Aggiornamento di sicurezza disponibile per Adobe Acrobat e Reader | APSB17-24
ID bollettino Data di pubblicazione Priorità
APSB17-24 8 agosto 2017 2

Adobe ha rilasciato aggiornamenti di sicurezza per Adobe Acrobat e Reader per Windows e Macintosh. Questi aggiornamenti risolvono vulnerabilità critiche e importanti che potrebbero consentire a eventuali aggressori di assumere il controllo del sistema interessato. 

Versioni interessate

Questi aggiornamenti risolvono vulnerabilità critiche all'interno del software. Adobe assegnerà le seguenti classificazioni di priorità a questi aggiornamenti:

Prodotto Versioni interessate Piattaforma
Acrobat DC (Traccia continua) 2017.009.20058 e versioni precedenti
Windows e Macintosh
Acrobat Reader DC (Traccia continua) 2017.009.20058 e versioni precedenti
Windows e Macintosh
     
Acrobat 2017 2017.008.30051 e versioni precedenti Windows e Macintosh
Acrobat Reader 2017 2017.008.30051 e versioni precedenti Windows e Macintosh
     
Acrobat DC (Traccia classica) 2015.006.30306 e versioni precedenti
Windows e Macintosh
Acrobat Reader DC (Traccia classica) 2015.006.30306 e versioni precedenti
Windows e Macintosh
     
Acrobat XI 11.0.20 e versioni precedenti Windows e Macintosh
Reader XI 11.0.20 e versioni precedenti Windows e Macintosh

Per ulteriori informazioni su Acrobat DC, visitate la pagina con le Domande Frequenti su Acrobat DC.

Per ulteriori informazioni su Acrobat Reader DC, visitate la pagina con le Domande Frequenti su Acrobat Reader DC.

Soluzione

Adobe consiglia agli utenti di aggiornare i software installati alle versioni più recenti seguendo le istruzioni riportate
di seguito.
Le ultime versioni dei prodotti sono a disposizione degli utenti finali mediante uno dei seguenti metodi:

  • Gli utenti possono aggiornare manualmente i prodotti installati selezionando Aiuto > Verifica aggiornamenti.
  • I prodotti verranno aggiornati automaticamente non appena saranno rilevati nuovi aggiornamenti, senza l'intervento
    dell'utente.
  • È possibile scaricare il programma di installazione completo di Acrobat Reader dal Centro di download di Acrobat Reader.

Per gli amministratori IT (ambienti gestiti):

  • Scaricate i programmi di installazione enterprise da ftp://ftp.adobe.com/pub/adobe/ o fate riferimento alla versione specifica delle note sulla versione per i collegamenti ai programmi di installazione.
  • Installate gli aggiornamenti utilizzando il metodo che preferite, ad esempio AIP-GPO, il programma di avvio automatico, SCUP/SCCM
    (su Windows) oppure Apple Remote Desktop e SSH (su Macintosh).

Adobe classifica questi aggiornamenti in base ai seguenti livelli di priorità e consiglia agli utenti interessati di aggiornare la propria installazione alla versione più recente:

Prodotto Versioni aggiornate Piattaforma Livello di priorità Disponibilità
Acrobat DC (Traccia continua) 2017.012.20098
Windows e Macintosh 2 Windows
Macintosh
Acrobat Reader DC (Traccia continua) 2017.012.20098 Windows e Macintosh 2 Centro di download
         
Acrobat 2017 2017.011.30066 Windows e Macintosh 2 Windows
Macintosh
Acrobat Reader 2017 2017.011.30066 Windows e Macintosh 2 Windows
Macintosh
         
Acrobat DC (Traccia classica) 2015.006.30355
Windows e Macintosh
2 Windows
Macintosh
Acrobat Reader DC (Traccia classica) 2015.006.30355 
Windows e Macintosh 2 Windows
Macintosh
         
Acrobat XI 11.0.21 Windows e Macintosh 2 Windows
Macintosh
Reader XI 11.0.21 Windows e Macintosh 2 Windows
Macintosh

Nota:

La versione 11.0.22 è disponibile per gli utenti interessati dalla regressione funzionale nei moduli XFA introdotti nella versione 11.0.21 (vedere qui per ulteriori informazioni).  Sia la versione 11.0.22 sia la versione 11.0.21 consentono di risolvere tutte le vulnerabilità della sicurezza segnalate nel presente bollettino.    

