Adobe Reader 和 Acrobat 的可用安全更新

发布日期:2015 年 12 月 5 日

漏洞标识符:APSB15-10

优先级:请参见下表

CVE 编号:CVE-2014-8452、CVE-2014-9160、CVE-2014-9161、CVE-2015-3046、CVE-2015-3047、CVE-2015-3048、CVE-2015-3049、CVE-2015-3050、CVE-2015-3051、CVE-2015-3052、CVE-2015-3053、CVE-2015-3054、CVE-2015-3055、CVE-2015-3056、CVE-2015-3057、CVE-2015-3058、CVE-2015-3059、CVE-2015-3060、CVE-2015-3061、CVE-2015-3062、CVE-2015-3063、CVE-2015-3064、CVE-2015-3065、CVE-2015-3066、CVE-2015-3067、CVE-2015-3068、CVE-2015-3069、CVE-2015-3070、CVE-2015-3071、CVE-2015-3072、CVE-2015-3073、CVE-2015-3074、CVE-2015-3075、CVE-2015-3076

平台:Windows 和 Macintosh

摘要

Adobe 已为 Windows 和 Macintosh 操作系统上的 Adobe Reader 和 Acrobat 发布了安全更新。这些更新修复了可能允许攻击者接管受影响系统的漏洞。Adobe 建议用户将其安装的产品更新至最新版本:

  • 使用 Adobe Reader XI (11.0.10) 及更早版本的用户应将软件更新至版本 11.0.11。 

  • 使用 Adobe Reader X (10.1.13) 及更早版本的用户应将软件更新至版本 10.1.14。 

  • 使用 Adobe Acrobat XI (11.0.10) 及更早版本的用户应将软件更新至版本 11.0.11。 

  • 使用 Adobe Acrobat X (10.1.13) 及更早版本的用户应将软件更新至版本 10.1.14。

受影响的软件版本

  • Adobe Reader XI (11.0.10) 及更早的 11.x 版本 

  • Adobe Reader X (10.1.13) 及更早的 10.x 版本  

  • Adobe Acrobat XI (11.0.10) 及更早的 11.x 版本  

  • Adobe Acrobat X (10.1.13) 及更早的 10.x 版本

注意:Adobe Acrobat Reader DC 不受此公告中的 CVE 参考信息的影响。

 

解决方案

Adobe 建议用户按照以下说明更新他们的软件安装:

Adobe Reader

产品的默认更新机制设置为定期运行自动更新检查。可通过选择“帮助”>“检查更新”,手动激活“更新检查”。

Windows 平台上的 Adobe Reader 用户可以在以下网址找到相应更新:http://www.adobe.com/support/downloads/product.jsp?product==10&platform=Windows

Macintosh 平台上的 Adobe Reader 用户可以在以下网址找到相应更新:http://www.adobe.com/support/downloads/product.jsp?product==10&platform=Macintosh

 

Adobe Acrobat

产品的默认更新机制设置为定期运行自动更新检查。可通过选择“帮助”>“检查更新”,手动激活“更新检查”。

Windows 平台上的 Acrobat Standard 和 Pro 用户可以在以下网址找到相应更新:http://www.adobe.com/support/downloads/product.jsp?product=1&platform=Windows

Macintosh 平台上的 Acrobat Pro 用户可以在以下网址找到相应更新:http://www.adobe.com/support/downloads/product.jsp?product==1&platform=Macintosh

优先级和严重等级

Adobe 使用以下优先级将这些更新分类,并建议用户将其安装的软件更新至最新版本:

产品 更新后的版本 平台 优先级
Adobe Reader 11.0.11
Windows 和 Macintosh
1
  10.1.14
Windows 和 Macintosh 1
       
Adobe Acrobat 11.0.11 Windows 和 Macintosh 1
  10.1.14 Windows 和 Macintosh 1

这些更新解决了软件中严重等级为关键的漏洞。

详细信息

Adobe 已为 Windows 和 Macintosh 操作系统上的 Adobe Reader 和 Acrobat 发布了安全更新。这些更新修复了可能允许攻击者接管受影响系统的漏洞。Adobe 建议用户将其安装的产品更新至最新版本:

