Adoben tietoturvatiedote
Adobe Acrobatin ja Readerin tietoturvapäivitykset | APSB17-36
Tiedotteen tunnus Julkaisupäivä Prioriteetti
APSB17-36 14. marraskuuta 2017 2

Yhteenveto

Adobe on julkaissut tietoturvapäivitykset Adobe Acrobat- ja Reader-ohjelmistojen Windows- ja Macintosh-versioille. Nämä päivitykset ratkaisevat kriittisiä haavoittuvuuksia, joita hyödyntämällä hyökkääjä voi saada altistuneen järjestelmän hallintaansa.

Versiot

Tuote Versiot Ympäristö
Acrobat DC (Continuous Track) 2017.012.20098 ja aiemmat versiot
Windows ja Macintosh
Acrobat Reader DC (Continuous Track) 2017.012.20098 ja aiemmat versiot
Windows ja Macintosh
     
Acrobat 2017 2017.011.30066 ja aiemmat versiot Windows ja Macintosh
Acrobat Reader 2017 2017.011.30066 ja aiemmat versiot Windows ja Macintosh
     
Acrobat DC (Classic Track) 2015.006.30355 ja aiemmat versiot
Windows ja Macintosh
Acrobat Reader DC (Classic Track) 2015.006.30355 ja aiemmat versiot
Windows ja Macintosh
     
Acrobat XI 11.0.22 ja aiemmat versiot Windows ja Macintosh
Reader XI 11.0.22 ja aiemmat versiot Windows ja Macintosh

Tarkempia tietoja Acrobat DC:stä on Acrobat DC:n usein kysyttyjen kysymysten sivulla.

Tarkempia tietoja Acrobat Reader DC:stä on Acrobat Readerin usein kysyttyjen kysymysten sivulla.

Ratkaisu

Adobe suosittelee käyttäjiä päivittämään ohjelmistonsa viimeisimpiin versioihin alla olevia ohjeita noudattaen.
Loppukäyttäjät voivat hankkia uusimmat tuoteversiot seuraavilla tavoilla:

  • Käyttäjät voivat päivittää tuoteasennuksensa manuaalisesti valitsemalla Ohje > Tarkista päivitysten saatavuus.
  • Tuotteet päivittyvät automaattisesti ilman käyttäjän toimia, kun päivityksiä on
    havaittu.
  • Acrobat Readerin täyden asennusohjelman voi ladata Acrobat Readerin latauskeskuksesta.

IT-päälliköt (hallinnoidut ympäristöt):

  • Lataa yritysten asennusohjelmat FTP-palvelimelta ftp://ftp.adobe.com/pub/adobe/ tai etsi asennusohjelmien linkit käyttämäsi version julkaisutiedoista.
  • Asenna päivitykset haluamallasi tavalla, kuten AIP-GPO:n, esilatausohjelman, SCUP/SCCM:n
    (Windows-käyttöjärjestelmässä) tai Macintosh-ympäristössä Apple Remote Desktopin ja SSH:n kautta.

Adobe luokittelee päivitykset seuraavan prioriteettiluokituksen mukaisesti ja suosittelee käyttäjiä päivittämään asennuksensa uusimpaan versioon:

Tuote Päivitetyt versiot Ympäristö Prioriteettiluokitus Saatavuus
Acrobat DC (Continuous Track) 2018.009.20044
Windows ja Macintosh 2 Windows
Macintosh
Acrobat Reader DC (Continuous Track) 2018.009.20044
Windows ja Macintosh 2 Latauskeskus
         
Acrobat 2017 2017.011.30068 Windows ja Macintosh 2 Windows
Macintosh
Acrobat Reader 2017 2017.011.30068 Windows ja Macintosh 2 Windows
Macintosh
         
Acrobat DC (Classic Track) 2015.006.30392
Windows ja Macintosh
2 Windows
Macintosh
Acrobat Reader DC (Classic Track) 2015.006.30392 
Windows ja Macintosh 2 Windows
Macintosh
         
Acrobat XI 11.0.23 Windows ja Macintosh 2 Windows
Macintosh
Reader XI 11.0.23 Windows ja Macintosh 2 Windows
Macintosh

Huomautus:

Kuten tässä aiemmassa ilmoituksessa on mainittu, Adobe Acrobat 11.x- ja Adobe Reader 11.x -tuki päättyi 15.10.2017.  Versio 11.0.23 on Adobe Acrobat 11.x- ja Adobe Reader 11.x -tuotteiden viimeinen julkaisuversio. Adobe suosittelee vahvasti päivittämään nämä tuotteet Adobe Acrobat DC:n ja Adobe Acrobat Reader DC:n uusimpiin versioihin. Päivittämällä asennukset uusimpiin versioihin hyödyt viimeisimmistä toimintojen parannuksista ja parannetuista tietoturvatoimista.

