Adobe 安全公告

Adobe 安全公告

搜索
用户指南

某些 Creative Cloud 应用程序、服务和功能在中国不可用。

Adobe Reader 和 Acrobat 的可用安全更新

发布日期：2014 年 12 月 9 日

漏洞标识符：APSB14-28

优先级：请参见下表

CVE 编号：CVE-2014-9165、CVE-2014-8445、CVE-2014-9150、CVE-2014-8446、CVE-2014-8447、CVE-2014-8448、CVE-2014-8449、CVE-2014-8451、CVE-2014-8452、CVE-2014-8453、CVE-2014-8454、CVE-2014-8455、CVE-2014-8456、CVE-2014-8457、CVE-2014-8458、CVE-2014-8459、CVE-2014-8460、CVE-2014-8461、CVE-2014-9158、CVE-2014-9159

平台：Windows 和 Macintosh

摘要

Adobe 已为 Windows 和 Macintosh 操作系统上的 Adobe Reader 和 Acrobat 发布了安全更新。这些更新修复了可能允许攻击者接管受影响系统的漏洞。Adobe 建议用户将其安装的产品更新至最新版本：

  • 使用 Adobe Reader XI (11.0.09) 及更早版本的用户应将软件更新至版本 11.0.10。
  • 使用 Adobe Reader X (10.1.12) 及更早版本的用户应将软件更新至版本 10.1.13。
  • 使用 Adobe Acrobat XI (11.0.09) 及更早版本的用户应将软件更新至版本 11.0.10。
  • 使用 Adobe Acrobat X (10.1.12) 及更早版本的用户应将软件更新至版本 10.1.13。

受影响的软件版本

  • Adobe Reader XI (11.0.09) 及更早的 11.x 版本
  • Adobe Reader X (10.1.12) 及更早的 10.x 版本
  • Adobe Acrobat XI (11.0.09) 及更早的 11.x 版本
  • Adobe Acrobat X (10.1.12) 及更早的 10.x 版本

解决方案

Adobe 建议用户按照以下说明更新他们的软件安装：

Adobe Reader

产品的默认更新机制设置为定期运行自动更新检查。可通过选择“帮助”>“检查更新”，手动激活“更新检查”。

Windows 版的 Adobe Reader 用户可以在以下网址找到相应的更新：http://www.adobe.com/support/downloads/product.jsp?product=10&platform=Windows

Macintosh 版的 Adobe Reader 用户可以在以下网址找到相应的更新：http://www.adobe.com/support/downloads/product.jsp?product=10&platform=Macintosh

 

Adobe Acrobat

产品的默认更新机制设置为定期运行自动更新检查。可通过选择“帮助”>“检查更新”，手动激活“更新检查”。

Windows 版的 Acrobat Standard 和 Pro 用户可以在以下网址找到相应的更新：http://www.adobe.com/support/downloads/product.jsp?product=1&platform=Windows

Macintosh 版的 Acrobat Pro 用户可以在以下网址找到相应的更新：http://www.adobe.com/support/downloads/product.jsp?product=1&platform=Macintosh

优先级和严重等级

Adobe 按照以下优先级将这些更新分类，并建议用户将其安装的软件更新至最新版本：

产品 更新后的版本 平台 优先级
Adobe Reader 11.0.10
 Windows 和 Macintosh
 1
  10.1.13
 Windows 和 Macintosh 1
       
Adobe Acrobat 11.0.10
 Windows 和 Macintosh
 1
  10.1.13
 Windows 和 Macintosh
 1

这些更新解决了软件中严重等级为关键的漏洞。

详细信息

Adobe 已为 Windows 和 Macintosh 操作系统上的 Adobe Reader 和 Acrobat 发布了安全更新。这些更新修复了可能允许攻击者接管受影响系统的漏洞。Adobe 建议用户将其安装的产品更新至最新版本：

  • 使用 Adobe Reader XI (11.0.09) 及更早版本的用户应将软件更新至版本 11.0.10。
  • 使用 Adobe Reader X (10.1.12) 及更早版本的用户应将软件更新至版本 10.1.13。
  • 使用 Adobe Acrobat XI (11.0.09) 及更早版本的用户应将软件更新至版本 11.0.10。
  • 使用 Adobe Acrobat X (10.1.12) 及更早版本的用户应将软件更新至版本 10.1.13。

这些更新解决了若干可导致代码执行的释放后使用 (use-after-free) 漏洞（CVE-2014-8454、CVE-2014-8455、CVE-2014-9165）。

这些更新解决了若干可导致代码执行的基于堆的缓冲区溢出漏洞（CVE-2014-8457、CVE-2014-8460、CVE-2014-9159）。

这些更新修复了可能导致代码执行的整数溢出漏洞 (CVE-2014-8449)。

这些更新解决了若干可导致代码执行的内存破坏漏洞（CVE-2014-8445、CVE-2014-8446、CVE-2014-8447、CVE-2014-8456、CVE-2014-8458、CVE-2014-8459、CVE-2014-8461、CVE-2014-9158）。

这些更新解决了可被利用于允许对文件系统执行任意写入访问的检查时间使用时间（time-of-check time-of-use，TOCTOU）竞态条件 (CVE-2014-9150)。

这些更新解决了可能导致信息泄露的 Javascript API 实施不当（CVE-2014-8448、CVE-2014-8451）。

这些更新修复了一个在处理 XML 外部实体时可能导致信息泄露的漏洞 (CVE-2014-8452)。

这些更新修复了若干可被利用于避开同源策略的漏洞 (CVE-2014-8453)。  

鸣谢

Adobe 衷心感谢以下个人和组织，感谢他们报告相关问题并与 Adobe 一起帮助保护我们的客户：

  • 来自 Cure53.de 的 Alex Inführ（CVE-2014-8451、CVE-2014-8452、CVE-2014-8453）
  • 来自 Payatu Technologies 的 Ashfaq Ansari (CVE-2014-8446)
  • 来自 FireEye 的 Corbin Souffrant、Armin Buescher 和 Dan Caselden (CVE-2014-8454)
  • 来自 Trend Micro 的 Jack Tang (CVE-2014-8447)
  • 来自 Google Project Zero 的 James Forshaw (CVE-2014-9150)
  • lokihardt@asrt (CVE-2014-8448)
  • 来自 Google Project Zero 的 Mateusz Jurczyk 和来自 Google Security Team 的 Gynvael Coldwind（CVE-2014-8455、CVE-2014-8456、CVE-2014-8457、CVE-2014-8458、CVE-2014-8459、CVE-2014-8460、CVE-2014-8461、CVE-2014-9158、CVE-2014-9159）
  • 来自 Agile Information Security 的 Pedro Ribeiro (CVE-2014-8449)
  • 来自南洋理工大学的 Wei Lei 和 Wu Hongjun（CVE-2014-8445、CVE-2014-9165）