Bollettino sulla sicurezza di Adobe

Data di pubblicazione: 14 luglio 2015

Identificatore di vulnerabilità: APSB15-15

Priorità: consultare la tabella riportata di seguito

Codici CVE:  CVE-2014-0566, CVE-2014-8450, CVE-2015-3095, CVE-2015-4435, CVE-2015-4438, CVE-2015-4441, CVE-2015-4443, CVE-2015-4444, CVE-2015-4445, CVE-2015-4446, CVE-2015-4447, CVE-2015-4448, CVE-2015-4449, CVE-2015-4450, CVE-2015-4451, CVE-2015-4452, CVE-2015-5085, CVE-2015-5086, CVE-2015-5087, CVE-2015-5088, CVE-2015-5089, CVE-2015-5090, CVE-2015-5091, CVE-2015-5092, CVE-2015-5093, CVE-2015-5094, CVE-2015-5095, CVE-2015-5096, CVE-2015-5097, CVE-2015-5098, CVE-2015-5099, CVE-2015-5100, CVE-2015-5101, CVE-2015-5102, CVE-2015-5103, CVE-2015-5104, CVE-2015-5105, CVE-2015-5106, CVE-2015-5107, CVE-2015-5108, CVE-2015-5109, CVE-2015-5110, CVE-2015-5111, CVE-2015-5113, CVE-2015-5114, CVE-2015-5115

Piattaforme: Windows e Macintosh

Adobe ha rilasciato aggiornamenti di sicurezza per Adobe Acrobat e Reader per Windows e Macintosh. Questi aggiornamenti risolvono vulnerabilità critiche che potrebbero consentire a eventuali aggressori di assumere il controllo del sistema interessato.

Per domande su Acrobat DC, visitate la pagina con le Domande Frequenti di Acrobat DC. Per domande su Acrobat Reader DC, visitate la pagina con le Domande Frequenti su Acrobat Reader DC.   

Adobe consiglia agli utenti interessati di aggiornare i software installati alle versioni più recenti, utilizzando uno dei metodi seguenti:

• Gli utenti possono aggiornare manualmente i prodotti installati selezionando Aiuto > Verifica aggiornamenti.  
• I prodotti verranno aggiornati automaticamente non appena saranno rilevati nuovi aggiornamenti, senza l'intervento dell'utente.  
• È possibile scaricare il programma di installazione completo di Acrobat Reader dal Centro di download di Acrobat Reader.  

Per gli amministratori IT (ambienti gestiti):

• Scaricate i programmi di installazione enterprise da ftp://ftp.adobe.com/pub/adobe/ o fate riferimento alla versione specifica delle note sulla versione per i collegamenti ai programmi di installazione.
• Installate gli aggiornamenti utilizzando il metodo che preferite, ad esempio AIP-GPO, il programma di avvio automatico, SCUP/SCCM (su Windows) oppure Apple Remote Desktop e SSH (su Macintosh). 

