Aggiornamenti di sicurezza disponibili per Adobe Acrobat e Reader

Data di pubblicazione: 6 aprile 2017

Ultimo aggiornamento: 11 maggio 2017

Identificatore di vulnerabilità: APSB17-11

Priorità: 2

Codici CVE: CVE-2017-3011, CVE-2017-3012, CVE-2017-3013, CVE-2017-3014, CVE-2017-3015, CVE-
2017-3017, CVE-2017-3018, CVE-2017-3019, CVE-2017-3020, CVE-2017-3021, CVE-2017-3022, CVE-
2017-3023, CVE-2017-3024, CVE-2017-3025, CVE-2017-3026, CVE-2017-3027, CVE-2017-3028, CVE-
2017-3029, CVE-2017-3030, CVE-2017-3031, CVE-2017-3032, CVE-2017-3033, CVE-2017-3034, CVE-
2017-3035, CVE-2017-3036, CVE-2017-3037, CVE-2017-3038, CVE-2017-3039, CVE-2017-3040, CVE-
2017-3041, CVE-2017-3042, CVE-2017-3043, CVE-2017-3044, CVE-2017-3045, CVE-2017-3046, CVE-
2017-3047, CVE-2017-3048, CVE-2017-3049, CVE-2017-3050, CVE-2017-3051, CVE-2017-3052, CVE-
2017-3053, CVE-2017-3054, CVE-2017-3055, CVE-2017-3056, CVE-2017-3057, CVE-2017-3065

Piattaforme: Windows e Macintosh

Adobe ha rilasciato aggiornamenti di sicurezza per Adobe Acrobat e Reader per Windows e Macintosh. Questi aggiornamenti risolvono vulnerabilità critiche che potrebbero consentire a eventuali aggressori di assumere il controllo del sistema interessato.

Versioni interessate

Prodotto Track Versioni interessate Piattaforma
Acrobat DC Continuo 15.023.20070 e versioni precedenti
Windows e Macintosh
Acrobat Reader DC Continuo 15.023.20070 e versioni precedenti
Windows e Macintosh
       
Acrobat DC Classica 15.006.30280 e versioni precedenti
Windows e Macintosh
Acrobat Reader DC Classica 15.006.30280 e versioni precedenti
Windows e Macintosh
       
Acrobat XI Desktop 11.0.19 e versioni precedenti Windows e Macintosh
Reader XI Desktop 11.0.19 e versioni precedenti Windows e Macintosh

Per ulteriori informazioni su Acrobat DC, visitate la pagina con le Domande Frequenti su Acrobat DC.

Per ulteriori informazioni su Acrobat Reader DC, visitate la pagina con le Domande Frequenti su Acrobat Reader DC.

Soluzione

Adobe consiglia agli utenti di aggiornare i software installati alle versioni più recenti seguendo le istruzioni riportate di seguito.

Le ultime versioni dei prodotti sono a disposizione degli utenti finali mediante uno dei seguenti metodi:

  • Gli utenti possono aggiornare manualmente i prodotti installati selezionando Aiuto > Verifica aggiornamenti.
  • I prodotti verranno aggiornati automaticamente non appena saranno rilevati nuovi aggiornamenti, senza l'intervento
    dell'utente.
  • È possibile scaricare il programma di installazione completo di Acrobat Reader dal Centro di download di Acrobat Reader.

Per gli amministratori IT (ambienti gestiti):

  • Scaricate i programmi di installazione enterprise da ftp://ftp.adobe.com/pub/adobe/ o fate riferimento alla versione specifica delle note sulla versione per i collegamenti ai programmi di installazione.
  • Installate gli aggiornamenti utilizzando il metodo che preferite, ad esempio AIP-GPO, il programma di avvio automatico, SCUP/SCCM
    (su Windows) oppure Apple Remote Desktop e SSH (su Macintosh).

Adobe classifica questi aggiornamenti in base ai seguenti livelli di priorità e consiglia agli utenti interessati di aggiornare la propria installazione alla versione più recente:

Prodotto Track Versioni aggiornate Piattaforma Livello di priorità Disponibilità
Acrobat DC Continuo 2017.009.20044
Windows e Macintosh 2 Windows
Macintosh
Acrobat Reader DC Continuo 2017.009.20044
Windows e Macintosh 2 Centro di download
           
Acrobat DC Classica 2015.006.30306
Windows e Macintosh
2 Windows
Macintosh
Acrobat Reader DC Classica 2015.006.30306 
Windows e Macintosh 2 Windows
Macintosh
           
Acrobat XI Desktop 11.0.20 Windows e Macintosh 2 Windows
Macintosh
Reader XI Desktop 11.0.20 Windows e Macintosh 2 Windows
Macintosh