Dettagli della vulnerabilità

Categoria della vulnerabilità Impatto della vulnerabilità Gravità Codici CVE
Corruzione della memoria Esecuzione di codice remoto Critico CVE-2017-3016
Corruzione della memoria Esecuzione di codice remoto Critico CVE-2017-3038
Use-after-free Esecuzione di codice remoto Critico CVE-2017-3113
Verifica di autenticità dei dati insufficiente Divulgazione di informazioni Importante CVE-2017-3115
Corruzione della memoria Esecuzione di codice remoto Critico CVE-2017-3116
Sovraccarico dell'heap Esecuzione di codice remoto Critico CVE-2017-3117
Aggiramento della protezione Divulgazione di informazioni Importante CVE-2017-3118
Corruzione della memoria Esecuzione di codice remoto Importante CVE-2017-3119
Use-after-free Esecuzione di codice remoto Critico CVE-2017-3120
Sovraccarico dell'heap Esecuzione di codice remoto Critico CVE-2017-3121
Corruzione della memoria Divulgazione di informazioni Importante CVE-2017-3122
Corruzione della memoria Esecuzione di codice remoto Critico CVE-2017-3123
Corruzione della memoria Esecuzione di codice remoto Critico CVE-2017-3124
Corruzione della memoria Divulgazione di informazioni Importante CVE-2017-11209
Corruzione della memoria Divulgazione di informazioni Importante CVE-2017-11210
Sovraccarico dell'heap Esecuzione di codice remoto Critico CVE-2017-11211
Corruzione della memoria Esecuzione di codice remoto Critico CVE-2017-11212
Corruzione della memoria Esecuzione di codice remoto Critico CVE-2017-11214
Corruzione della memoria Esecuzione di codice remoto Critico CVE-2017-11216
Corruzione della memoria Divulgazione di informazioni Importante CVE-2017-11217
Use-after-free Esecuzione di codice remoto Critico CVE-2017-11218
Use-after-free Esecuzione di codice remoto Critico CVE-2017-11219
Sovraccarico dell'heap Esecuzione di codice remoto Critico CVE-2017-11220
Confusione del tipo di oggetto Esecuzione di codice remoto Critico CVE-2017-11221
Corruzione della memoria Esecuzione di codice remoto Critico CVE-2017-11222
Use-after-free Esecuzione di codice remoto Critico CVE-2017-11223
Use-after-free Esecuzione di codice remoto Critico CVE-2017-11224
Corruzione della memoria Esecuzione di codice remoto Critico CVE-2017-11226
Corruzione della memoria Esecuzione di codice remoto Critico CVE-2017-11227
Corruzione della memoria Esecuzione di codice remoto Critico CVE-2017-11228
Aggiramento della protezione Esecuzione di codice remoto Importante CVE-2017-11229
Corruzione della memoria Divulgazione di informazioni Importante CVE-2017-11230
Use-after-free Esecuzione di codice remoto Critico CVE-2017-11231