  • 使用 Adobe Reader XI (11.0.10) 及更早版本的用户应将软件更新至版本 11.0.11。

  • 使用 Adobe Reader X (10.1.13) 及更早版本的用户应将软件更新至版本 10.1.14。

  • 使用 Adobe Acrobat XI (11.0.10) 及更早版本的用户应将软件更新至版本 11.0.11。 

  • 使用 Adobe Acrobat X (10.1.13) 及更早版本的用户应将软件更新至版本 10.1.14。

这些更新修复了可能导致代码执行的释放后使用漏洞(CVE-2015-3053、CVE-2015-3054、CVE-2015-3055、CVE-2015-3059、CVE-2015-3075)。

这些更新修复了可能导致代码执行的基于堆的缓冲区溢出漏洞 (CVE-2014-9160)。

这些更新修复了可能导致代码执行的缓冲区溢出漏洞 (CVE-2015-3048)。

这些更新修复了可能导致代码执行的内存破坏漏洞(CVE-2014-9161、CVE-2015-3046、CVE-2015-3049、CVE-2015-3050、CVE-2015-3051、CVE-2015-3052、CVE-2015-3056、CVE-2015-3057、CVE-2015-3070、CVE-2015-3076)。 

这些更新修复了内存泄露问题 (CVE-2015-3058)。 

这些更新修复了可绕过 Javascript API 执行限制的多种方式(CVE-2015-3060、CVE-2015-3061、CVE-2015-3062、CVE-2015-3063、CVE-2015-3064、CVE-2015-3065、CVE-2015-3066、CVE-2015-3067、CVE-2015-3068、CVE-2015-3069、CVE-2015-3071、CVE-2015-3072、CVE-2015-3073、CVE-2015-3074)。

这些更新修复了一个可能导致拒绝服务状态的空指针解除引用问题 (CVE-2015-3047)。 

这些更新进一步强化了对 CVE-2014-8452 的防御,该漏洞在处理 XML 外部实体时可能导致信息泄露。 

致谢

Adobe 衷心感谢以下个人和组织,感谢他们报告相关问题并与 Adobe 一起帮助保护我们的客户: 

  • 来自 HP Zero Day Initiative 的 AbdulAziz Hariri(CVE-2015-3053、CVE-2015-3055、CVE-2015-3057、CVE-2015-3058、CVE-2015-3065、CVE-2015-3066、CVE-2015-3067、CVE-2015-3068、CVE-2015-3071、CVE-2015-3072、CVE-2015-3073)

  • 来自 Cure53.de 的 Alex Inführ(CVE-2014-8452、CVE-2015-3076)

  • 通过 Beyond Security 的 SecuriTeam Secure Disclosure 进行的匿名举报 (CVE-2015-3075)

  • 参与 HP Zero Day Initiative 的 Bilou (CVE-2015-3059)

  • 来自 HP Zero Day Initiative 的 Brian Gorenc(CVE-2015-3054、CVE-2015-3056、CVE-2015-3061、CVE-2015-3063、CVE-2015-3064)  

  • 来自 HP Zero Day Initiative 的 Dave Weinstein (CVE-2015-3069)

  • 阿里巴巴安全研究小组的入侵者 (CVE-2015-3070)

  • HP Zero Day Initiative 共同合作的 lokihardt@asrt (CVE-2015-3074)

  • 来自谷歌“Project Zero”团队的 Mateusz Jurczyk(CVE-2015-3049、CVE-2015-3050、CVE-2015-3051、CVE-2015-3052) 

  • 来自谷歌“Project Zero”团队的 Mateusz Jurczyk 和来自谷歌安全团队的 Gynvael Coldwind(CVE-2014-9160、CVE-2014-9161)

  • HP Zero Day Initiative 共同合作的 Simon Zuckerbraun(CVE-2015-3060、CVE-2015-3062) 

  • 来自南洋理工大学的 Wei Lei 以及 Wu Hongjun 和 Wang Jing (CVE-2015-3047)

  • 来自南洋理工大学的 Wei Lei 以及 Wu Hongjun (CVE-2015-3046)

  • 来自 Intel Labs 的 Xiaoning Li 和来自 McAfee Labs IPS 团队的 Haifei Li (CVE-2015-3048)