Sicherheits-Updates für Adobe Acrobat und Reader

Erstmals veröffentlicht am: 6. Oktober 2016

Letzte Aktualisierung: 10. November 2016

Kennung der Sicherheitslücke: APSB16-33

Priorität: 2

CVE-Nummern: CVE-2016-1089, CVE-2016-1091, CVE-2016-4095, CVE-2016-6939, CVE-2016-6940, CVE-2016-6941, CVE-2016-6942, CVE-2016-6943, CVE-2016-6944, CVE-2016-6945, CVE-2016-6946, CVE-2016-6947, CVE-2016-6948, CVE-2016-6949, CVE-2016-6950, CVE-2016-6951, CVE-2016-6952, CVE-2016-6953, CVE-2016-6954, CVE-2016-6955, CVE-2016-6956, CVE-2016-6957, CVE-2016-6958, CVE-2016-6959, CVE-2016-6960, CVE-2016-6961, CVE-2016-6962, CVE-2016-6963, CVE-2016-6964, CVE-2016-6965, CVE-2016-6966, CVE-2016-6967, CVE-2016-6968, CVE-2016-6969, CVE-2016-6970, CVE-2016-6971, CVE-2016-6972, CVE-2016-6973, CVE-2016-6974, CVE-2016-6975, CVE-2016-6976, CVE-2016-6977, CVE-2016-6978, CVE-2016-6979, CVE-2016-6988, CVE-2016-6993, CVE-2016-6994, CVE-2016-6995, CVE-2016-6996, CVE-2016-6997, CVE-2016-6998, CVE-2016-6999, CVE-2016-7000, CVE-2016-7001, CVE-2016-7002, CVE-2016-7003, CVE-2016-7004, CVE-2016-7005, CVE-2016-7006, CVE-2016-7007, CVE-2016-7008, CVE-2016-7009, CVE-2016-7010, CVE-2016-7011, CVE-2016-7012, CVE-2016-7013, CVE-2016-7014, CVE-2016-7015, CVE-2016-7016, CVE-2016-7017, CVE-2016-7018, CVE-2016-7019, CVE-2016-7852, CVE-2016-7853, CVE-2016-7854

Plattform: Windows und Macintosh

CVE-2016-6937
CVE-2016-6937

Zusammenfassung

Adobe hat Sicherheitsupdates für Adobe Acrobat und Reader für Windows und Macintosh veröffentlicht. Diese Updates beheben kritische Sicherheitslücken, die einem Angreifer die Übernahme des betroffenen Systems ermöglichen.

Betroffene Versionen

Produkt Überwachen Betroffene Versionen Plattform
Adobe Acrobat DC Fortlaufend 15.017.20053 und frühere Versionen
Windows und Macintosh
Acrobat Reader DC Fortlaufend 15.017.20053 und frühere Versionen
Windows und Macintosh
       
Adobe Acrobat DC Klassisch 15.006.30201 und frühere Versionen
Windows und Macintosh
Acrobat Reader DC Klassisch 15.006.30201 und frühere Versionen
Windows und Macintosh
       
Acrobat XI Nur Desktop-Applikation 11.0.17 und frühere Versionen Windows und Macintosh
Reader XI Nur Desktop-Applikation 11.0.17 und frühere Versionen Windows und Macintosh

Wechseln Sie bei Fragen in Bezug auf Acrobat DC zur Seite FAQ | Adobe Acrobat DC. Wechseln Sie bei Fragen in Bezug auf Acrobat Reader DC zur Seite FAQ | Adobe Acrobat Reader DC.

Lösung

Adobe empfiehlt Benutzern, ihre Softwareinstallationen auf die neueste Version zu aktualisieren. Die Vorgehensweise dafür ist nachfolgend beschrieben.

Endbenutzer erhalten die neuesten Produktversionen über eine der folgenden Methoden:

  • Benutzer können die Produktinstallation über „Hilfe“ > „Nach Updates suchen“ manuell aktualisieren. 
  • Die Produkte werden ohne weiteren Benutzereingriff automatisch aktualisiert, sobald Aktualisierungen erkannt werden. 
  • Das vollständige Acrobat Reader-Installationsprogramm kann im Acrobat Reader Download Center heruntergeladen werden.

