Avviso di sicurezza preliminare per Adobe Acrobat e Reader

Cerca

Ultimo aggiornamento il 16 gen 2023

Avviso di sicurezza preliminare per Adobe Acrobat e Reader | APSB23-01

ID bollettino	Data di pubblicazione	Priorità
Avviso di sicurezza preliminare per Adobe Acrobat e Reader  \| APSB23-01	10 gennaio 2023	3

Riepilogo

Adobe ha in programma di rilasciare aggiornamenti di sicurezza per Adobe Acrobat e Reader per Windows e macOS il 10 gennaio 2023.

Per rimanere aggiornati sulle informazioni più recenti, gli utenti possono consultare il pagina web di Adobe Product Security Incident Response Team (PSIRT), disponibile alla pagina https://helpx.adobe.com/it/security.html

(Nota: a seguito del rilascio degli aggiornamenti, questo avviso preliminare di sicurezza verrà sostituito dal bollettino sulla sicurezza).                  

Versioni interessate

Questi aggiornamenti risolvono vulnerabilità  critiche e importanti. Se sfruttate, tali vulnerabilità potrebbero causare una negazione del servizio dell'applicazione, esecuzione di codice arbitrario e una perdita di memoria.

Adobe assegnerà le seguenti classificazioni in termini di priorità a questi aggiornamenti:

Prodotto	Track	Versioni interessate	Piattaforma
Acrobat DC	Continuous	22.003.20282 (Win), 22.003.20281 (Mac) e versioni precedenti	Windows e macOS
Acrobat Reader DC	Continuous	22.003.20282 (Win), 22.003.20281 (Mac) e versioni precedenti	Windows e macOS

Acrobat 2020	Classic 2020	20.005.30418 e versioni precedenti	Windows e macOS
Acrobat Reader 2020	Classic 2020	20.005.30418 e versioni precedenti	Windows e macOS

Per domande su Acrobat DC, visitate la pagina con le Domande Frequenti su Acrobat DC.

Per ulteriori informazioni su Adobe Acrobat DC, visita il sito https://helpx.adobe.com/it/acrobat/faq.html.

--Per ulteriori informazioni su Adobe Acrobat Reader DC, visitare il sito https://helpx.adobe.com/it/reader/faq.html.

Soluzione

Adobe consiglia agli utenti di aggiornare i software installati alle versioni più recenti seguendo le istruzioni riportate di seguito.    

Le ultime versioni dei prodotti sono a disposizione degli utenti finali mediante uno dei seguenti metodi:    

Gli utenti possono aggiornare manualmente i prodotti installati selezionando Aiuto > Verifica aggiornamenti.     
I prodotti verranno aggiornati automaticamente non appena saranno rilevati nuovi aggiornamenti, senza l'intervento dell'utente.     
È possibile scaricare il programma di installazione completo di Acrobat Reader dal Centro di download di Acrobat Reader.

Per gli amministratori IT (ambienti gestiti):     

Consultare la versione della nota di rilascio specifica per link ai programmi di installazione.     
Installate gli aggiornamenti utilizzando il metodo che preferite, ad esempio AIP-GPO, il programma di avvio automatico, SCUP/SCCM (su Windows) oppure Apple Remote Desktop e SSH (su macOS).

Adobe classifica questi aggiornamenti in base ai seguenti livelli di priorità e consiglia agli utenti interessati di aggiornare la propria installazione alla versione più recente:   

Prodotto	Track	Versioni aggiornate	Piattaforma	Livello di priorità	Disponibilità
Acrobat DC	Continuous	22.003.20310	Windows e macOS	3	Note sul rilascio
Acrobat Reader DC	Continuous	22.003.20310	Windows e macOS	3	Note sul rilascio

Acrobat 2020	Classic 2020	20.005.30436	Windows e macOS	3	Note sul rilascio
Acrobat Reader 2020	Classic 2020	20.005.30436	Windows  e macOS	3	Note sul rilascio

