Bollettino sulla sicurezza di Adobe

Data di pubblicazione: 7 gennaio 2016

Ultimo aggiornamento: 27 aprile 2016

Identificatore di vulnerabilità: APSB16-02

Priorità: consultare la tabella riportata di seguito

Codici CVE: CVE-2016-0931, CVE-2016-0932, CVE-2016-0933, CVE-2016-0934, CVE-2016-0935, CVE-2016-0936, CVE-2016-0937, CVE-2016-0938, CVE-2016-0939, CVE-2016-0940, CVE-2016-0941, CVE-2016-0942, CVE-2016-0943, CVE-2016-0944, CVE-2016-0945, CVE-2016-0946, CVE-2016-0947, CVE-2016-1111

Piattaforme: Windows e Macintosh

Adobe ha rilasciato aggiornamenti di sicurezza per Adobe Acrobat e Reader per Windows e Macintosh. Questi aggiornamenti risolvono vulnerabilità critiche che potrebbero consentire a eventuali aggressori di assumere il controllo del sistema interessato.

Nota: Come segnalato in questoarticolo di blog, Adobe Acrobat X e Adobe Reader X non sono più supportati. Adobe consiglia agli utenti interessati di eseguire l'installazione di Adobe Acrobat CC e CC di Adobe Acrobat Reader per le funzioni e gli aggiornamenti di sicurezza più recenti.

Per domande su Acrobat DC, visitate la pagina con le Domande Frequenti di Acrobat DC. Per domande su Acrobat Reader DC, visitate la pagina con le Domande Frequenti su Acrobat Reader DC.   

Adobe consiglia agli utenti di aggiornare i software installati alle versioni più recenti seguendo le istruzioni riportate di seguito.

Le ultime versioni dei prodotti sono a disposizione degli utenti finali mediante uno dei seguenti metodi: 

• Gli utenti possono aggiornare manualmente i prodotti installati selezionando Aiuto > Verifica aggiornamenti. 
• I prodotti verranno aggiornati automaticamente non appena saranno rilevati nuovi aggiornamenti, senza alcun intervento da parte dell'utente. 
• È possibile scaricare il programma di installazione completo di Acrobat Reader dal Centro di download di Acrobat Reader.

Per gli amministratori IT (ambienti gestiti):

• Scaricate i programmi di installazione enterprise da ftp://ftp.adobe.com/pub/adobe/ o fate riferimento alla versione specifica delle note sulla versione per i collegamenti ai programmi di installazione.
• Installate gli aggiornamenti utilizzando il metodo che preferite, ad esempio AIP-GPO, il programma di avvio automatico, SCUP/SCCM (su Windows) oppure Apple Remote Desktop e SSH (su Macintosh).

• Questi aggiornamenti risolvono vulnerabilità di tipo use-after-free che potrebbero provocare l'esecuzione di codice (CVE-2016-0932, CVE-2016-0934, CVE-2016-0937, CVE-2016-0940, CVE-2016-0941). 
• Questi aggiornamenti risolvono vulnerabilità di tipo double-free che potrebbero provocare l'esecuzione di codice (CVE-2016-0935, CVE-2016-1111). 
• Questi aggiornamenti risolvono vulnerabilità di corruzione della memoria che potrebbero provocare l'esecuzione di codice (CVE-2016-0931, CVE-2016-0933, CVE-2016-0936, CVE-2016-0938, CVE-2016-0939, CVE-2016-0942, CVE-2016-0944, CVE-2016-0945, CVE-2016-0946). 
• Questi aggiornamenti risolvono un metodo per ignorare le restrizioni riguardanti l'esecuzione di API Javascript (CVE-2016-0943).
• Un aggiornamento di Adobe Download Manager risolve una vulnerabilità nel percorso di ricerca nelle directory utilizzato per trovare le risorse che potrebbero provocare l'esecuzione di codice (CVE-2016-0947).
  

Adobe desidera ringraziare i singoli e le organizzazioni seguenti per la collaborazione e per aver segnalato i problemi specifici, contribuendo così a proteggere la sicurezza dei nostri clienti:

• AbdulAziz Hariri di Zero Day Initiative di HPE (CVE-2016-0932, CVE-2016-0937, CVE-2016-0943)
• AbdulAziz Hariri e Jasiel Spelman di Zero Day Initiative di HPE (CVE-2016-0941)
• Behzad Najjarpour Jabbari, Secunia Research presso Flexera Software (CVE-2016-0940)
• Brian Gorenc di Zero Day Initiative di HPE (CVE-2016-0931)
• Chris Navarrete dei FortiGuard Labs Fortinet (CVE-2016-0942)
• Jaanus Kp di Clarified Security, in collaborazione con Zero Day Initiative di HPE (CVE-2016-0936, CVE-2016-0938, CVE-2016-0939)
• kdot, in collaborazione con Zero Day Initiative di HPE (CVE-2016-0934, CVE-2016-0935, CVE-2016-1111)
• Linan Hao di Qihoo 360 Vulcan Team (CVE-2016-0944, CVE-2016-0945, CVE-2016-0946)
• Mahinthan Chandramohan, Wei Lei e Liu Yang in collaborazione con Vulnerability Contributor Program di iDefense (CVE-2016-0933)
• Segnalato indipendentemente da Vladimir Dubrovin, Eric Lawrence e KeLiu di Xuanwu LAB di Tencent (CVE-2016-0947)
  

27 aprile 2016: è stato aggiunto il riferimento alla vulnerabilità CVE-2016-1111, inavvertitamente omessa dalla versione originale del bollettino.