Bollettino sulla sicurezza per Adobe Acrobat e Reader | APSB18-21
ID bollettino Data di pubblicazione Priorità
APSB18-21 10 luglio 2018 2

Riepilogo

Adobe ha rilasciato aggiornamenti di sicurezza per Adobe Acrobat e Reader per Windows e MacOS. Questi aggiornamenti risolvono vulnerabilità critiche e importanti.  Se sfruttate, tali vulnerabilità potrebbero causare l'esecuzione di codice arbitrario nel contesto dell'utente corrente.

Versioni interessate

Prodotto Track Versioni interessate Piattaforma Livello di priorità
Acrobat DC  Continuo
2018.011.20040 e versioni precedenti 
Windows e MacOS 2
Acrobat Reader DC Continuo
2018.011.20040 e versioni precedenti 
Windows e MacOS 2
         
Acrobat 2017 Classic 2017 2017.011.30080 e versioni precedenti Windows e MacOS 2
Acrobat Reader 2017 Classic 2017 2017.011.30080 e versioni precedenti Windows e MacOS 2
         
Acrobat DC  Classic 2015 2015.006.30418 e versioni precedenti
Windows e MacOS 2
Acrobat Reader DC  Classic 2015 2015.006.30418 e versioni precedenti
Windows e MacOS 2

Per domande su Acrobat DC, visitate la pagina con le Domande Frequenti su Acrobat DC

Per domande su Acrobat Reader DC, visitate la pagina con le Domande Frequenti su Acrobat ReaderDC.

Soluzione

Adobe consiglia agli utenti di aggiornare i software installati alle versioni più recenti seguendo le istruzioni riportate di seguito.
Le ultime versioni dei prodotti sono a disposizione degli utenti finali mediante uno dei seguenti metodi:

  • Gli utenti possono aggiornare manualmente i prodotti installati selezionando Aiuto > Verifica aggiornamenti.
  • I prodotti verranno aggiornati automaticamente non appena saranno rilevati nuovi aggiornamenti, senza l'intervento
    dell'utente.
  • È possibile scaricare il programma di installazione completo di Acrobat Reader dal Centro di download di Acrobat Reader.

Per gli amministratori IT (ambienti gestiti):

  • Scaricate i programmi di installazione enterprise da ftp://ftp.adobe.com/pub/adobe/ o fate riferimento alla versione specifica delle note sulla versione per i collegamenti ai programmi di installazione.
  • Installate gli aggiornamenti utilizzando il metodo che preferite, ad esempio AIP-GPO, il programma di avvio automatico, SCUP/SCCM (su Windows) oppure Apple Remote Desktop e SSH (su macOS).

Adobe classifica questi aggiornamenti in base ai seguenti livelli di priorità e consiglia agli utenti interessati di aggiornare la propria installazione alla versione più recente:

Prodotto Track Versioni aggiornate Piattaforma Livello di priorità Disponibilità
Acrobat DC Continuo 2018.011.20055
Windows e MacOS 2
Windows
MacOS
Acrobat Reader DC Continuo 2018.011.20055
Windows e MacOS 2
Windows
MacOS
           
Acrobat 2017 Classic 2017 2017.011.30096 Windows e MacOS 2
Windows
MacOS
Acrobat Reader DC 2017 Classic 2017 2017.011.30096 Windows e MacOS 2
Windows
MacOS
           
Acrobat DC Classic 2015 2015.006.30434
Windows e MacOS
2
Windows
MacOS
Acrobat Reader DC Classic 2015 2015.006.30434 Windows e MacOS 2
Windows
MacOS

Nota:

Come indicato in questo annuncio precedente, il supporto per Adobe Acrobat 11.x e Adobe Reader 11.x è stato sospeso il 15 ottobre 2017.La versione 11.0.23 è la versione finale di Adobe Acrobat 11.x e Adobe Reader 11.x. Adobe consiglia vivamente di eseguire l'aggiornamento alle versioni più recenti di Adobe Acrobat DC e Adobe Acrobat Reader DC. L'aggiornamento delle installazioni alle versioni più recenti consente di accedere agli ultimi miglioramenti delle funzioni e a misure di protezione ottimizzate.

