Boletín de seguridad de Adobe

Fecha de publicación: 7 de enero de 2016

Última actualización: 27 de abril de 2016

Identificador de vulnerabilidad: APSB16-02

Prioridad: Consulta la tabla que aparece a continuación

Números CVE:  CVE-2016-0931, CVE-2016-0932, CVE-2016-0933, CVE-2016-0934, CVE-2016-0935, CVE-2016-0936, CVE-2016-0937, CVE-2016-0938, CVE-2016-0939, CVE-2016-0940, CVE-2016-0941, CVE-2016-0942, CVE-2016-0943, CVE-2016-0944, CVE-2016-0945, CVE-2016-0946, CVE-2016-0947, CVE-2016-1111

Plataforma: Windows y Macintosh

Resumen

Adobe ha publicado actualizaciones de seguridad para Adobe Acrobat y Reader para Windows y Macintosh. Estas actualizaciones solucionan vulnerabilidades importantes que podrían permitir que un intruso se hiciera con el control del sistema afectado.

Versiones afectadas

Nota: De acuerdo con esta entrada de blog, Adobe Acrobat X y Adobe Reader X ya no son compatibles.  Adobe recomienda a los usuarios instalar Adobe Acrobat DC y Adobe Acrobat Reader DC para las últimas funciones y actualizaciones de seguridad.

Para preguntas acerca de Acrobat DC, visita la página de preguntas frecuentes sobre Acrobat DC. Si tienes preguntas acerca de Acrobat Reader DC, visita la página de preguntas frecuentes de Acrobat Reader DC.   

Solución

Adobe recomienda que los usuarios sigan las instrucciones que se indican a continuación para actualizar sus instalaciones de software a la última versión.

Las últimas versiones de productos están disponibles para los usuarios finales mediante uno de los métodos siguientes: 

• Los usuarios pueden actualizar manualmente la instalación de sus productos seleccionando Ayuda > Buscar actualizaciones. 
• Los productos se actualizan automáticamente cuando se detecten las actualizaciones sin que se requiere la intervención del usuario. 
• El asistente de instalación completo de Acrobat Reader se puede descargar en el Centro de descargas de Acrobat Reader. 

Para los administradores de TI (entornos administrados):

• Descarga los asistentes de instalación en la página ftp://ftp.adobe.com/pub/adobe/ o consulta la versión específica de la nota de lanzamiento para acceder a los enlaces de los asistentes de instalación. 
• Instala actualizaciones según tu sistema preferido, como AIP-GPO, bootstrapper y SCUP/SCCM en Windows, o Apple Remote Desktop y SSH en Macintosh.

Detalles sobre la vulnerabilidad

• Estas actualizaciones solucionan vulnerabilidades de uso posterior a su liberación que podrían provocar la ejecución de código (CVE-2016-0932, CVE-2016-0934, CVE-2016-0937, CVE-2016-0940, CVE-2016-0941). 
• Estas actualizaciones solucionan una vulnerabilidad de doble liberación de memoria que podría provocar la ejecución de código (CVE-2016-0935, CVE-2016-1111). 
• Estas actualizaciones solucionan vulnerabilidades de daños de memoria que podrían provocar la ejecución de código (CVE-2016-0931, CVE-2016-0933, CVE-2016-0936, CVE-2016-0938, CVE-2016-0939, CVE-2016-0942, CVE-2016-0944, CVE-2016-0945, CVE-2016-0946). 
• Estas actualizaciones solucionan un método que evitan restricciones en la ejecución de la API de Javascript (CVE-2016-0943).
• Una actualización de Adobe Download Manager soluciona una vulnerabilidad en la ruta de búsqueda del directorio que se utiliza para buscar recursos que podrían provocar la ejecución de código (CVE-2016-0947).
  

Reconocimientos

Adobe desea dar las gracias a las siguientes personas y organizaciones por informar de problemas relevantes y por colaborar con Adobe para ayudarnos a proteger la seguridad de nuestros clientes:

• AbdulAziz Hariri, de la Iniciativa Zero Day Initiative de HPE (CVE-2016-0932, CVE-2016-0937, CVE-2016-0943)
• AbdulAziz Hariri y Jasiel Spelman, de la iniciativa Zero Day Initiative de HPE (CVE-2016-0941)
• Behzad Najjarpour Jabbari, Secunia Research en el software Flexera (CVE-2016-0940)
• Brian Gorenc, de la iniciativa Zero Day Initiative de HPE (CVE-2016-0931)
• Chris Navarrete, de Fortinet FortiGuard Labs (CVE-2016-0942)
• Jaanus Kp, de Clarified Security, que colabora con la iniciativa Zero Day Initiative de HP (CVE-2016-0936, CVE-2016-0938, CVE-2016-0939)
• kdot, que trabaja con la iniciativa Zero Day Initiative de HP (CVE-2016-0934, CVE-2016-0935, CVE-2016-1111)
• Linan Hao, del equipo Qihoo 360 Vulcan (CVE-2016-0944, CVE-2016-0945, CVE-2016-0946)
• Mahinthan Chandramohan, Wei Lei y Liu Yang, que colaboran con el Vulnerability Contributor Program de iDefense (CVE-2016-0933)
• Notificado de forma independiente por Vladimir Dubrovin, Eric Lawrence y Ke Liu de Tencent's Xuanwu LAB (CVE-2016-0947)
  

Revisiones

27 de abril de 2016: se ha añadido CVE-2016-1111, que no se había incluido en la versión original de este boletín.