Use-after-free Divulgazione di informazioni Importante CVE-2017-11232
Corruzione della memoria Divulgazione di informazioni Importante CVE-2017-11233
Corruzione della memoria Esecuzione di codice remoto Critico CVE-2017-11234
Use-after-free Esecuzione di codice remoto Critico CVE-2017-11235
Corruzione della memoria Divulgazione di informazioni Importante CVE-2017-11236
Corruzione della memoria Esecuzione di codice remoto Critico CVE-2017-11237
Corruzione della memoria Divulgazione di informazioni Critico CVE-2017-11238
Corruzione della memoria Divulgazione di informazioni Critico CVE-2017-11239
Sovraccarico dell'heap Esecuzione di codice remoto Critico CVE-2017-11241
Corruzione della memoria Divulgazione di informazioni Importante CVE-2017-11242
Corruzione della memoria Divulgazione di informazioni Importante CVE-2017-11243
Corruzione della memoria Divulgazione di informazioni Importante CVE-2017-11244
Corruzione della memoria Divulgazione di informazioni Importante CVE-2017-11245
Corruzione della memoria Divulgazione di informazioni Importante CVE-2017-11246
Corruzione della memoria Divulgazione di informazioni Importante CVE-2017-11248
Corruzione della memoria Divulgazione di informazioni Importante CVE-2017-11249
Corruzione della memoria Esecuzione di codice remoto Critico CVE-2017-11251
Corruzione della memoria Divulgazione di informazioni Critico CVE-2017-11252
Use-after-free Esecuzione di codice remoto Importante CVE-2017-11254
Corruzione della memoria Divulgazione di informazioni Importante CVE-2017-11255
Use-after-free Esecuzione di codice remoto Critico CVE-2017-11256
Confusione del tipo di oggetto Esecuzione di codice remoto Critico CVE-2017-11257
Corruzione della memoria Divulgazione di informazioni Importante CVE-2017-11258
Corruzione della memoria Esecuzione di codice remoto Critico CVE-2017-11259
Corruzione della memoria Esecuzione di codice remoto Critico CVE-2017-11260
Corruzione della memoria Esecuzione di codice remoto Critico CVE-2017-11261
Corruzione della memoria Esecuzione di codice remoto Critico CVE-2017-11262
Corruzione della memoria Esecuzione di codice remoto Importante CVE-2017-11263
Corruzione della memoria Divulgazione di informazioni Importante CVE-2017-11265
Corruzione della memoria Esecuzione di codice remoto Critico CVE-2017-11267
Corruzione della memoria Esecuzione di codice remoto Critico CVE-2017-11268
Corruzione della memoria Esecuzione di codice remoto Critico CVE-2017-11269
Corruzione della memoria Esecuzione di codice remoto Critico CVE-2017-11270
Corruzione della memoria Esecuzione di codice remoto Critico CVE-2017-11271

