Sikkerhedsbulletin til Adobe Acrobat og Reader | APSB18-41
Bulletin-ID Udgivelsesdato Prioritet
APSB18-41 11. december 2018 2

Resumé

Adobe har frigivet sikkerhedsopdateringer til Adobe Acrobat og Reader til Windows og macOS. Disse opdateringer løser kritiske og vigtige sikkerhedsproblemer. Udnyttelse af disse sikkerhedsproblemer kan medføre vilkårlig kodekørsel for den aktuelle bruger.   

Berørte versioner

Produkt Track Berørte versioner Platform
Acrobat DC  Fortløbende
2019.008.20081 og tidligere versioner 
Windows 
Acrobat DC  Fortløbende 2019.008.20080 og tidligere versioner macOS
Acrobat Reader DC Fortløbende
2019.008.20081 og tidligere versioner Windows
Acrobat Reader DC Fortløbende 2019.008.20080 og tidligere versioner macOS
       
Acrobat 2017 Classic 2017 2017.011.30106 og tidligere versioner Windows
Acrobat 2017 Classic 2017 2017.011.30105 og tidligere versioner macOS
Acrobat Reader 2017 Classic 2017 2017.011.30106 og tidligere versioner Windows
Acrobat Reader 2017 Classic 2017 2017.011.30105 og tidligere versioner macOS
       
Acrobat DC  Classic 2015 2015.006.30457 og tidligere versioner  Windows
Acrobat DC  Classic 2015 2015.006.30456 og tidligere versioner  macOS
Acrobat Reader DC  Classic 2015 2015.006.30457 og tidligere versioner  Windows
Acrobat Reader DC Classic 2015 2015.006.30456 og tidligere versioner  macOS

Løsning

Adobe anbefaler brugerne at opdatere deres softwareinstallationer til de nyeste versioner ved at følge vejledningen nedenfor.
De nyeste produktversioner er tilgængelige for slutbrugerne via en af følgende metoder:

  • Brugere kan opdatere deres produktinstallationer manuelt ved at vælge Hjælp > Kontroller for opdateringer.
  • Produkterne opdateres automatisk, når der registreres opdateringer, uden at det kræver brugerens opmærksomhed.
  • Installationsprogrammet til den komplette Acrobat Reader kan hentes fra Acrobat Reader Download Center.

For IT-administratorer (administrerede miljøer):

  • Download enterprise-installationsprogrammer fra ftp://ftp.adobe.com/pub/adobe/, eller se de specifikke udgivelsesnoter for links til installationsprogrammerne.
  • Installer opdateringer via din foretrukne metode, for eksempel AIP-GPO, bootstrapper, SCUP/SCCM (Windows) eller på MacOS, Apple Remote Desktop og SSH.

Adobe kategoriserer disse opdateringer med følgende prioritetsgrader og anbefaler, at brugere opdaterer deres installationer til de nyeste versioner:

Produkt Track Opdaterede versioner Platform Vurdering af prioritet Tilgængelighed
Acrobat DC Fortløbende 2019.010.20064 Windows og macOS 2 Windows

macOS
Acrobat Reader DC Fortløbende 2019.010.20064
Windows og macOS 2 Windows

macOS
           
Acrobat 2017 Classic 2017 2017.011.30110 Windows og macOS 2 Windows

macOS
Acrobat Reader DC 2017 Classic 2017 2017.011.30110 Windows og macOS 2 Windows

macOS
           
Acrobat DC Classic 2015 2015.006.30461 Windows og macOS 2 Windows

macOS
Acrobat Reader DC Classic 2015 2015.006.30461 Windows og macOS 2 Windows

macOS

Sikkerhedsoplysninger

Sikkerhedskategori Virkning af sikkerhedsproblem Alvorlighed CVE-nummer

Bufferfejl

 

Vilkårlig kodekørsel

 

Kritisk

 

CVE-2018-15998

CVE-2018-15987

 

