Adoben tietoturvatiedote

Hae

Adobe Acrobatin ja Readerin tietoturvapäivitys  | APSB24-57

Tiedotteen tunnus

Julkaisupäivä

Prioriteetti

APSB24-57

13. elokuuta 2024

3

Yhteenveto

Adobe on julkaissut tietoturvapäivityksen Adobe Acrobat- ja Reader-ohjelmistojen Windows- ja macOS-versioille. Tämä päivitys ratkaisee kriittisiä ja tärkeitä haavoittuvuuksia. Jos haavoittuvuuksia onnistutaan hyödyntämään, se voi johtaa mielivaltaisen koodin suorittamiseen, käyttöoikeuksien laajennukseen ja muistivuotoon.

 Adobe on tietoinen siitä, että haavoittuvuudessa CVE-2024-39383 on tunnettu konseptitodistus, joka voi aiheuttaa Adobe Acrobatin ja Readerin kaatumisen. Adobe ei ole tietoinen siitä, että tätä ongelmaa olisi hyödynnetty käytännössä. 

Versiot

Tuote

Seuranta

Versiot

Ympäristö

Acrobat DC 

Continuous 

24.002.20991 ja aiemmat versiot
(Windows)
24.002.20964 ja aiemmat versiot (MacOS)

Windows ja  macOS

Acrobat Reader DC

Continuous 

24.002.20991 ja aiemmat versiot
(Windows)
24.002.20964 ja aiemmat versiot (MacOS)

Windows ja macOS

Acrobat 2024

Classic 2024    

24.001.30123 ja aiemmat versiot

Windows ja macOS

Acrobat 2020

Classic 2020           

20.005.30636 ja aikaisemmat versiot (Windows)
20.005.30635 ja aikaisemmat versiot (MacOS)

Windows ja macOS

Acrobat Reader 2020

Classic 2020           

20.005.30636 ja aikaisemmat versiot (Windows)
20.005.30635 ja aikaisemmat versiot (MacOS)

Windows ja macOS

Vastauksia Acrobat DC:hen liittyviin kysymyksiin on Acrobat DC:n usein kysyttyjen kysymysten sivulla.

Vastauksia Acrobat Reader DC:hen liittyviin kysymyksiin on Acrobat Reader DC:n usein kysyttyjen kysymysten sivulla.

Ratkaisu

Adobe suosittelee käyttäjiä päivittämään ohjelmistonsa viimeisimpiin versioihin alla olevia ohjeita noudattaen.    

Loppukäyttäjät voivat hankkia uusimmat tuoteversiot seuraavilla tavoilla:    

  • Käyttäjät voivat päivittää tuoteasennuksensa manuaalisesti valitsemalla Ohje > Tarkista päivitysten saatavuus.     

  • Tuotteet päivittyvät automaattisesti ilman käyttäjän toimia, kun päivityksiä on havaittu.      

  • Acrobat Readerin täyden asennusohjelman voi ladata Acrobat Readerin latauskeskuksesta.   

IT-päälliköt (hallinnoidut ympäristöt):     

  • Katso asennusohjelmien linkit julkaisutietojen versiosta.

  • Asenna päivitykset haluamallasi tavalla, kuten AIP-GPO:n, esilatausohjelman, SCUP/SCCM:n (Windows-käyttöjärjestelmässä) tai macOS-ympäristössä Apple Remote Desktopin ja SSH:n kautta. 

   

Adobe luokittelee päivitykset seuraavan prioriteettiluokituksen mukaisesti ja suosittelee käyttäjiä päivittämään asennuksensa uusimpaan versioon:    

Tuote

Seuranta

Päivitetyt versiot

Ympäristö

Prioriteettiluokitus

Saatavuus

Acrobat DC

Continuous

24.002.21005

Windows ja macOS

3

Julkaisutiedot     

Acrobat Reader DC

Continuous

24.002.21005

Windows ja macOS

3

Julkaisutiedot     

Acrobat 2024

Classic 2024

24.001.30159

Windows  ja macOS  

3

Julkaisutiedot  

 

 

 

 

 

 

Acrobat 2020

Classic 2020           

20.005.30655

Windows ja macOS

3

Julkaisutiedot     

Acrobat Reader 2020

Classic 2020 

20.005.30655

 

Windows  ja macOS 

3

Julkaisutiedot 

Lisätietoja haavoittuvuuksista

Haavoittuvuusluokka Haavoittuvuuden vaikutus Vakavuus CVSS-peruspisteet CVSS-vektori CVE-numero
Use After Free (CWE-416)
 Mielivaltaisen koodin suoritus
 Kriittinen
 7.8 CVSS:3.1/AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H