Nota:

La vulnerabilità CVE-2017-3038 è stata risolta nell'aggiornamento 2017.009.20044 e 2015.006.30306 (release di aprile 2017), ma la correzione era incompleta per la versione 11.0.20. Questa vulnerabilità è stata ora completamente risolta nella versione 11.0.21 (release di agosto 2017).  

Ringraziamenti

Adobe desidera ringraziare i singoli e le organizzazioni seguenti per la collaborazione e per aver segnalato i
problemi specifici, contribuendo così a proteggere la sicurezza dei nostri clienti:

  • @vftable, in collaborazione con Zero Day Initiative di Trend Micro (CVE-2017-11211, CVE-2017-11251)
  • Aleksandar Nikolic di Cisco Talos (CVE-2017-11263)
  • Alex Infuhr di Cure 53 (CVE-2017-11229)
  • Ashfaq Ansari di Project Srishti (CVE-2017-11221)
  • Ashfaq Ansari di Project Srishti, in collaborazione con l'iDefense Vulnerability Contributor Program (CVE-2017-3038)
  • Cybellum Technologies LTD (CVE-2017-3117)
  • Utente anonimo, che ha segnalato la vulnerabilità tramite la Zero Day Initiative di Trend Micro (CVE-2017-3113, CVE-2017-3120, CVE-2017-11218, CVE-2017-11224, CVE-2017-11223)
  • Fernando Munoz, in collaborazione con la Zero Day Initiative di Trend Micro (CVE-2017-3115)
  • Giwan Go di STEALIEN & HIT, in collaborazione con la Zero Day Initiative di Trend Micro (CVE-2017-11228, CVE-2017-11230)
  • Heige (a.k.a. SuperHei) (CVE-2017-11222)
  • Jaanus Kp Clarified Security, in collaborazione con la Zero Day Initiative di Trend Micro (CVE-2017-11236, CVE-2017-11237, CVE-2017-11252, CVE-2017-11231, CVE-2017-11265)
  • Jaanus Kp Clarified Security e Ashfaq Ansari di Project Srishti, in collaborazione con la Zero Day Initiative di Trend Micro (CVE -2017-11231)
  • Jihui Lu di Tencent KeenLab (CVE-2017-3119)
  • kdot, in collaborazione con la Zero Day Initiative di Trend Micro (CVE-2017-11234, CVE-2017-11235, CVE-2017-11271)
  • Ke Liu di Xuanwu LAB di Tencentt, in collaborazione con la Zero Day Initiative di Trend Micro (CVE-2017-3121, CVE-2017-3122, CVE-2017-11212, CVE-2017-11216, CVE-2017-11217, CVE-2017-11238, CVE-2017-11239, CVE-2017-11241, CVE-2017-11242, CVE-2017-11243, CVE-2017-11244, CVE-2017-11245, CVE-2017-11246, CVE-2017-11248, CVE-2017-11249, CVE-2017-11233, CVE-2017-11261, CVE-2017-11260, CVE-2017-11258, CVE-2017-11259, CVE-2017-11267, CVE-2017-11268, CVE-2017-11269, CVE-2017-11259, CVE-2017-11270, CVE-2017-11261)
  • Ke Liu di Xuanwu LAB di Tencent, in collaborazione con la Zero Day Initiative di Trend Micro e Steven Seeley (mr_me) di Offensive Security (CVE-2017-11212, CVE-2017-11214, CVE-2017-11227)
  • Siberas in collaborazione con il programma SecuriTeam Secure Disclosure di Beyond Security (CVE -2017-11254)
  • Richard Warren (CVE-2017-3118)
  • riusksk del Security Platform Department di Tencent (CVE-2017-3016)
  • Sebastian Apelt siberas, in collaborazione con la Zero Day Initiative di Trend Micro (CVE-2017-11219, CVE-2017-11256, CVE-2017-11257)
  • Steven Seeley (mr_me) di Offensive Security, in collaborazione con la Zero Day Initiative di Trend Micro (CVE-2017-11209, CVE-2017-11210, CVE-2017-11232, CVE-2017-11255, CVE-2017-3123, CVE-2017-3124)
  • Steven Seeley, in collaborazione con il SecuriTeam Secure Disclosure Program di Beyond Security (CVE-2017-11220)
  • Steven Seeley (CVE-2017-11262)
  • Sushan (CVE-2017-11226)
  • Toan Pham (CVE-2017-3116)

Revisioni

29 agosto 2017: la tabella delle soluzioni è stata aggiornata per riflettere i nuovi aggiornamenti disponibili dal 29 agosto.  Questi aggiornamenti risolvono una regressione funzionale relativa alla funzionalità dei moduli XFA che ha interessato alcuni utenti.  Anche le release del 29 agosto risolvono la vulnerabilità della sicurezza CVE-2017-11223.  

La vulnerabilità CVE-2017-11223 è stata risolta negli aggiornamenti in data 8 agosto (versioni 2017.012.20093, 2017.011.30059 e 2015.006.30352), ma a causa di una regressione funzionale in tali release, sono stati offerti aggiornamenti rapidi temporanei che hanno annullato la correzione per CVE -2017-11223. Le release del 29 agosto risolvono entrambe la regressione e forniscono una correzione per la vulnerabilità CVE -2017-11223. Vedere il post sul blog per ulteriori dettagli.