Bollettino sulla sicurezza di Adobe

Data di pubblicazione: 5 gennaio 2017

Ultimo aggiornamento: 30 marzo 2017

Identificatore di vulnerabilità: APSB17-01

Priorità: 2

Codici CVE: CVE-2017-2939, CVE-2017-2940, CVE-2017-2941, CVE-2017-2942, CVE-2017-2943, CVE-2017-2944, CVE-2017-2945, CVE-2017-2946, CVE-2017-2947, CVE-2017-2948, CVE-2017-2949, CVE-2017-2950, CVE-2017-2951, CVE-2017-2952, CVE-2017-2953, CVE-2017-2954, CVE-2017-2955, CVE-2017-2956, CVE-2017-2957, CVE-2017-2958, CVE-2017-2959, CVE-2017-2960, CVE-2017-2961, CVE-2017-2962, CVE-2017-2963, CVE-2017-2964, CVE-2017-2965, CVE-2017-2966, CVE-2017-2967CVE-2017-2970, CVE-2017-2971, CVE-2017-2972, CVE-2017-3009, CVE-2017-3010

Piattaforme: Windows e Macintosh

Adobe ha rilasciato aggiornamenti di sicurezza per Adobe Acrobat e Reader per Windows e Macintosh. Questi aggiornamenti risolvono vulnerabilità critiche che potrebbero consentire a eventuali aggressori di assumere il controllo del sistema interessato.

Per domande su Acrobat DC, visitate la pagina con le Domande Frequenti di Acrobat DC. Per domande su Acrobat Reader DC, visitate la pagina con le Domande Frequenti su Acrobat Reader DC.

Adobe consiglia agli utenti di aggiornare i software installati alle versioni più recenti seguendo le istruzioni riportate di seguito.

Le ultime versioni dei prodotti sono a disposizione degli utenti finali mediante uno dei seguenti metodi:

• Gli utenti possono aggiornare manualmente i prodotti installati selezionando Aiuto > Verifica aggiornamenti. 
• I prodotti verranno aggiornati automaticamente non appena saranno rilevati nuovi aggiornamenti, senza l'intervento dell'utente. 
• È possibile scaricare il programma di installazione completo di Acrobat Reader dal Centro di download di Acrobat Reader.
  

Per gli amministratori IT (ambienti gestiti):

• Scaricate i programmi di installazione enterprise da ftp://ftp.adobe.com/pub/adobe/ o fate riferimento alla versione specifica delle note sulla versione per i collegamenti ai programmi di installazione.
• Installate gli aggiornamenti utilizzando il metodo che preferite, ad esempio AIP-GPO, il programma di avvio automatico, SCUP/SCCM (su Windows) oppure Apple Remote Desktop e SSH (su Macintosh).
  

Adobe classifica questi aggiornamenti in base ai seguenti livelli di priorità e consiglia agli utenti di aggiornare le proprie installazioni alle versioni più recenti:

• Questi aggiornamenti risolvono una vulnerabilità legata alla confusione dei tipi di oggetto che potrebbe provocare l'esecuzione di codice (CVE-2017-2962).
• Questi aggiornamenti risolvono vulnerabilità di tipo use-after-free che potrebbero provocare l'esecuzione di codice (CVE-2017-2950, CVE-2017-2951, CVE-2017-2955, CVE-2017-2956, CVE-2017-2957, CVE-2017-2958, CVE-2017-2961).
• Questi aggiornamenti risolvono vulnerabilità di sovraccarico del buffer (heap) che potrebbero causare l'esecuzione di codice (CVE-2017-2942, CVE-2017-2945, CVE-2017-2946, CVE-2017-2949, CVE-2017-2959, CVE-2017-2966, CVE-2017-2970, CVE-2017-2971, CVE-2017-2972).
• Questi aggiornamenti risolvono vulnerabilità di sovraccarico del buffer che potrebbero provocare l'esecuzione di codice (CVE-2017-2948, CVE-2017-2952).
• Questi aggiornamenti risolvono vulnerabilità di corruzione della memoria che potrebbero provocare l'esecuzione di codice (CVE-2017-2939, CVE-2017-2940, CVE-2017-2941, CVE-2017-2943, CVE-2017-2944, CVE-2017-2953, CVE-2017-2954, CVE-2017-2960, CVE-2017-2963, CVE-2017-2964, CVE-2017-2965, CVE-2017-2967, CVE-2017-3010).
• Questi aggiornamenti risolvono una vulnerabilità di aggiramento della protezione (CVE-2017-2947).
• Questi aggiornamenti risolvono una vulnerabilità di sovraccarico del buffer che potrebbe provocare la divulgazione di informazioni (CVE-2017-3009).

