van Adobe Reader in Windows kunnen hier de juiste update vinden: http://www.adobe.com/support/downloads/product.jsp?product==10&platform=Windows

Gebruikers van Adobe Reader in Macintosh kunnen hier de juiste update vinden: http://www.adobe.com/support/downloads/product.jsp?product==10&platform=Macintosh

Adobe Acrobat

Het updatemechanisme van het product is standaard ingesteld om regelmatig automatische controles op updates uit te voeren. U kunt de controles op updates ook handmatig activeren door Help > Controleren op updates te kiezen.

Gebruikers van Acrobat Standard en Pro in Windows kunnen hier de juiste update vinden: http://www.adobe.com/support/downloads/product.jsp?product==1&platform=Windows

Gebruikers van Acrobat Pro in Macintosh kunnen hier de juiste update vinden: http://www.adobe.com/support/downloads/product.jsp?product==1&platform=Macintosh

Graadmeter voor prioriteit en ernst

Adobe heeft aan deze updates de onderstaande prioriteit toegekend en raadt gebruikers aan hun installaties bij te werken naar de meest recente versies:

Deze updates verhelpen kritieke kwetsbaarheden in de software.

Details

Adobe heeft beveiligingsupdates uitgebracht voor Adobe Reader en Acrobat voor Windows en Macintosh. Deze updates verhelpen kwetsbaarheden die ertoe kunnen leiden dat een aanvaller de controle kan krijgen over het desbetreffende systeem. Adobe raadt gebruikers aan hun productinstallaties bij te werken naar de recentste versies:

Gebruikers van Adobe Reader XI (11.0.10) en eerdere versies moeten een update uitvoeren naar versie 11.0.11.

Gebruikers van Adobe Reader X (10.1.13) en eerdere versies moeten een update uitvoeren naar versie 10.1.14.
Gebruikers van Adobe Acrobat XI (11.0.10) en eerdere versies moeten een update uitvoeren naar versie 11.0.11.
Gebruikers van Adobe Acrobat X (10.1.13) en eerdere versies moeten een update uitvoeren naar versie 10.1.14.

Deze updates verhelpen 'use-after-free'-kwetsbaarheden die tot code-uitvoering kunnen leiden (CVE-2015-3053, CVE-2015-3054, CVE-2015-3055, CVE-2015-3059, CVE-2015-3075).

Deze updates verhelpen kwetsbaarheden voor heapgebaseerde bufferoverloop die tot code-uitvoering kunnen leiden (CVE-2014-9160).

Deze updates verhelpen een kwetsbaarheid voor bufferoverloop die tot code-uitvoering kan leiden (CVE-2015-3048).

Deze updates verhelpen kwetsbaarheden voor geheugenbeschadiging die tot code-uitvoering kunnen leiden (CVE-2014-9161, CVE-2015-3046, CVE-2015-3049, CVE-2015-3050, CVE-2015-3051, CVE-2015-3052, CVE-2015-3056, CVE-2015-3057, CVE-2015-3070, CVE-2015-3076).

Deze updates verhelpen een probleem met geheugenlekkage (CVE-2015-3058).

Deze updates bieden een oplossing voor verschillende methoden waarmee de uitvoering van de JavaScript-API kan worden omzeild (CVE-2015-3060, CVE-2015-3061, CVE-2015-3062, CVE-2015-3063, CVE-2015-3064, CVE-2015-3065, CVE-2015-3066, CVE-2015-3067, CVE-2015-3068, CVE-2015-3069, CVE-2015-3071, CVE-2015-3072, CVE-2015-3073, CVE-2015-3074).

Deze updates verhelpen een probleem met het ongedaan maken van referenties voor null-aanwijzers dat tot een Denial of Service-voorwaarde kan leiden (CVE-2015-3047).

Deze updates bieden extra beveiliging tegen CVE-2014-8452, een kwetsbaarheid in de verwerking van externe XML-entiteiten die tot openbaarmaking van informatie kan leiden.

Dankbetuigingen

Adobe bedankt de volgende personen en organisaties voor het melden van de relevante problemen en voor hun samenwerking met Adobe om onze klanten te helpen beschermen:

AbdulAziz Hariri van het Zero Day Initiative van HP (CVE-2015-3053, CVE-2015-3055, CVE-2015-3057, CVE-2015-3058, CVE-2015-3065, CVE-2015-3066, CVE-2015-3067, CVE-2015-3068, CVE-2015-3071, CVE-2015-3072, CVE-2015-3073)
Alex Inführ van Cure53.de (CVE-2014-8452, CVE-2015-3076)
Anonieme meldingen die zijn gerapporteerd via SecuriTeam Secure Disclosure van Beyond Security (CVE-2015-3075)
bilou in samenwerking met het Zero Day Initiative van HP (CVE-2015-3059)
Brian Gorenc van het Zero Day Initiative van HP (CVE-2015-3054, CVE-2015-3056, CVE-2015-3061, CVE-2015-3063, CVE-2015-3064)
Dave Weinstein van het Zero Day Initiative van HP (CVE-2015-3069)

instruder van het beveiligingsonderzoeksteam van Alibaba (CVE-2015-3070)
lokihardt@asrt in samenwerking met het Zero Day Initiative van HP (CVE-2015-3074)
Mateusz Jurczyk van Google Project Zero (CVE-2015-3049, CVE-2015-3050, CVE-2015-3051, CVE-2015-3052)
Mateusz Jurczyk van Google Project Zero en Gynvael Coldwind van het Google Security Team (CVE-2014-9160, CVE-2014-9161)
Simon Zuckerbraun in samenwerking met het Zero Day Initiative van HP (CVE-2015-3060, CVE-2015-3062)
Wei Lei en tevens Wu Hongjun en Wang Jing van Nanyang Technological University (CVE-2015-3047)
Wei Lei en tevens Wu Hongjun van Nanyang Technological University (CVE-2015-3046)
Xiaoning Li van Intel Labs en Haifei Li van het McAfee Labs IPS-team (CVE-2015-3048)