Bollettino sulla sicurezza di Adobe

Data di pubblicazione: 7 luglio 2016

Ultimo aggiornamento: 12 settembre 2016

Identificatore di vulnerabilità: APSB16-26

Priorità: 2

Codici CVE: CVE-2016-4191, CVE-2016-4192, CVE-2016-4193, CVE-2016-4194, CVE-2016-4195, CVE-2016-4196, CVE-2016-4197, CVE-2016-4198, CVE-2016-4199, CVE-2016-4200, CVE-2016-4201, CVE-2016-4202, CVE-2016-4203, CVE-2016-4204, CVE-2016-4205, CVE-2016-4206, CVE-2016-4207, CVE-2016-4208, CVE-2016-4209, CVE-2016-4210, CVE-2016-4211, CVE-2016-4212, CVE-2016-4213, CVE-2016-4214, CVE-2016-4215, CVE-2016-4250, CVE-2016-4251, CVE-2016-4252, CVE-2016-4254, CVE-2016-4255CVE-2016-4265, CVE-2016-4266, CVE-2016-4267, CVE-2016-4268, CVE-2016-4269, CVE-2016-4270, CVE-2016-6937, CVE-2016-6938

Piattaforme: Windows e Macintosh

Adobe ha rilasciato aggiornamenti di sicurezza per Adobe Acrobat e Reader per Windows e Macintosh. Questi aggiornamenti risolvono vulnerabilità critiche che potrebbero consentire a eventuali aggressori di assumere il controllo del sistema interessato.

Per domande su Acrobat DC, visitate la pagina con le Domande Frequenti di Acrobat DC. Per domande su Acrobat Reader DC, visitate la pagina con le Domande Frequenti su Acrobat Reader DC.

Adobe consiglia agli utenti di aggiornare i software installati alle versioni più recenti seguendo le istruzioni riportate di seguito.

Le ultime versioni dei prodotti sono a disposizione degli utenti finali mediante uno dei seguenti metodi:

• Gli utenti possono aggiornare manualmente i prodotti installati selezionando Aiuto > Verifica aggiornamenti. 
• I prodotti verranno aggiornati automaticamente non appena saranno rilevati nuovi aggiornamenti, senza l'intervento dell'utente. 
• È possibile scaricare il programma di installazione completo di Acrobat Reader dal Centro di download di Acrobat Reader.
  

Per gli amministratori IT (ambienti gestiti):

• Scaricate i programmi di installazione enterprise da ftp://ftp.adobe.com/pub/adobe/ o fate riferimento alla versione specifica delle note sulla versione per i collegamenti ai programmi di installazione.
• Installate gli aggiornamenti utilizzando il metodo che preferite, ad esempio AIP-GPO, il programma di avvio automatico, SCUP/SCCM (su Windows) oppure Apple Remote Desktop e SSH (su Macintosh).
  

Adobe classifica questi aggiornamenti in base ai seguenti livelli di priorità e consiglia agli utenti di aggiornare le proprie installazioni alle versioni più recenti:

• Questi aggiornamenti risolvono una vulnerabilità di overflow di valori integer che potrebbe provocare l'esecuzione di codice (CVE-2016-4210).
• Questi aggiornamenti risolvono una vulnerabilità di tipo use-after-free che potrebbe provocare l'esecuzione di codice (CVE-2016-4255, CVE-2016-6938).
• Questi aggiornamenti risolvono una vulnerabilità di sovraccarico del buffer (heap) che potrebbe provocare l'esecuzione di codice (CVE-2016-4209).
• Questi aggiornamenti risolvono vari metodi per aggirare le restrizioni riguardanti l'esecuzione dell'API di JavaScript (CVE-2016-4215).
• Questi aggiornamenti risolvono vulnerabilità relative alla corruzione della memoria che potrebbero causare l'esecuzione di codice (CVE-2016-4254, CVE-2016-4191, CVE-2016-4192, CVE-2016-4193, CVE-2016-4194, CVE-2016-4195, CVE-2016-4196, CVE-2016-4197, CVE-2016-4198, CVE-2016-4199, CVE-2016-4200, CVE-2016-4201, CVE-2016-4202, CVE-2016-4203, CVE-2016-4204, CVE-2016-4205, CVE-2016-4206, CVE-2016-4207, CVE-2016-4208, CVE-2016-4211, CVE-2016-4212, CVE-2016-4213, CVE-2016-4214, CVE-2016-4250, CVE-2016-4251, CVE-2016-4252, CVE-2016-4265, CVE-2016-4266, CVE-2016-4267, CVE-2016-4268, CVE-2016-4269, CVE-2016-4270, CVE-2016-6937).
  