Lisätietoja haavoittuvuuksista

Haavoittuvuusluokka Haavoittuvuuden vaikutus Vakavuus CVE-numero
Käynnistämättömän osoittimen käyttö Koodin etäsuoritus
Kriittinen CVE-2017-16377
CVE-2017-16378
Vapautuksen jälkeinen käyttö Koodin etäsuoritus
Kriittinen CVE-2017-16360
CVE-2017-16388
CVE-2017-16389
CVE-2017-16390
CVE-2017-16393
CVE-2017-16398
Puskurin käyttö virheellisellä pituusarvolla Koodin etäsuoritus Kriittinen CVE-2017-16381
CVE-2017-16385
CVE-2017-16392
CVE-2017-16395
CVE-2017-16396
Puskurin ylilukeminen Koodin etäsuoritus Kriittinen CVE-2017-16363
CVE-2017-16365
CVE-2017-16374
CVE-2017-16384
CVE-2017-16386
CVE-2017-16387
Puskurin yli- tai alivuoto Koodin etäsuoritus Kriittinen CVE-2017-16368
Pinon ylivuoto Koodin etäsuoritus Kriittinen CVE-2017-16383
Virheellinen järjestelmäindeksin tarkistus Koodin etäsuoritus Kriittinen

CVE-2017-16391
CVE-2017-16410

Rajat ylittävä lukeminen Koodin etäsuoritus Kriittinen CVE-2017-16362
CVE-2017-16370
CVE-2017-16376
CVE-2017-16382
CVE-2017-16394
CVE-2017-16397
CVE-2017-16399
CVE-2017-16400
CVE-2017-16401
CVE-2017-16402
CVE-2017-16403
CVE-2017-16404
CVE-2017-16405
CVE-2017-16408
CVE-2017-16409
CVE-2017-16412
CVE-2017-16414
CVE-2017-16417
CVE-2017-16418
CVE-2017-16420
CVE-2017-11293
Rajat ylittävä kirjoittaminen Koodin etäsuoritus Kriittinen CVE-2017-16407
CVE-2017-16413
CVE-2017-16415
CVE-2017-16416
Suojauksen ohitus Huomaamaton lataus Tärkeä
CVE-2017-16361
CVE-2017-16366
Suojauksen ohitus Tietojen paljastuminen Tärkeä CVE-2017-16369
Suojauksen ohitus Koodin etäsuoritus
Kriittinen
CVE-2017-16380
Pinon loppuminen Liiallinen resurssien kulutus Tärkeä CVE-2017-16419
Tyyppisekaannus Koodin etäsuoritus Kriittinen CVE-2017-16367
CVE-2017-16379
CVE-2017-16406
Ei-luotetun osoittimen viitteen poisto Koodin etäsuoritus Kriittinen CVE-2017-16364
CVE-2017-16371
CVE-2017-16372
CVE-2017-16373
CVE-2017-16375
CVE-2017-16411

Kiitokset

Adobe haluaa kiittää seuraavia henkilöitä ja organisaatioita näistä ongelmista ilmoittamisesta
ja yhteistyöstä Adoben kanssa sen asiakkaiden suojaamisessa:

  • Toan Pham Van (@__suto) (CVE-2017-16362, CVE-2017-16363, CVE-2017-16364, CVE-2017-16365)
  • Ke Liu, Tencentin Xuanwu LAB, yhdessä Trend Micron Zero Day Initiative -ohjelman kanssa (CVE-2017-16381, CVE-2017-16382, CVE-2017-16383, CVE-2017-16384, CVE-2017-16385, CVE-2017-16386, CVE-2017-16387, CVE-2017-16400, CVE-2017-16401, CVE-2017-16402, CVE-2017-16403, CVE-2017-16404)
  • Ke Liu, Tencentin Xuanwu LAB (CVE-2017-16370, CVE-2017-16371, CVE-2017-16372, CVE-2017-16373, CVE-2017-16374, CVE-2017-16375)
  • Steven Seeley (mr_me) Offensive Security -yhtiöstä yhteistyössä Trend Micron Zero Day Initiative -ohjelman kanssa (CVE-2017-16369)
  • Kamlapati Choubey, TELUS Security Labs (CVE-2017-16415)
  • Aleksandar Nikolic, Cisco Talos http://talosintelligence.com/vulnerability-reports/ (CVE-2017-16367)
  • Jun Kokatsu (@shhnjk) (CVE-2017-16366, CVE-2017-16361)
  • riusksk (泉哥), Tencent Security Platform Department (CVE-2017-11293, CVE-2017-16408, CVE-2017-16409, CVE-2017-16410, CVE-2017-16411, CVE-2017-16399, CVE-2017-16395, CVE-2017-16394)
  • Marcin Towalski (CVE-2017-16391)
  • Lin Wang Beihangin yliopistosta (CVE-2017-16416, CVE-2017-16417, CVE-2017-16418, CVE-2017-16405)
  • willJ, Tencent PC Manager (CVE-2017-16406, CVE-2017-16407, CVE-2017-16419, CVE-2017-16412, CVE-2017-16413, CVE-2017-16396, CVE-2017-16397, CVE-2017-16392)
  • Cybellum Technologies LTD cybellum.com (CVE-2017-16376, CVE-2017-16377, CVE-2017-16378, CVE-2017-16379)
  • Richard Warren, NCC Group Plc (CVE-2017-16380)
  • Gal De Leon, Palo Alto Networks (CVE-2017-16388, CVE-2017-16389, CVE-2017-16390, CVE-2017-16393, CVE-2017-16398, CVE-2017-16414, CVE-2017-16420)
  • Toan Pham @__suto (CVE-2017-16360)
  • Ashfaq Ansari - Project Srishti yhteistyössä iDefense Labsin kanssa (CVE-2017-16368)