Adobe desidera ringraziare i singoli e le organizzazioni seguenti per la collaborazione e per aver segnalato i problemi specifici, contribuendo così a proteggere la sicurezza dei nostri clienti:

• Jaanus Kääp di Clarified Security e Utente anonimo in collaborazione con Zero Day Initiative di Trend Micro (CVE-2017-2939)
• kelvinwang di Tencent PC Manager (CVE-2017-2955, CVE-2017-2956, CVE-2017-2957, CVE-2017-2958)
• Steven Seeley di Source Incite in collaborazione con la Zero Day Initiative di Trend Micro e Kushal Arvind Shah di FortiGuard Labs di Fortinet (CVE-2017-2946)
• Sebastian Apelt (siberas) in collaborazione con la Zero Day Initiative di Trend Micro (CVE-2017-2961, CVE-2017-2967)
• Ke Liu del Xuanwu LAB di Tencent (CVE-2017-2940, CVE-2017-2942, CVE-2017-2943, CVE-2017-2944, CVE-2017-2945, CVE-2017-2952, CVE-2017-2953, CVE-2017-2954, CVE-2017-2972)
• kdot in collaborazione con Zero Day Initiative di Trend Micro (CVE-2017-2941, CVE-2017-3009)
• Nicolas Grgoire (Agarri) in collaborazione con la Zero Day Initiative di Trend Micro (CVE-2017-2962)
• Nicolas Grgoire (Agarri) in collaborazione con l'iDefense Vulnerability Contributor Program (CVE-2017-2948)
• Utente anonimo in collaborazione con la Zero Day Initiative di Trend Micro (CVE-2017-2951, CVE-2017-2970)
• Utente anonimo, in collaborazione con Zero Day Initiative di Trend Micro, e Utente anonimo, in collaborazione con iDefense (CVE-2017-2950)
  
• Ke Liu del Xuanwu LAB di Tencent, in collaborazione con Zero Day Initiative di Trend Micro, e riusksk (泉哥) del Tencent Security Platform Department (CVE-2017-2959)
  
• Ke Liu del Xuanwu LAB di Tencent, in collaborazione con Zero Day Initiative di Trend Micro (CVE-2017-2960, CVE-2017-2963, CVE-2017-2964, CVE-2017-2965, CVE-2017-2966)
• Wei Lei e Liu Yang della Nanyang Technological University, Utente anonimo in collaborazione con Zero Day Initiative di Trend Micro e Nicolas Grégoire - Agarri in collaborazione con iDefense Vulnerability Contributor Program (CVE-2017-2949)
• Alex Inführ di Cure53.de (CVE-2017-2947)
• Aleksandar Nikolic di Cisco Talos (CVE-2017-2971)
  
• Kushal Arvind Shah e Peixue Li dei FortiGuard Labs di Fortinet (CVE-2017-3010)

20 gennaio 2017: sono stati aggiunti riferimenti alle vulnerabilità CVE-2017-2970, CVE-2017-2971 e CVE-2017-2972, inavvertitamente omesse dal bollettino.

16 febbraio 2017: è stato aggiornamento il ringraziamento per le vulnerabilità CVE-2017-2939, CVE-2017-2946, CVE-2017-2949, CVE-2017-2950 e CVE-2017-2959, inavvertitamente omesse dal bollettino.

30 marzo 2017: è stato aggiornato il ringraziamento per le vulnerabilità CVE-2017-3009 e CVE-2017-3010, inavvertitamente omesse dal bollettino.