Adobe desidera ringraziare i singoli e le organizzazioni seguenti per la collaborazione e per aver segnalato i problemi specifici, contribuendo così a proteggere la sicurezza dei nostri clienti:

• Jaanus Kääp di Clarified Security, Ke Liu del Xuanwu LAB Tencent e Sébastien Morin di COSIG (CVE-2016-4201)
• Kai Lu dei FortiGuard Labs Fortinet, Jaanus Kääp di Clarified Security, Ke Liu del Xuanwu LAB Tencent e Sébastien Morin di COSIG (CVE-2016-4203)
• Sébastien Morin di COSIG e Ke Liu del Xuanwu LAB Tencent (CVE-2016-4208)
• Jaanus Kääp di Clarified Security (CVE-2016-4252)
• Wei Lei Sun Zhihao e Liu Yang della Nanyang Technological University, in collaborazione con la Zero Day Initiative di Trend Micro (CVE-2016-4198)
• Alex Inführ e Masato Kinugawa di Cure53 (CVE-2016-4215)
• Ke Liu del Xuanwu LAB Tencent (CVE-2016-4254, CVE-2016-4193, CVE-2016-4194, CVE-2016-4209, CVE-2016-4210, CVE-2016-4211, CVE-2016-4212, CVE-2016-4213, CVE-2016-4214, CVE-2016-4250)
• AbdulAziz Hariri in collaborazione con la Zero Day Initiative di Trend Micro (CVE-2016-4195, CVE-2016-4196, CVE-2016-4197, CVE-2016-4199, CVE-2016-4200, CVE-2016-4202)
• Sébastien Morin di COSIG (CVE-2016-4206, CVE-2016-4207)
• kdot, in collaborazione con Zero Day Initiative di Trend Micro (CVE-2016-4191, CVE-2016-4268, CVE-2016-4270)
• Stanko Jankovic (CVE-2016-4192)
• Jaanus Kp di Clarified Security in collaborazione con la Zero Day Initiative di Trend Micro (CVE-2016-4255, CVE-2016-4251)
• Sébastien Morin e Pier-Luc Maltais di COSIG (CVE-2016-4204, CVE-2016-4205)
  
• Steven Seeley di Source Incite, in collaborazione con Zero Day Initiative di Trend Micro (CVE-2016-4265, CVE-2016-4266, CVE-2016-4267, CVE-2016-4269, CVE-2016-6937, CVE-2016-6938)

12 luglio 2016: le vulnerabilità CVE-2016-4189 e CVE-2016-4190 sono state reciprocamente sostituite dalle vulnerabilità CVE-2016-4254 e CVE-2016-4255. 

23 agosto 2016: sono stati aggiunti riferimenti alle vulnerabilità CVE-2016-4265, CVE-2016-4266, CVE-2016-4265, CVE-2016-4266, CVE-2016-4267, CVE-2016-4268, CVE-2016-4269 e CVE-2016-4270, inavvertitamente omesse dal bollettino.

12 settembre 2016: sono stati aggiunti riferimenti alle vulnerabilità CVE-2016-6937 e CVE-2016-6938, inavvertitamente omesse dal bollettino.