Bollettino sulla sicurezza di Adobe

Cerca

Aggiornamento di sicurezza disponibile per Adobe Acrobat e Reader  | APSB24-57

ID bollettino

Data di pubblicazione

Priorità

APSB24-57

13 agosto 2024

3

Riepilogo

Adobe ha rilasciato un aggiornamento di sicurezza per Adobe Acrobat e Reader per Windows e macOS. Questo aggiornamento risolve vulnerabilità critiche e importanti. Se sfruttate, tali vulnerabilità potrebbero causare un'esecuzione di codice arbitrario, l'acquisizione illecita di privilegi e una perdita di memoria.

Adobe è a conoscenza del fatto che la vulnerabilità CVE-2024-39383 presenta una proof of concept nota che potrebbe causare l’arresto anomalo di Adobe Acrobat e Reader. Adobe non è a conoscenza del fatto che questo problema viene sfruttato in modo incontrollato. 

Versioni interessate

Prodotto

Track

Versioni interessate

Piattaforma

Acrobat DC 

Continuous 

24.002.20991 e versioni precedenti
(Windows)
24.002.20964 e versioni precedenti (MacOS)

Windows e  macOS

Acrobat Reader DC

Continuous 

24.002.20991 e versioni precedenti
(Windows)
24.002.20964 e versioni precedenti (MacOS)

Windows e macOS

Acrobat 2024

Classic 2024    

24.001.30123 e versioni precedenti

Windows e macOS

Acrobat 2020

Classic 2020           

20.005.30636 e versioni precedenti (Windows)
20.005.30635 e versioni precedenti (MacOS)

Windows e macOS

Acrobat Reader 2020

Classic 2020           

20.005.30636 e versioni precedenti (Windows)
20.005.30635 e versioni precedenti (MacOS)

Windows e macOS

Per domande su Acrobat DC, visitate la pagina con le Domande Frequenti su Acrobat DC. 

Per domande su Acrobat Reader DC, visitate la pagina con le Domande Frequenti su Acrobat Reader DC.

Soluzione

Adobe consiglia agli utenti di aggiornare i software installati alle versioni più recenti seguendo le istruzioni riportate di seguito.    

Le ultime versioni dei prodotti sono a disposizione degli utenti finali mediante uno dei seguenti metodi:    

  • Gli utenti possono aggiornare manualmente i prodotti installati selezionando Aiuto > Verifica aggiornamenti.     

  • I prodotti verranno aggiornati automaticamente non appena saranno rilevati nuovi aggiornamenti, senza l'intervento dell'utente.      

  • È possibile scaricare il programma di installazione completo di Acrobat Reader dal Centro di download di Acrobat Reader.     

Per gli amministratori IT (ambienti gestiti):     

  • Consultare la versione della nota di rilascio specifica per link ai programmi di installazione.     

  • Installate gli aggiornamenti utilizzando il metodo che preferite, ad esempio AIP-GPO, il programma di avvio automatico, SCUP/SCCM (su Windows) oppure Apple Remote Desktop e SSH (su macOS). 

   

Adobe classifica questi aggiornamenti in base ai seguenti livelli di priorità e consiglia agli utenti interessati di aggiornare la propria installazione alla versione più recente:    

Prodotto

Track

Versioni aggiornate

Piattaforma

Livello di priorità

Disponibilità

Acrobat DC

Continuous

24.002.21005

Windows e macOS

3

Note sul rilascio     

Acrobat Reader DC

Continuous

24.002.21005

Windows e macOS

3

Note sul rilascio     

Acrobat 2024

Classic 2024

24.001.30159

Windows  e macOS  

3

Note sul rilascio  

 

 

 

 

 

 

Acrobat 2020

Classic 2020           

20.005.30655

Windows e macOS

3

Note sul rilascio     

Acrobat Reader 2020

Classic 2020 

20.005.30655

 

Windows  e macOS 

3

Note sul rilascio 

Dettagli della vulnerabilità

Categoria della vulnerabilità Impatto della vulnerabilità Gravità Punteggio base CVSS Vettore CVSS Codice CVE
Use After Free (CWE-416)
 Esecuzione di codice arbitrario
 Critica
 7.8 CVSS:3.1/AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H