Dettagli della vulnerabilità

Categoria della vulnerabilità Impatto della vulnerabilità Gravità Codice CVE
Vulnerabilità double-free
Esecuzione di codice arbitrario Critica CVE-2018-12782
Sovraccarico dell'heap
Esecuzione di codice arbitrario
Critica CVE-2018-5015, CVE-2018-5028,   CVE-2018-5032, CVE-2018-5036,   CVE-2018-5038, CVE-2018-5040,   CVE-2018-5041, CVE-2018-5045,   CVE-2018-5052, CVE-2018-5058,   CVE-2018-5067, CVE-2018-12785, CVE-2018-12788, CVE-2018-12798
Use-after-free 
Esecuzione di codice arbitrario
Critica CVE-2018-5009, CVE-2018-5011,   CVE-2018-5065, CVE-2018-12756, CVE-2018-12770, CVE-2018-12772, CVE-2018-12773, CVE-2018-12776, CVE-2018-12783, CVE-2018-12791, CVE-2018-12792, CVE-2018-12796, CVE-2018-12797  
Scritture fuori limite 
Esecuzione di codice arbitrario
Critica CVE-2018-5020, CVE-2018-5021,   CVE-2018-5042, CVE-2018-5059,   CVE-2018-5064, CVE-2018-5069,   CVE-2018-5070, CVE-2018-12754, CVE-2018-12755, CVE-2018-12758, CVE-2018-12760, CVE-2018-12771, CVE-2018-12787
Aggiramento della protezione Acquisizione illecita di privilegi
Critica
CVE-2018-12802
Lettura fuori limite Divulgazione di informazioni Importante CVE-2018-5010, CVE-2018-12803,  CVE-2018-5014, CVE-2018-5016, CVE-2018-5017, CVE-2018-5018, CVE-2018-5019, CVE-2018-5022, CVE-2018-5023, CVE-2018-5024, CVE-2018-5025, CVE-2018-5026, CVE-2018-5027, CVE-2018-5029, CVE-2018-5031, CVE-2018-5033, CVE-2018-5035, CVE-2018-5039, CVE-2018-5044, CVE-2018-5046, CVE-2018-5047, CVE-2018-5048, CVE-2018-5049, CVE-2018-5050, CVE-2018-5051, CVE-2018-5053, CVE-2018-5054, CVE-2018-5055, CVE-2018-5056, CVE-2018-5060, CVE-2018-5061, CVE-2018-5062, CVE-2018-5063, CVE-2018-5066, CVE-2018-5068, CVE-2018-12757, CVE-2018-12761, CVE-2018-12762, CVE-2018-12763, CVE-2018-12764, CVE-2018-12765, CVE-2018-12766, CVE-2018-12767, CVE-2018-12768, CVE-2018-12774, CVE-2018-12777, CVE-2018-12779, CVE-2018-12780, CVE-2018-12781, CVE-2018-12786, CVE-2018-12789, CVE-2018-12790, CVE-2018-12795
Confusione del tipo di oggetto Esecuzione di codice arbitrario Critica CVE-2018-5057, CVE-2018-12793, CVE-2018-12794
Riferimento a un puntatore non affidabile  Esecuzione di codice arbitrario Critica CVE-2018-5012, CVE-2018-5030
Errori del buffer
Esecuzione di codice arbitrario Critica CVE-2018-5034, CVE-2018-5037, CVE-2018-5043, CVE-2018-12784

Ringraziamenti

Adobe desidera ringraziare i singoli e le organizzazioni seguenti per la collaborazione e per aver segnalato i problemi specifici, contribuendo così a proteggere la sicurezza dei nostri clienti:

  • Gal De Leon di Palo Alto Networks (CVE-2018-5009, CVE-2018-5066)

  • Segnalazione anonima tramite la Zero Day Initiative di Trend Micro (CVE-2018-12770, CVE-2018-12771, CVE-2018-12772, CVE-2018-12773, CVE-2018-12774, CVE-2018-12776, CVE-2018-12777, CVE-2018-12779, CVE-2018-12780, CVE-2018-12781, CVE-2018-12783,CVE-2018-12795, CVE-2018-12797)