Upålidelig pointer-dereference

 

Vilkårlig kodekørsel

 

 

 

Kritisk

 

 

CVE-2018-16004

CVE-2018-19720

Sikkerhedsomgåelse

 

Eskalering af rettigheder

 

Kritisk

 

 

 

CVE-2018-16045

CVE-2018-16044

CVE-2018-16018

 

 

Use-after-free

 

 

 

 

Vilkårlig kodekørsel

 

 

 

 

Kritisk

 

 

CVE-2018-19715

CVE-2018-19713

CVE-2018-19708

CVE-2018-19707

CVE-2018-19700

CVE-2018-19698

CVE-2018-16046

CVE-2018-16040

CVE-2018-16039

CVE-2018-16037

CVE-2018-16036

CVE-2018-16029

CVE-2018-16027

CVE-2018-16026

CVE-2018-16025

CVE-2018-16014

CVE-2018-16011

CVE-2018-16008

CVE-2018-16003

CVE-2018-15994

CVE-2018-15993

CVE-2018-15992

CVE-2018-15991

CVE-2018-15990

 

 

Out-of-bounds-skrivning 

 

 

 

 

Vilkårlig kodekørsel

 

 

 

 

Kritisk

 

 

CVE-2018-19702

CVE-2018-16016

CVE-2018-16000

CVE-2018-15999

CVE-2018-15988

 

 

Heap-overflow

 

 

 

 

Vilkårlig kodekørsel

 

 

 

 

Kritisk

 

 

CVE-2018-19716

CVE-2018-16021

CVE-2018-12830

 

 

Out-of-bounds-læsning

 

 

 

 

Afsløring af oplysninger

 

 

 

 

Vigtig

 

 

CVE-2018-19717

CVE-2018-19714

CVE-2018-19712

CVE-2018-19711

CVE-2018-19710 

CVE-2018-19709

CVE-2018-19706

CVE-2018-19705

CVE-2018-19704 

CVE-2018-19703

CVE-2018-19701

CVE-2018-19699

CVE-2018-16047 

CVE-2018-16043

CVE-2018-16041

CVE-2018-16038

CVE-2018-16035 

CVE-2018-16034

CVE-2018-16033

CVE-2018-16032

CVE-2018-16031 

CVE-2018-16030

CVE-2018-16028

CVE-2018-16024

CVE-2018-16023 

CVE-2018-16022

CVE-2018-16020

CVE-2018-16019

CVE-2018-16017 

CVE-2018-16015

CVE-2018-16013

CVE-2018-16012

CVE-2018-16010 

CVE-2018-16006

CVE-2018-16005

CVE-2018-16002

CVE-2018-16001 

CVE-2018-15997

CVE-2018-15996

CVE-2018-15989

CVE-2018-15985 

CVE-2018-15984

CVE-2018-19719

 

Heltalsoverløb

 

Afsløring af oplysninger

 

 

 

Vigtig

 

 

CVE-2018-16009

CVE-2018-16007

CVE-2018-15995

CVE-2018-15986

Sikkerhedsomgåelse Afsløring af oplysninger Vigtig CVE-2018-16042

Tak til følgende personer

Adobe vil gerne takke følgende personer og organisationer for at rapportere de relevante sikkerhedsproblemer og for at samarbejde med Adobe for at beskytte vores kunder:

  • Anonymt rapporteret via Trend Micro's Zero Day Initiative (CVE-2018-16029, CVE-2018-16027, CVE-2018-16025, CVE-2018-15997, CVE-2018-15992)

  • Ke Liu fra Tencent's Xuanwu Lab (CVE-2018-19706, CVE-2018-19705, CVE-2018-19704, CVE-2018-19703, CVE-2018-19702, CVE-2018-16035, CVE-2018-16020, CVE-2018-16019, CVE-2018-16016, CVE-2018-16015, CVE-2018-16013, CVE-2018-15990, CVE-2018-15988).