• Questi aggiornamenti risolvono una vulnerabilità di sovraccarico del buffer che potrebbe provocare l'esecuzione di codice (CVE-2015-5093).  
• Questi aggiornamenti risolvono vulnerabilità di overflow del buffer basato su heap che potrebbero provocare l'esecuzione di codice (CVE-2015-5096, CVE-2015-5098, CVE-2015-5105).  
• Questi aggiornamenti risolvono vulnerabilità di corruzione della memoria che potrebbero provocare l'esecuzione di codice (CVE-2015-5087, CVE-2015-5094, CVE-2015-5100, CVE-2015-5102, CVE-2015-5103, CVE-2015-5104, CVE-2015-3095, CVE-2015-5115, CVE-2014-0566). 
• Questi aggiornamenti risolvono una vulnerabilità di perdita delle informazioni (CVE-2015-5107).  
• Questi aggiornamenti risolvono vulnerabilità di aggiramento della protezione che potrebbero provocare la divulgazione di informazioni (CVE-2015-4449, CVE-2015-4450, CVE-2015-5088, CVE-2015-5089, CVE-2015-5092, CVE-2014-8450).  
• Questi aggiornamenti risolvono una vulnerabilità di sovraccarico dello stack che potrebbe provocare l'esecuzione di codice (CVE-2015-5110). 
• Questi aggiornamenti risolvono vulnerabilità di tipo use-after-free che potrebbero provocare l'esecuzione di codice (CVE-2015-4448, CVE-2015-5095, CVE-2015-5099, CVE-2015-5101, CVE-2015-5111, CVE-2015-5113, CVE-2015-5114). 
• Questi aggiornamenti risolvono problemi di aggiramento della convalida che potrebbero essere sfruttati per eseguire un'escalation dei privilegi da un livello di integrità basso a uno medio (CVE-2015-4446, CVE-2015-5090, CVE-2015-5106). 
• Questi aggiornamenti risolvono un problema di aggiramento della convalida che potrebbe essere sfruttato per causare una condizione di negazione di servizio sul sistema interessato (CVE-2015-5091).  
• Questi aggiornamenti risolvono vulnerabilità di overflow di valori integer che potrebbero provocare l'esecuzione di codice (CVE-2015-5097, CVE-2015-5108, CVE-2015-5109).  
• Questi aggiornamenti risolvono diversi metodi utilizzati per aggirare le restrizioni sull'esecuzione dell'API JavaScript (CVE-2015-4435, CVE-2015-4438, CVE-2015-4441, CVE-2015-4445, CVE-2015-4447, CVE-2015-4451, CVE-2015-4452, CVE-2015-5085, CVE-2015-5086).  
• Questi aggiornamenti risolvono problemi di referenziazione di un puntatore non valido che protrebbero provocare una condizione di negazione di servizio (CVE-2015-4443, CVE-2015-4444). 

Adobe desidera ringraziare i singoli e le organizzazioni seguenti per la collaborazione e per aver segnalato i problemi specifici, contribuendo così a proteggere la sicurezza dei nostri clienti: 

• AbdulAziz Hariri e Jasiel Spelman di Zero Day Initiative di HP (CVE-2015-5085, CVE-2015-5086, CVE-2015-5090, CVE-2015-5091) 
• AbdulAziz Hariri di Zero Day Initiative di HP (CVE-2015-4438, CVE-2015-4447, CVE-2015-4452, CVE-2015-5093, CVE-2015-5094, CVE-2015-5095, CVE-2015-5101, CVE-2015-5102, CVE-2015-5103, CVE-2015-5104, CVE-2015-5113, CVE-2015-5114, CVE-2015-5115) 
• Alex Inführ di Cure53.de (CVE-2015-4449, CVE-2015-4450, CVE-2015-5088, CVE-2015-5089, CVE-2014-8450)
• bilou, in collaborazione con VeriSign iDefense Labs (CVE-2015-4448, CVE-2015-5099) 
• Brian Gorenc di Zero Day Initiative di HP (CVE-2015-5100, CVE-2015-5111) 
• Il Security Research Team di MWR Labs (@mwrlabs) (CVE-2015-4451) 
• James Forshaw di Google Project Zero (CVE-2015-4446) 
• Jihui Lu di KeenTeam (CVE-2015-5087) 
• JinCheng Liu di Alibaba Security Research Team (CVE-2015-5096, CVE-2015-5097, CVE-2015-5098, CVE-2015-5105)
• Keen Team, in collaborazione con Zero Day Initiative di HP (CVE-2015-5108) 
• kernelsmith, in collaborazione con Zero Day Initiative di HP (CVE-2015-4435, CVE-2015-4441) 
• Mateusz Jurczyk di Google Project Zero (CVE-2015-3095) 
• Matt Molinyawe di Zero Day Initiative di HP (CVE-2015-4445) 
• Mauro Gentile di Minded Security (CVE-2015-5092) 
• Nicolas Joly, in collaborazione con Zero Day Initiative di HP (CVE-2015-5106, CVE-2015-5107, CVE-2015-5109, CVE-2015-5110) 
• Wei Lei e Wu Hongjun della Nanyang Technological University (-0566-, CVE-2014) 
• Wu Ha di Alibaba Security Research Team (CVE-2015-4443, CVE-2015-4444)