Dettagli della vulnerabilità

  • Questi aggiornamenti risolvono vulnerabilità di tipo "use-after-free" che potrebbero provocare l'esecuzione di codice (CVE-
    2017-3014, CVE-2017-3026, CVE-2017-3027, CVE-2017-3035, CVE-2017-3047, CVE-2017-3057).
  • Questi aggiornamenti risolvono vulnerabilità di sovraccarico del buffer basato su heap che potrebbero provocare l'esecuzione di codice
    (CVE-2017-3042, CVE-2017-3048, CVE-2017-3049, CVE-2017-3055).
  • Questi aggiornamenti risolvono vulnerabilità di corruzione della memoria che potrebbero provocare l'esecuzione di codice
    (CVE-2017-3015, CVE-2017-3017, CVE-2017-3018, CVE-2017-3019, CVE-2017-3023, CVE-2017-
    3024, CVE-2017-3025, CVE-2017-3028, CVE-2017-3030, CVE-2017-3036, CVE-2017-3037, CVE-
    2017-3038, CVE-2017-3039, CVE-2017-3040, CVE-2017-3041, CVE-2017-3044, CVE-2017-3050,
    CVE-2017-3051, CVE-2017-3054, CVE-2017-3056, CVE-2017-3065).
  • Questi aggiornamenti risolvono vulnerabilità di sovraccarico di valori integer che potrebbero provocare l'esecuzione di codice (CVE-
    2017-3011, CVE-2017-3034).
  • Questi aggiornamenti risolvono vulnerabilità di corruzione della memoria che potrebbero provocare la perdita dell'indirizzo di
    memoria (CVE-2017-3020, CVE-2017-3021, CVE-2017-3022, CVE-2017-3029, CVE-2017-3031, CVE-
    2017-3032, CVE-2017-3033, CVE-2017-3043, CVE-2017-3045, CVE-2017-3046, CVE-2017-3052,
    CVE-2017-3053).
  • Questi aggiornamenti risolvono vulnerabilità nel percorso di ricerca nelle directory utilizzato per trovare le risorse che
    potrebbero provocare l'esecuzione di codice (CVE-2017-3012, CVE-2017-3013).

Ringraziamenti

Adobe desidera ringraziare i singoli e le organizzazioni seguenti per la collaborazione e per aver segnalato i
problemi specifici, contribuendo così a proteggere la sicurezza dei nostri clienti:

  • Nicolas Gregoire - Agarri, in collaborazione con Zero Day Initiative di Trend Micro (CVE-2017-3031)
  • Weizhong Qian, Fuhao Li e Huinian Yang del Neklab di ART&UESTC (CVE-2017-3037)
  • Segnalazione anonima tramite iDefense Vulnerability Contributor (VCP) Program (CVE-2017-3014,
    CVE-2017-3027)
  • riusksk (CVE-2017-3039)
  • riusksk, in collaborazione con Zero Day Initiative di Trend Micro (CVE-2017-3040)
  • LiuBenjin del Qihoo360 CodeSafe Team in collaborazione con la Zero Day Initiative di Trend Micro (CVE-2017-
    3055)
  • Nikolas Sotiriu (CVE-2017-3013)
  • Kean Team in collaborazione con la Zero Day Initiative di Trend Micro (CVE-2017-3056, CVE-2017-3057)
  • Toan Pham Van (@__suto) (CVE-2017-3041)
  • AbdulAziz Hariri della Zero Day Initiative di Trend Micro e Steven Seeley (mr_me) di Offensive
    Security in collaborazione con la Zero Day Initiative di Trend Micro (CVE-2017-3042)
  • AbdulAziz Hariri della Zero Day Initiative di Trend Micro (CVE-2017-3043)
  • Ashfaq Ansari - Project Srishti tramite l'iDefense Vulnerability Contributor Program (VCP) (CVE-2017-
    3038)
  • Steven Seeley (mr_me) di Offensive Security (CVE-2017-3026, CVE-2017-3054)
  • kimyok del Tencent Security Platform Department (CVE-2017-3017, CVE-2017-3018, CVE-2017-3024, CVE-2017-3025, CVE-2017-3065)
  • kdot in collaborazione con la Zero Day Initiative di Trend Micro (CVE-2017-3019)
  • GRIMM (CVE-2017-3030)
  • Steven Seeley (mr_me) di Offensive Security, in collaborazione con Zero Day Initiative di Trend Micro
    (CVE-2017-3047, CVE-2017-3049)
  • Steven Seeley (mr_me) di Offensive Security, in collaborazione con Zero Day Initiative di Trend Micro e Ke Liu di Xuanwu LAB di Tencent (CVE-2017-3050)
  • Ke Liu del Xuanwu LAB di Tencent (CVE-2017-3012, CVE-2017-3015)
  • soiax in collaborazione con la Zero Day Initiative di Trend Micro (CVE-2017-3022)
  • Sebastian Apelt (Siberas), in collaborazione con Zero Day Initiative di Trend Micro (CVE-2017-3034, CVE-
    2017-3035)
  • Ke Liu del Xuanwu LAB di Tencent in collaborazione con la Zero Day Initiative di Trend Micro (CVE-2017-3020,
    CVE-2017-3021, CVE-2017-3023, CVE-2017-3028, CVE-2017-3036, CVE-2017-3048, CVE-2017-
    3051, CVE-2017-3052, CVE-2017-3053)
  • Jun Mao di Tencent PC Manager tramite GeekPwn (CVE-2017-3011)
  • Giwan Go di STEALIEN in collaborazione con la Zero Day Initiative di Trend Micro (CVE-2017-3029, CVE-
    2017-3032, CVE-2017-3033, CVE-2017-3044, CVE-2017-3045, CVE-2017-3046)

Revisioni

27 aprile 2017: è stato aggiornato il riferimento alla vulnerabilità CVE-2017-3050, inavvertitamente omessa dal bollettino.

11 maggio 2017: è stato aggiornato il riferimento alla vulnerabilità CVE-2017-3040, inavvertitamente omessa dal bollettino.