CVE-2024-39383

 
Use After Free (CWE-416)
 Mielivaltaisen koodin suoritus
 Kriittinen 8.1 CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:N
 CVE-2024-39422
Rajat ylittävä kirjoittaminen (CWE-787)
 Mielivaltaisen koodin suoritus
 Kriittinen
 7.8 CVSS:3.1/AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H
 CVE-2024-39423
Use After Free (CWE-416)
 Mielivaltaisen koodin suoritus
 Kriittinen
 7.8 CVSS:3.1/AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H
 CVE-2024-39424
Salausallekirjoituksen tarkistus ei kelpaa (CWE-347)
 Käyttöoikeuksien laajennus
 Kriittinen 7.5 CVSS:3.1/AV:L/AC:H/PR:L/UI:R/S:C/C:H/I:H/A:H
 CVE-2024-39425
Puskurin jälkeisen muistisijainnin käyttö (CWE-788)
 Mielivaltaisen koodin suoritus
 Kriittinen
 7.8 CVSS:3.1/AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H
 CVE-2024-39426
Use After Free (CWE-416)
 Mielivaltaisen koodin suoritus
 Kriittinen
 7.8 CVSS:3.1/AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H
 CVE-2024-41830
Use After Free (CWE-416)
 Mielivaltaisen koodin suoritus
 Kriittinen
 7.8 CVSS:3.1/AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H
 CVE-2024-41831
Tarkistusajasta käyttöaikaan (TOCTOU) -kilpailuehto (CWE-367)
 Mielivaltaisen koodin suoritus
 Kriittinen
 7.8 CVSS:3.1/AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H
 CVE-2024-39420
Rajat ylittävä lukeminen (CWE-125)
 Muistivuoto Tärkeä 5.5 CVSS:3.1/AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:N/A:N
 CVE-2024-41832
Rajat ylittävä lukeminen (CWE-125)
 Muistivuoto Tärkeä 5.5 CVSS:3.1/AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:N/A:N CVE-2024-41833
Rajat ylittävä lukeminen (CWE-125)
 Muistivuoto Tärkeä 5.5 CVSS:3.1/AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:N/A:N CVE-2024-41834
Rajat ylittävä lukeminen (CWE-125)
 Muistivuoto Tärkeä 5.5 CVSS:3.1/AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:N/A:N CVE-2024-41835
Use After Free (CWE-416)
 Muistivuoto Tärkeä 5.5 CVSS:3.1/AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:N/A:N
 CVE-2024-45107

Kiitokset

Adobe haluaa kiittää seuraavaa tutkijaa tästä ongelmasta ilmoittamisesta ja yhteistyöstä Adoben kanssa sen asiakkaiden suojaamisessa.   

  • Cisco Talos (ciscotalos)  – CVE-2024-41830, CVE-2024-41832, CVE-2024-41835, CVE-2024-39420
  • Nimetön yhteistyössä Trend Micro Zero Day Initiative -ohjelman kanssa  – CVE-2024-39422, CVE-2024-39426, CVE-2024-41831, CVE-2024-41833, CVE-2024-41834, CVE-2024-45107
  • Defence Tech Security – CVE-2024-39425
  •  Haifei Li (EXPMON) ja Check Point Research – CVE-2024-39383
  • Mark Vincent Yason (markyason.github.io) yhteistyössä Trend Micron Zero Day Initiative -ohjelman kanssa – CVE-2024-39424
  • Mat Powell Trend Micro Zero Day Initiative -ohjelmasta – CVE-2024-39423

 

Versiot:

18. syyskuuta 2024: Lisätty kommentti haavoittuvuuteen CVE-2024-39383

4. syyskuuta 2024: Lisätty CVE-2024-45107

3. syyskuuta 2024: Lisätty CVE-2024-39420

HUOMAUTUS: Adobella on HackerOnessa yksityinen, vain kutsutuille tarkoitettu buginmetsästysohjelma. Jos olet kiinnostunut työskentelemään Adoben kanssa ulkopuolisena tietoturvatutkijana, täytä tämä lomake, niin saat ohjeet.

Saat lisätietoja siirtymällä osoitteeseen https://helpx.adobe.com/fi/security.html tai lähettämällä sähköpostia osoitteeseen PSIRT@adobe.com.

Pyydä apua nopeammin ja helpommin

Oletko uusi käyttäjä?

Pikalinkit

Näytä kaikki sopimuksesi Sopimusten hallinta
Näytä pikalinkit
Piilota pikalinkit