Für IT-Administratoren (verwaltete Umgebungen):

  • Laden Sie die Enterprise-Installationsprogramme von ftp://ftp.adobe.com/pub/adobe/ herunter oder lesen Sie die spezielle Version der Versionshinweise, um Links zu Installationsprogrammen abzurufen. 
  • Installieren Sie Updates mithilfe Ihrer bevorzugten Methode, zum Beispiel AIP-GPO, Bootstrapper, SCUP/SCCM (Windows) oder auf dem Macintosh, Apple Remote Desktop und SSH.

Adobe empfiehlt allen Anwendern die Installation der neuesten Version und stuft die Priorität dieser Updates wie folgt ein:

Produkt Überwachen Aktualisierte Versionen Plattform Priorität Verfügbarkeit
Adobe Acrobat DC Fortlaufend 15.020.20039
Windows und Macintosh 2 Windows
Macintosh
Acrobat Reader DC Fortlaufend 15.020.20039
Windows und Macintosh 2 Download-Center
           
Adobe Acrobat DC Klassisch 15.006.30243
Windows und Macintosh
2 Windows
Macintosh
Acrobat Reader DC Klassisch 15.006.30243
Windows und Macintosh 2 Windows
Macintosh
           
Acrobat XI Nur Desktop-Applikation 11.0.18 Windows und Macintosh 2 Windows
Macintosh
Reader XI Nur Desktop-Applikation 11.0.18 Windows und Macintosh 2 Windows
Macintosh

Sicherheitslückendetails

  • Diese Updates schließen Sicherheitslücken, die durch Weiterverwendung nach Speicherfreigabe verursacht werden und die Ausführung von Code ermöglichen (CVE-2016-1089, CVE-2016-1091, CVE-2016-6944, CVE-2016-6945, CVE-2016-6946, CVE-2016-6949, CVE-2016-6952, CVE-2016-6953, CVE-2016-6961, CVE-2016-6962, CVE-2016-6963, CVE-2016-6964, CVE-2016-6965, CVE-2016-6967, CVE-2016-6968, CVE-2016-6969, CVE-2016-6971, CVE-2016-6979, CVE-2016-6988, CVE-2016-6993). 
  • Die Updates schließen Sicherheitslücken, die aufgrund eines Heap-Pufferüberlaufs entstehen können und die Ausführung von Code ermöglichen (-6939, CVE-2016-, CVE-2016-6994). 
  • Diese Updates schließen Speicherbeschädigungs-Sicherheitslücken, die die Ausführung von Code ermöglichen (CVE-2016-4095, CVE-2016-6940, CVE-2016-6941, CVE-2016-6942, CVE-2016-6943, CVE-2016-6947, CVE-2016-6948, CVE-2016-6950, CVE-2016-6951, CVE-2016-6954, CVE-2016-6955, CVE-2016-6956, CVE-2016-6959, CVE-2016-6960, CVE-2016-6966, CVE-2016-6970, CVE-2016-6972, CVE-2016-6973, CVE-2016-6974, CVE-2016-6975, CVE-2016-6976, CVE-2016-6977, CVE-2016-6978, CVE-2016-6995, CVE-2016-6996, CVE-2016-6997, CVE-2016-6998, CVE-2016-7000, CVE-2016-7001, CVE-2016-7002, CVE-2016-7003, CVE-2016-7004, CVE-2016-7005, CVE-2016-7006, CVE-2016-7007, CVE-2016-7008, CVE-2016-7009, CVE-2016-7010, CVE-2016-7011, CVE-2016-7012, CVE-2016-7013, CVE-2016-7014, CVE-2016-7015, CVE-2016-7016, CVE-2016-7017, CVE-2016-7018, CVE-2016-7019, CVE-2016-7852, CVE-2016-7853, CVE-2016-7854). 
  • Diese Updates verhindern verschiedene Methoden zum Umgehen von Einschränkungen bei der JavaScript-API-Ausführung (CVE-2016-6957). 
  • Die Updates schließen eine Schwachstelle, die es Angreifern ermöglicht, Sicherheitsabfragen zu umgehen (CVE-2016-6958). 
  • Diese Updates schließen eine Sicherheitslücke, die aufgrund eines Ganzzahlüberlaufs entsteht und die Ausführung von Code ermöglicht (CVE-2016-6999).
 