  • WillJ di Tencent PC Manager tramite la Zero Day Initiative di Trend Micro (CVE-2018-5058, CVE-2018-5063, CVE-2018-5065)

  • Steven Seeley tramite la Zero Day Initiative di Trend Micro (CVE-2018-5012, CVE-2018-5030, CVE-2018-5033, CVE-2018-5034, CVE-2018-5035, CVE-2018-5059, CVE-2018-5060, CVE-2018-12793, CVE-2018-12796) 

  • Ke Liu del Xuanwu LAB di Tencent tramite la Zero Day Initiative di Trend Micro (CVE-2018-12803, CVE-2018-5014, CVE-2018-5015, CVE-2018-5016, CVE-2018-5017, CVE-2018-5018, CVE-2018-5019, CVE-2018-5027, CVE-2018-5028, CVE-2018-5029, CVE-2018-5031, CVE-2018-5032, CVE-2018-5055, CVE-2018-5056, CVE-2018-5057)

  • Sebastian Apelt di Siberas tramite la Zero Day Initiative di Trend Micro (CVE-2018-12794)

  • Zhiyuan Wang di Chengdu Qihoo360 Tech Co. Ltd. (CVE-2018-12758)

  • Lin Wang della Beihang University (CVE-2018-5010, CVE-2018-5020, CVE-2018-12760, CVE-2018-12761, CVE-2018-12762, CVE-2018-12763, CVE-2018-12787, CVE-2018-5067) 

  • Zhenjie Jia del Qihoo 360 Vulcan Team (CVE-2018-12757)

  • Netanel Ben Simon e Yoav Alon di Check Point Software Technologies (CVE-2018-5063, CVE-2018-5064, CVE-2018-5065, CVE-2018-5068, CVE-2018-5069, CVE-2018-5070, CVE-2018-12754, CVE-2018-12755, CVE-2018-12764, CVE-2018-12765, CVE-2018-12766, CVE-2018-12767. CVE-2018-12768)

  • Aleksandar Nikolic di Cisco Talos (CVE-2018-12756)

  • Vladislav Stolyarov di Kaspersky Lab (CVE-2018-5011) 

  • Ke Liu del Xuanwu LAB di Tencent (CVE-2018-12785, CVE-2018-12786)

  • Kdot tramite la Zero Day Initiative di Trend Micro (CVE-2018-5036, CVE-2018-5037, CVE-2018-5038, CVE-2018-5039, CVE-2018-5040, CVE-2018-5041, CVE-2018-5042, CVE-2018-5043, CVE-2018-5044, CVE-2018-5045, CVE-2018-5046, CVE-2018-5047, CVE-2018-5048, CVE-2018-5049, CVE-2018-5050, CVE-2018-5051, CVE-2018-5052, CVE-2018-5053, CVE-2018-5054, CVE-2018-5020)

  • Pengsu Cheng di Trend Micro, in collaborazione con la Zero Day Initiative di Trend Micro (CVE-2018-5061, CVE-2018-5067, CVE-2018-12790, CVE-2018-5056)

  • Ron Waisberg, in collaborazione con la Zero Day Initiative di Trend Micro (CVE-2018-5062, CVE-2018-12788, CVE-2018-12789) 

  • Steven Seeley (mr_me) di Source Incite, in collaborazione con iDefense Labs (CVE-2018-12791, CVE-2018-12792, CVE-2018-5015)

  • iDefense Labs (CVE-2018-12798)

  • XuPeng del TCA/SKLCS Institute of Software, Chinese Academy of Sciences, e HuangZheng del Baidu Security Lab (CVE-2018-12782)

  • Utente anonimo (CVE-2018-12784, CVE-2018-5009)

  • mr_me di Source Incite, in collaborazione la Zero Day Initiative di Trend Micro (CVE-2018-12761)

  • Zhanglin He e Bo Qu di Palo Alto Networks (CVE-2018-5023, CVE-2018-5024)

  • Bo Qu di Palo Alto Networks e Heige del Knownsec 404 Security Team (CVE-2018-5021, CVE-2018-5022, CVE-2018-5025, CVE-2018-5026)