Aggiornamenti di sicurezza disponibili per Adobe Acrobat e Reader | APSB18-09
ID bollettino Data di pubblicazione Priorità
APSB18-09 14 maggio 2018 1

Riepilogo

Adobe ha rilasciato aggiornamenti di sicurezza per Adobe Acrobat e Reader per Windows e MacOS. Questi aggiornamenti risolvono vulnerabilità critiche le quali, se sfruttate, potrebbero causare l'esecuzione del codice arbitrario nel contesto dell'utente corrente.

È stata segnalata ad Adobe la presenza di un exploit della vulnerabilità CVE-2018-4990.  Inoltre, il codice del modello di verifica per CVE-2018-4993 è stato pubblicato e reso disponibile su larga scala.  

Versioni interessate

Prodotto Track Versioni interessate Piattaforma
Acrobat DC  Utenti privati 2018.011.20038 e versioni precedenti 
Windows e MacOS
Acrobat Reader DC  Utenti privati 2018.011.20038 e versioni precedenti 
Windows e MacOS
       
Acrobat 2017 Classic 2017 2017.011.30079 e versioni precedenti Windows e MacOS
Acrobat Reader 2017 Classic 2017 2017.011.30079 e versioni precedenti Windows e MacOS
       
Acrobat DC  Classic 2015 2015.006.30417 e versioni precedenti
Windows e MacOS
Acrobat Reader DC  Classic 2015 2015.006.30417 e versioni precedenti
Windows e MacOS

Per ulteriori informazioni su Acrobat DC, visitate la pagina con le Domande Frequenti su Acrobat DC.

Per ulteriori informazioni su Acrobat Reader DC, visitate la pagina con le Domande Frequenti su Acrobat Reader DC.

Soluzione

Adobe consiglia agli utenti di aggiornare i software installati alle versioni più recenti seguendo le istruzioni riportate di seguito.
Le ultime versioni dei prodotti sono a disposizione degli utenti finali mediante uno dei seguenti metodi:

  • Gli utenti possono aggiornare manualmente i prodotti installati selezionando Aiuto > Verifica aggiornamenti.
  • I prodotti verranno aggiornati automaticamente non appena saranno rilevati nuovi aggiornamenti, senza l'intervento
    dell'utente.
  • È possibile scaricare il programma di installazione completo di Acrobat Reader dal Centro di download di Acrobat Reader.

Per gli amministratori IT (ambienti gestiti):

  • Scaricate i programmi di installazione enterprise da ftp://ftp.adobe.com/pub/adobe/ o fate riferimento alla versione specifica delle note sulla versione per i collegamenti ai programmi di installazione.
  • Installate gli aggiornamenti utilizzando il metodo che preferite, ad esempio AIP-GPO, il programma di avvio automatico, SCUP/SCCM
    (su Windows) oppure Apple Remote Desktop e SSH (su Macintosh).

Adobe classifica questi aggiornamenti in base ai seguenti livelli di priorità e consiglia agli utenti interessati di aggiornare la propria installazione alla versione più recente:

Prodotto Versioni aggiornate Piattaforma Livello di priorità Disponibilità
Acrobat DC 2018.011.20040
Windows e MacOS 1 Windows
MacOS
Acrobat Reader DC 2018.011.20040
Windows e MacOS 1 Windows
MacOS
         
Acrobat 2017 2017.011.30080 Windows e MacOS 1 Windows
MacOS
Acrobat Reader DC 2017 2017.011.30080 Windows e MacOS 1 Windows
MacOS
         
Acrobat Reader DC (Classic 2015) 2015.006.30418
Windows e MacOS
1 Windows
MacOS
Acrobat DC (Classic 2015) 2015.006.30418 Windows e MacOS 1 Windows
MacOS

Nota:

Come indicato in questo annuncio precedente, il supporto per Adobe Acrobat 11.x e Adobe Reader 11.x è stato sospeso il 15 ottobre 2017.La versione 11.0.23 è la versione finale di Adobe Acrobat 11.x e Adobe Reader 11.x. Adobe consiglia vivamente di eseguire l'aggiornamento alle versioni più recenti di Adobe Acrobat DC e Adobe Acrobat Reader DC. L'aggiornamento delle installazioni alle versioni più recenti consente di accedere agli ultimi miglioramenti delle funzioni e a misure di protezione ottimizzate.

Dettagli della vulnerabilità

Categoria della vulnerabilità Impatto della vulnerabilità Gravità Codice CVE
Vulnerabilità double-free
Esecuzione di codice arbitrario Critica CVE-2018-4990
Sovraccarico dell'heap
Esecuzione di codice arbitrario
Critica