CVE-2024-39383

 
Use After Free (CWE-416)
 Esecuzione di codice arbitrario
 Critica 8.1 CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:N
 CVE-2024-39422
Scrittura fuori limite (CWE-787)
 Esecuzione di codice arbitrario
 Critica
 7.8 CVSS:3.1/AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H
 CVE-2024-39423
Use After Free (CWE-416)
 Esecuzione di codice arbitrario
 Critica
 7.8 CVSS:3.1/AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H
 CVE-2024-39424
Verifica non corretta della firma crittografica (CWE-347)
 Acquisizione illecita di privilegi
 Critico 7.5 CVSS:3.1/AV:L/AC:H/PR:L/UI:R/S:C/C:H/I:H/A:H
 CVE-2024-39425
Accesso alla posizione della memoria dopo la fine del buffer (CWE-788)
 Esecuzione di codice arbitrario
 Critica
 7.8 CVSS:3.1/AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H
 CVE-2024-39426
Use After Free (CWE-416)
 Esecuzione di codice arbitrario
 Critica
 7.8 CVSS:3.1/AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H
 CVE-2024-41830
Use After Free (CWE-416)
 Esecuzione di codice arbitrario
 Critica
 7.8 CVSS:3.1/AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H
 CVE-2024-41831
Situazione di corsa Time-of-check Time-of-use (TOCTOU) (CWE-367)
 Esecuzione di codice arbitrario
 Critica
 7.8 CVSS:3.1/AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H
 CVE-2024-39420
Lettura fuori dai limiti (CWE-125)
 Perdita di memoria Importante 5.5 CVSS:3.1/AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:N/A:N
 CVE-2024-41832
Lettura fuori dai limiti (CWE-125)
 Perdita di memoria Importante 5.5 CVSS:3.1/AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:N/A:N CVE-2024-41833
Lettura fuori dai limiti (CWE-125)
 Perdita di memoria Importante 5.5 CVSS:3.1/AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:N/A:N CVE-2024-41834
Lettura fuori dai limiti (CWE-125)
 Perdita di memoria Importante 5.5 CVSS:3.1/AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:N/A:N CVE-2024-41835
Use After Free (CWE-416)
 Perdita di memoria Importante 5.5 CVSS:3.1/AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:N/A:N
 CVE-2024-45107

Ringraziamenti

Adobe desidera ringraziare il seguente ricercatore per la collaborazione e per aver segnalato il problema, contribuendo così a proteggere la sicurezza dei nostri clienti:   

  • Cisco Talos (ciscotalos)  - CVE-2024-41830, CVE-2024-41832, CVE-2024-41835, CVE-2024-39420
  • Utente anonimo che lavora con Trend Micro Zero Day Initiative  - CVE-2024-39422, CVE-2024-39426, CVE-2024-41831, CVE-2024-41833, CVE-2024-41834, CVE-2024-45107
  • Sicurezza tecnica della difesa - CVE-2024-39425
  •  Haifei Li di EXPMON e ricerca dei punti di controllo - CVE-2024-39383
  • Mark Vincent Yason (markyason.github.io) in collaborazione con la Trend Micro Zero Day Initiative - CVE-2024-39424
  • Mat Powell di Trend Micro Zero Day Initiative - CVE-2024-39423

 

Revisioni:

18 settembre 2024: aggiunta di un commento su CVE-2024-39383

4 settembre 2024: aggiunto CVE-2024-45107

3 settembre 2024: aggiunto CVE-2024-39420

NOTA: Adobe dispone di un programma di bug bounty privato, solo su invito, con HackerOne. Se sei interessato a lavorare con Adobe come ricercatore di sicurezza esterno, compila questo modulo per le fasi successive.

Per ulteriori informazioni, visitare il sito https://helpx.adobe.com/it/security.html o inviare un'e-mail a PSIRT@adobe.com.

Ottieni supporto in modo più facile e veloce

Nuovo utente?

Collegamenti rapidi

Visualizza tutti i tuoi piani Gestione dei piani
Visualizza collegamenti rapidi
Nascondi collegamenti rapidi