Danksagung

Adobe bedankt sich bei den folgenden Personen für das Melden dieser Sicherheitslücken und deren Beitrag zum Schutz der Sicherheit unserer Kunden:

  • Steven Seeley von Source Incite in Zusammenarbeit mit iDefense (CVE-2016-6949)
  • Jaanus Kääp von Clarified Security (CVE-2016-1089, CVE-2016-1091, CVE-2016-6954, CVE-2016-6955, CVE-2016-6956)
  • Steven Seeley von Source Incite in Zusammenarbeit mit der Zero Day Initiative von Trend Micro (CVE-2016-6971)
  • Kushal Arvind Shah von den FortiGuard Labs von Fortinet (CVE-2016-6948)
  • Dmitri Kaslov (CVE-2016-7012)
  • AbdulAziz Hariri von der Zero Day Initiative von Trend Micro (CVE-2016-6944, CVE-2016-6945)
  • Ke Liu von Tencent's Xuanwu LAB (CVE-2016-4095, CVE-2016-6993, CVE-2016-6994, CVE-2016-6995, CVE-2016-6996, CVE-2016-6997, CVE-2016-6998, CVE-2016-6999, CVE-2016-7000, CVE-2016-7001, CVE-2016-7002, CVE-2016-7003, CVE-2016-7004, CVE-2016-7005, CVE-2016-7006, CVE-2016-7007, CVE-2016-7008, CVE-2016-7009, CVE-2016-7010, CVE-2016-7011, CVE-2016-7013, CVE-2016-7014, CVE-2016-7015, CVE-2016-7016, CVE-2016-7017, CVE-2016-7018, CVE-2016-7019, CVE-2016-7852, CVE-2016-7853)
  • kdot in Zusammenarbeit mit der Zero Day Initiative von Trend Micro (CVE-2016-6940, CVE-2016-6941, CVE-2016-7854)
  • Wei Lei und Liu Yang von der Nanyang Technological University, die für die Zero Day Initiative von Trend Micro arbeiten (CVE-2016-6969)
  • Aakash Jain und Dhanesh Kizhakkinan von FireEye Inc. (CVE -2016-6943)
  • Sebastian Apelt Siberas in Zusammenarbeit mit der Zero Day Initiative von Trend Micro (CVE-2016-6942, CVE-2016-6946, CVE-2016-6947, CVE-2016-6950, CVE-2016-6951, CVE-2016-6952, CVE-2016-6953, CVE-2016-6988)
  • Anonym gemeldet durch die Zero Day Initiative von Trend Micro (CVE-2016-6959, CVE-2016-6960, CVE-2016-6961, CVE-2016-6962, CVE-2016-6963, CVE-2016-6964, CVE-2016-6965, CVE-2016-6966, CVE-2016-6967, CVE-2016-6968, CVE-2016-6972, CVE-2016-6973, CVE-2016-6974, CVE-2016-6975, CVE-2016-6976, CVE-2016-6977, CVE-2016-6979)
  • Abdulrahman Alqabandi (CVE-2016-6970)
  • Wei Lei und Liu Yang von der Nanyang Technological University, die für die Zero Day Initiative von Trend Micro arbeiten (CVE-2016-6978)
  • Kai Lu von Fortinets FortiGuard Labs (CVE-2016-6939)
  • Gal De Leon von Palo Alto Networks (CVE-2016-6957, CVE-2016-6958)
 

Historie

21. Oktober 2016: Verweise auf CVE-2016-7852, CVE-2016-7853 und CVE-2016-7854 wurden hinzugefügt, die versehentlich nicht im Bulletin aufgeführt wurden.

10. November 2016: Verweise auf CVE-2016-4095 wurden hinzugefügt, die versehentlich nicht im Bulletin aufgeführt wurde.