CVE-2018-4947, CVE-2018-4948, CVE-2018-4966, CVE-2018-4968, CVE-2018-4978, CVE-2018-4982, CVE-2018-4984

Use-after-free 
Esecuzione di codice arbitrario
Critica CVE-2018-4996, CVE-2018-4952, CVE-2018-4954, CVE-2018-4958, CVE-2018-4959, CVE-2018-4961, CVE-2018-4971, CVE-2018-4974, CVE-2018-4977, CVE-2018-4980, CVE-2018-4983, CVE-2018-4988, CVE-2018-4989 
Scritture fuori limite 
Esecuzione di codice arbitrario
Critica CVE-2018-4950 
Aggiramento della protezione Divulgazione di informazioni Importante CVE-2018-4979
Lettura fuori limite Divulgazione di informazioni Importante CVE-2018-4949, CVE-2018-4951, CVE-2018-4955, CVE-2018-4956, CVE-2018-4957, CVE-2018-4960, CVE-2018-4962, CVE-2018-4963, CVE-2018-4964, CVE-2018-4967, CVE-2018-4969, CVE-2018-4970, CVE-2018-4972, CVE-2018-4973, CVE-2018-4975, CVE-2018-4976, CVE-2018-4981, CVE-2018-4986, CVE-2018-4985
Confusione del tipo di oggetto Esecuzione di codice arbitrario Critica CVE-2018-4953
Riferimento a un puntatore non affidabile  Esecuzione di codice arbitrario Critica CVE-2018-4987
Corruzione della memoria Divulgazione di informazioni Importante CVE-2018-4965
"Furto" di hash SSO NTLM Divulgazione di informazioni Importante CVE-2018-4993
Attacco di tipo iniezione della nuova linea di HTTP POST tramite l'invio di form XFA Aggiramento della protezione Importante CVE-2018-4995

Nota:

Fare riferimento a questo articolo della Knowledge Base per ulteriori informazioni sulla mitigazione di CVE-2018-4993.  Per gli amministratori è disponibile una mitigazione supplementare per CVE-2018-4993 che consente di bloccare le azioni di apertura dei collegamenti nei file PDF, tra cui GoToE, GoToR, Avvio, Thread, Importa dati, Esporta dati modulo, Invia modulo e Reimposta modulo. Per ulteriori informazioni, consultare la documentazione.

Ringraziamenti

Adobe desidera ringraziare i singoli e le organizzazioni seguenti per la collaborazione e per aver segnalato i
problemi specifici, contribuendo così a proteggere la sicurezza dei nostri clienti:

  • Aleksandar Nikolic di Cisco Talos (CVE-2018-4996, CVE-2018-4947)
  • Anton Cherepanov, ESET e Matt Oh, Microsoft (CVE-2018-4990)
  • Vladislav Stolyarov di Kaspersky Lab (CVE-2018-4988, CVE-2018-4987)
  • Yoav Alon e Netanel Ben-Simon di Check Point Software Technologies (CVE-2018-4985)
  • Gal De Leon di Palo Alto Networks (CVE-2018-4959, CVE-2018-4961)
  • Ke Liu del Xuanwu LAB di Tencent (CVE-2018-4960, CVE-2018-4986)
  • Segnalazione anonima tramite la Zero Day Initiative di Trend Micro (CVE-2018-4950, CVE-2018-4951, CVE-2018-4952, CVE-2018-4953, CVE-2018-4954, CVE-2018-4962, CVE-2018-4974)
  • WillJ di Tencent PC Manager tramite la Zero Day Initiative di Trend Micro (CVE-2018-4948, CVE-2018-4949, CVE-2018-4955, CVE-2018-4971, CVE-2018-4973)
  • Riusksk del Security Platform Department di Tencent tramite la Zero Day Initiative di Trend Micro (CVE-2018-4956, CVE-2018-4957)
  • Steven Seeley tramite la Zero Day Initiative di Trend Micro (CVE-2018-4963, CVE-2018-4964, CVE-2018-4965, CVE-2018-4966, CVE-2018-4968, CVE-2018-4969)
  • Ke Liu di Xuanwu LAB di Tencent tramite la Zero Day Initiative di Trend Micro (CVE-2018-4967, CVE-2018-4970, CVE-2018-4972, CVE-2018-4975, CVE-2018-4976, CVE-2018-4978, CVE-2018-4981, CVE-2018-4982)
  • Sebastian Apelt di Siberas tramite la Zero Day Initiative di Trend Micro (CVE-2018-4977)
  • AbdulAziz Hariri tramite la Zero Day Initiative di Trend Micro (CVE-2018-4979, CVE-2018-4980, CVE-2018-4984)
  • Hui Gao di Palo Alto Networks e Heige (noto anche come SuperHei) dal Knownsec 404 Security Team (CVE-2018-4958, CVE-2018-4983)
  • Cybellum Technologies LTD (CVE-2018-4989)
  • Alex di Cure53 (CVE-2018-4995)
  • Assaf Baharav, Yaron Fruchtmann e Ido Solomon di Check Point Software Technologies (CVE-2018-4993)

Revisioni

15 maggio 2018: lingua aggiunta per informare gli utenti che esiste un exploit per CVE-2018-4990 e che il codice del modello di verifica per CVE-2018-4985 è stato pubblicato e reso disponibile su larga scala. Aggiunta del codice CVE-2018-4995 in sostituzione del codice CVE-2018-4994, già assegnato a una vulnerabilità non correlata in Adobe Connect. Infine, aggiunta del codice CVE-2018-4996 in sostituzione di CVE-2018-4946, già assegnato a una vulnerabilità non correlata in Adobe Photoshop.

16 maggio 2018: sezione di riepilogo corretta sostituendo CVE-2018-4985 con CVE-2018-4993.  Il codice del modello di verifica è disponibile su larga scala per CVE-2018-4993, ma non per CVE-2018-4985. 

17 maggio 2018: aggiunta di un collegamento alla documentazione relativa a una mitigazione supplementare per CVE-2018-4993, che impedisce l'apertura dei collegamenti nei documenti PDF.