Dettagli della vulnerabilità

Categoria della vulnerabilità	Impatto della vulnerabilità	Gravità	Punteggio base CVSS	Vettore CVSS	Codice CVE
Sovraccarico intero o a capo (CWE-190)	Esecuzione di codice arbitrario	Critica	7.8	CVSS:3.1/AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H	CVE-2023-21579
Lettura fuori dai limiti (CWE-125)	Perdita di memoria	Importante	5.5	CVSS:3.1/AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:N/A:N	CVE-2023-21581
Lettura fuori dai limiti (CWE-125)	Perdita di memoria	Importante	5.5	CVSS:3.1/AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:N/A:N	CVE-2023-21585
Riferimento puntatore NULL (CWE-476)	Negazione del servizio dell'applicazione	Importante	5.5	CVSS:3.1/AV:L/AC:L/PR:N/UI:R/S:U/C:N/I:N/A:H	CVE-2023-21586
Overflow buffer basato su stack (CWE-121)	Esecuzione di codice arbitrario	Critica	7.8	CVSS:3.1/AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H	CVE-2023-21604
Overflow buffer basato su stack (CWE-122)	Esecuzione di codice arbitrario	Critica	7.8	CVSS:3.1/AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H	CVE-2023-21605
Scrittura fuori limite (CWE-787)	Esecuzione di codice arbitrario	Critica	7.8	CVSS:3.1/AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H	CVE-2023-21606
Convalida dell'input non corretta (CWE-20)	Esecuzione di codice arbitrario	Critica	7.8	CVSS:3.1/AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H	CVE-2023-21607
Use After Free (CWE-416)	Esecuzione di codice arbitrario	Critica	7.8	CVSS:3.1/AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H	CVE-2023-21608
Scrittura fuori limite (CWE-787)	Esecuzione di codice arbitrario	Critica	7.8	CVSS:3.1/AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H	CVE-2023-21609
Overflow buffer basato su stack (CWE-121)	Esecuzione di codice arbitrario	Critica	7.8	CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:L/A:N	CVE-2023-21610
Violazione dei principi di progettazione sicura (CWE-657)	Acquisizione illecita di privilegi	Importante	6.4	CVSS:3.1/AV:N/AC:H/PR:H/UI:R/S:U/C:H/I:H/A:H	CVE-2023-21611
Violazione dei principi di progettazione sicura (CWE-657)	Acquisizione illecita di privilegi	Importante	5.6	CVSS:3.1/AV:L/AC:H/PR:H/UI:R/S:U/C:H/I:H/A:N	CVE-2023-21612
Lettura fuori dai limiti (CWE-125)	Perdita di memoria	Importante	5.5	CVSS:3.1/AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:N/A:N	CVE-2023-21613
Lettura fuori dai limiti (CWE-125)	Perdita di memoria	Importante	5.5	CVSS:3.1/AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H	CVE-2023-21614

Ringraziamenti

Adobe desidera ringraziare i ricercatori seguenti per la collaborazione e per aver segnalato i problemi specifici, contribuendo così a proteggere la sicurezza dei nostri clienti:  

0x1byte in collaborazione con la Zero Day Initiative di Trend Micro - CVE-2023-21579, CVE-2023-21581, CVE-2023-21605
Koh M. Nakagawa (Ko Kato) (tsunekoh) - CVE-2023-21611, CVE-2023-21612
Mat Powell with Trend Micro Zero Day Initiative - CVE-2023-21585, CVE-2023-21606, CVE-2023-21607, CVE-2023-21613, CVE-2023-21614
KMFL (kmfl) - CVE-2023-21586
Utente anonimo in collaborazione con la Trend Micro Zero Day Initiative - CVE-2023-21609
Vancir (vancir) - CVE-2023-21610
Ashfaq Ansari e Krishnakant Patil - HackSys Inc in collaborazione con Zero Day Initiative di Trend Micro- CVE-2023-21608