Bezpečnostní bulletin společnosti Adobe

Hledat

Zveřejnění aktualizace zabezpečení pro aplikace Adobe Acrobat a Reader  | APSB24-57

ID bulletinu

Datum zveřejnění

Priorita

APSB24-57

13. srpen 2024

3

Shrnutí

Společnost Adobe zveřejnila aktualizaci zabezpečení pro aplikace Adobe Acrobat a Reader pro systémy Windows a macOS. Tato aktualizace řeší kritické a důležité chyby zabezpečení. Úspěšné zneužití by mohlo vést ke svévolnému spuštění kódu, zvýšení oprávnění a úniku paměti.

Společnost Adobe si je vědoma toho, že chyba zabezpečení CVE-2024-39383 má prokázaný koncept, který může způsobit chybové ukončení aplikací Adobe Acrobat a Reader. Společnost Adobe si není vědoma žádného zneužití této chyby zabezpečení. 

Postižené verze

Produkt

Stopa

Postižené verze

Platforma

Acrobat DC 

Continuous 

24.002.20991 a starší verze
(Windows)
24.002.20964 a starší verze (MacOS)

Windows a  macOS

Acrobat Reader DC

Continuous 

24.002.20991 a starší verze
(Windows)
24.002.20964 a starší verze (MacOS)

Windows a macOS

Acrobat 2024

Classic 2024    

24.001.30123 a starší verze

Windows a macOS 

Acrobat 2020

Classic 2020           

20.005.30636 a starší verze (Windows)
20.005.30635 a starší verze (MacOS)

Windows a macOS 

Acrobat Reader 2020

Classic 2020           

20.005.30636 a starší verze (Windows)
20.005.30635 a starší verze (MacOS)

Windows a macOS

V případě dotazů ohledně aplikace Acrobat DC navštivte stránku s nejčastějšími dotazy k aplikaci Acrobat DC. 

V případě dotazů ohledně aplikace Acrobat Reader DC navštivte stránku s nejčastějšími dotazy k aplikaci Acrobat Reader DC.

Řešení

Společnost Adobe doporučuje uživatelům aktualizovat instalace jejich softwaru na nejnovější verze dle níže uvedených pokynů.    

Nejnovější verze produktů mohou koncoví uživatelé získat jedním z následujících způsobů:    

  • Uživatelé mohou aktualizace produktů aktualizovat ručně výběrem nabídky Nápověda > Zkontrolovat aktualizace.     

  • Produkty se aktualizují automaticky bez zásahu uživatele, jakmile zjistí dostupnost aktualizací.      

  • Úplný instalační program aplikace Acrobat Reader lze stáhnout ze Střediska stahování aplikace Acrobat Reader.     

Pro správce IT (spravovaná prostředí):     

  • Odkazy na instalační programy najdete v konkrétních poznámkách k verzi.

  • Nainstalujte aktualizace pomocí upřednostňovaného postupu, např. AIP-GPO, bootstrapper či SCUP/SCCM pro systémy Windows nebo Apple Remote Desktop či SSH pro systémy macOS.     

   

Společnost Adobe označuje tyto aktualizace následujícími hodnoceními priority a doporučuje uživatelům aktualizovat produkt na nejnovější verzi:    

Produkt

Stopa

Aktualizované verze

Platforma

Úroveň priority

Dostupnost

Acrobat DC

Continuous

24.002.21005

Windows a macOS

3

Poznámky k verzi     

Acrobat Reader DC

Continuous

24.002.21005

Windows a macOS

3

Poznámky k verzi     

Acrobat 2024

Classic 2024

24.001.30159

Windows  a macOS  

3

Poznámky k verzi  

 

 

 

 

 

 

Acrobat 2020

Classic 2020           

20.005.30655

Windows a macOS  

3

Poznámky k verzi     

Acrobat Reader 2020

Classic 2020 

20.005.30655

 

Windows  a macOS 

3

Poznámky k verzi 

Podrobnosti o chybě zabezpečení

Kategorie chyby zabezpečení Dopad chyby zabezpečení Závažnost Základní hodnocení CVSS Vektor CVSS Číslo CVE
Použití paměti po uvolnění (CWE-416)
 Svévolné spuštění kódu
 Kritická
 7.8 CVSS:3.1/AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H