  • kdot i samarbejde med Trend Micro's Zero Day Initiative (CVE-2018-19712, CVE-2018-19711, CVE-2018-16030, CVE-2018-16028, CVE-2018-16012, CVE-2018-16002, CVE-2018-16001, CVE-2018-15996)

  • Esteban Ruiz (mr_me) fra Source Incite via Trend Micro's Zero Day Initiative (CVE-2018-16026, CVE-2018-15994, CVE-2018-15993, CVE-2018-15991, CVE-2018-16008).

  • Du pingxin fra NSFOCUS Security Team (CVE-2018-16022, CVE-2018-16021, CVE-2018-16017, CVE-2018-16000, CVE-2018-15999)

  • Lin Wang fra  Beihang University via Trend Micro's Zero Day Initiative (CVE-2018-16014)

  • guyio via Trend Micro's Zero Day Initiative (CVE-2018-16024, CVE-2018-16023, CVE-2018-15995)

  • Pengsu Cheng fra Trend Micro Security Research via Trend Micro's Zero Day Initiative (CVE-2018-15985)

  • XuPeng fra TCA/SKLCS Institute of Software Chinese Academy of Sciences og HuangZheng fra Baidu Security Lab (CVE-2018-12830)

  • Linan Hao fra Qihoo 360 Vulcan Team og  Zhenjie Jia fra Qihoo 360 Vulcan Team (CVE-2018-16041)

  • Steven Seeley via Trend Micro's Zero Day Initiative (CVE-2018-16008)

  • Roderick Schaefer via Trend Micro Zero Day Initiative (CVE-2018-19713)

  • Lin Wang fra  Beihang University (CVE-2018-15998, CVE-2018-15989, CVE-2018-15987, CVE-2018-15986, CVE-2018-15984)

  • Vladislav  Mladenov, Christian Mainka, Karsten  Meyer zu Selhausen, Martin Grothe, Jorg Schwenk fra Ruhr-Universität Bochum (CVE-2018-16042)

  • Aleksandar Nikolic fra Cisco Talos (CVE-2018-19716)

  • Kamlapati Choubey via Trend Micro's Zero Day Initiative (CVE-2018-19714)

  • Sebastian Apelt (@bitshifter123) via Trend Micro's Zero Day Initiative (CVE-2018-16010, CVE-2018-16003, CVE-2018-16044, CVE-2018-19720, CVE-2018-19719)

  • En særlig tak til Abdul Aziz Hariri fra Trend Micro's Zero Day Initiative for hans defense-in-depth-bidrag til en styrkelse af JavaScript API-begrænsninger i forhold til sikkerhedsomgåelser (CVE-2018-16018)

  • AbdulAziz Hariri fra Zero Day Initiative og Sebastian Apelt for sine defense-in-depth-bidrag med henblik på at afhjælpe Onix Indexing-angreb (CVE-2018-16004, CVE-2018-16005, CVE-2018-16007, CVE-2018-16009, CVE-2018-16043, CVE-2018-16045, CVE-2018-16046)

  • Qi Deng fra Palo Alto Networks (CVE-2018-16033, CVE-2018-16032, CVE-2018-16031)

  • Zhibin Zhang fra Palo Alto Networks (CVE-2018-16037, CVE-2018-16036, CVE-2018-16034)

  • Hui Gao og Qi Deng fra Palo Alto Networks (CVE-2018-19698, CVE-2018-16047, CVE-2018-16040, CVE-2018-16038)

  • Hui Gao og Zhibin Zhang fra Palo Alto Networks (CVE-2018-19710, CVE-2018-19709, CVE-2018-19707, CVE-2018-19700, CVE-2018-19699)

  • Bo Qu fra Palo Alto Networks og  Heige fra  Knownsec 404 Security Team (CVE-2018-19717, CVE-2018-19715, CVE-2018-19708, CVE-2018-19701, CVE-2018-16039)