CVE-2024-39383

 
Použití paměti po uvolnění (CWE-416)
 Svévolné spuštění kódu
 Kritická 8.1 CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:N
 CVE-2024-39422
Zápis mimo hranice (CWE-787)
 Svévolné spuštění kódu
 Kritická
 7.8 CVSS:3.1/AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H
 CVE-2024-39423
Použití paměti po uvolnění (CWE-416)
 Svévolné spuštění kódu
 Kritická
 7.8 CVSS:3.1/AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H
 CVE-2024-39424
Nesprávné ověření kryptografického podpisu (CWE-347)
 Zvyšování oprávnění
 Kritická 7.5 CVSS:3.1/AV:L/AC:H/PR:L/UI:R/S:C/C:H/I:H/A:H
 CVE-2024-39425
Přístup k místu v paměti na konci vyrovnávací paměti (CWE-788)
 Svévolné spuštění kódu
 Kritická
 7.8 CVSS:3.1/AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H
 CVE-2024-39426
Použití paměti po uvolnění (CWE-416)
 Svévolné spuštění kódu
 Kritická
 7.8 CVSS:3.1/AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H
 CVE-2024-41830
Použití paměti po uvolnění (CWE-416)
 Svévolné spuštění kódu
 Kritická
 7.8 CVSS:3.1/AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H
 CVE-2024-41831
Souběh typu TOCTOU (Time-of-check Time-of-use) (CWE-367)
 Svévolné spuštění kódu
 Kritická
 7.8 CVSS:3.1/AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H
 CVE-2024-39420
Neoprávněné načtení (CWE-125)
 Únik paměti Důležitá 5.5 CVSS:3.1/AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:N/A:N
 CVE-2024-41832
Neoprávněné načtení (CWE-125)
 Únik paměti Důležitá 5.5 CVSS:3.1/AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:N/A:N CVE-2024-41833
Neoprávněné načtení (CWE-125)
 Únik paměti Důležitá 5.5 CVSS:3.1/AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:N/A:N CVE-2024-41834
Neoprávněné načtení (CWE-125)
 Únik paměti Důležitá 5.5 CVSS:3.1/AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:N/A:N CVE-2024-41835
Použití paměti po uvolnění (CWE-416)
 Únik paměti Důležitá 5.5 CVSS:3.1/AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:N/A:N
 CVE-2024-45107

Poděkování

Společnost Adobe by ráda poděkovala za nahlášení těchto potíží a za spolupráci při ochraně našich zákazníků následujícím výzkumníkům:   

  • Cisco Talos (ciscotalos)  – CVE-2024-41830, CVE-2024-41832, CVE-2024-41835, CVE-2024-39420
  • Anonymní uživatel spolupracující v rámci inciativy Zero Day Initiative společnosti Trend Micro  – CVE-2024-39422, CVE-2024-39426, CVE-2024-41831, CVE-2024-41833, CVE-2024-41834, CVE-2024-45107
  • Defence Tech Security – CVE-2024-39425
  •  Haifei Li v rámci iniciativ EXMON a Check Point Research – CVE-2024-39383
  • Mark Vincent Yason (markyason.github.io) spolupracující v rámci iniciativy Zero Day Initiative společnosti Trend Micro – CVE-2024-39424
  • Mat Powell v rámci iniciativy Zero Day Initiative společnosti Trend Micro – CVE-2024-39423

 

Revize:

18. září 2024: Přidání komentáře k CVE-2024-39383

4. září 2024: Přidání CVE-2024-45107

3. září 2024: Přidání CVE-2024-39420

POZNÁMKA: Společnost Adobe má ve spolupráci se společnosti HackerOne soukromý program Bug Bounty, který je k dispozici pouze pro pozvané. Pokud máte zájem o spolupráci se společností Adobe jako externí výzkumník v oblasti zabezpečení a chcete vědět, jak dál postupovat, vyplňte tento formulář.

Další informace najdete na adrese https://helpx.adobe.com/cz/security.html nebo o ně zažádejte e-mailem na adresu PSIRT@adobe.com.

Získejte pomoc rychleji a snáze

Nový uživatel?

Rychlé odkazy

Zobrazit všechny vaše plány Správa plánů
Zobrazit rychlé odkazy
Skrýt rychlé odkazy