Sicherheits-Update für Adobe Acrobat und Reader verfügbar | APSB17-24
Bulletin-ID Veröffentlichungsdatum Priorität
APSB17-24 8. August 2017 2

Zusammenfassung

Adobe hat Sicherheitsupdates für Adobe Acrobat und Reader für Windows und Macintosh veröffentlicht. Diese Updates beheben kritische und wichtige Sicherheitslücken, die einem Angreifer die Übernahme des betroffenen Systems ermöglichen könnten. 

Betroffene Versionen

Diese Updates beheben kritische Sicherheitslücken in der Software. Adobe wird diesen Updates folgende Prioritäten zuweisen:

Produkt Betroffene Versionen Plattform
Acrobat DC (Continuous Track) 2017.009.20058 und frühere Versionen
Windows und Macintosh
Acrobat Reader DC (Continuous Track) 2017.009.20058 und frühere Versionen
Windows und Macintosh
     
Acrobat 2017 2017.008.30051 und frühere Versionen Windows und Macintosh
Acrobat Reader 2017 2017.008.30051 und frühere Versionen Windows und Macintosh
     
Acrobat DC (Classic Track) 2015.006.30306 und frühere Versionen
Windows und Macintosh
Acrobat Reader DC (Classic Track) 2015.006.30306 und frühere Versionen
Windows und Macintosh
     
Acrobat XI 11.0.20 und frühere Versionen Windows und Macintosh
Reader XI 11.0.20 und frühere Versionen Windows und Macintosh

Weitere Informationen zu Acrobat DC finden Sie auf der Seite Adobe Acrobat DC – Häufig gestellte Fragen.

Weitere Informationen zu Acrobat Reader DC finden Sie auf der Seite Adobe Acrobat Reader DC – Häufig gestellte Fragen.

Lösung

Adobe empfiehlt Benutzern, ihre Softwareinstallationen auf die neueste Version zu aktualisieren. Die Vorgehensweise dafür ist
nachfolgend beschrieben.
Endbenutzer erhalten die neuesten Produktversionen über eine der folgenden Methoden:

  • Benutzer können die Produktinstallation über „Hilfe“ > „Nach Updates suchen“ manuell aktualisieren.
  • Die Produkte werden ohne weiteren Benutzereingriff automatisch aktualisiert, sobald Aktualisierungen erkannt werden.
  • Das vollständige Acrobat Reader-Installationsprogramm kann im Acrobat Reader Download Center heruntergeladen werden.

Für IT-Administratoren (verwaltete Umgebungen):

  • Laden Sie die Enterprise-Installationsprogramme von ftp://ftp.adobe.com/pub/adobe/ herunter oder lesen Sie die spezielle Version der Versionshinweise, um Links zu Installationsprogrammen abzurufen.
  • Installieren Sie Updates mithilfe Ihrer bevorzugten Methode, zum Beispiel AIP-GPO, Bootstrapper, SCUP/SCCM
    (Windows) oder auf dem Macintosh, Apple Remote Desktop und SSH.

Adobe empfiehlt allen Anwendern die Installation der neuesten Version und stuft die Priorität dieser Updates wie folgt ein:

Produkt Aktualisierte Versionen Plattform Priorität Verfügbarkeit
Acrobat DC (Continuous Track) 2017.012.20098
Windows und Macintosh 2 Windows
Macintosh
Acrobat Reader DC (Continuous Track) 2017.012.20098 Windows und Macintosh 2 Download-Center
         
Acrobat 2017 2017.011.30066 Windows und Macintosh 2 Windows
Macintosh
Acrobat Reader 2017 2017.011.30066 Windows und Macintosh 2 Windows
Macintosh
         
Acrobat DC (Classic Track) 2015.006.30355
Windows und Macintosh
2 Windows
Macintosh
Acrobat Reader DC (Classic Track) 2015.006.30355 
Windows und Macintosh 2 Windows
Macintosh
         
Acrobat XI 11.0.21 Windows und Macintosh 2 Windows
Macintosh
Reader XI 11.0.21 Windows und Macintosh 2 Windows
Macintosh

Hinweis:

Version 11.0.22 ist für Benutzer verfügbar, die vom funktionellen Rückgang in XFA-Formularen betroffen sind, der mit Version 11.0.21 eingeführt wurde (weitere Details hier). Sowohl in Version 11.0.22 als auch 11.0.21 werden alle Sicherheitslücken in diesem Bulletin geschlossen.    

Sicherheitslückendetails

Sicherheitslückenkategorie Sicherheitslückenauswirkung Problemstufe CVE-Nummern
Speicherbeschädigung Ausführung von externem Code Kritisch CVE-2017-3016
Speicherbeschädigung Ausführung von externem Code Kritisch CVE-2017-3038
Use After Free Ausführung von externem Code Kritisch CVE-2017-3113
Unzureichende Verifizierung der Daten-Authentizität Offenlegung von Informationen Wichtig CVE-2017-3115
Speicherbeschädigung Ausführung von externem Code Kritisch CVE-2017-3116
Heap-Überlauf Ausführung von externem Code Kritisch CVE-2017-3117
Sicherheitsbypass Offenlegung von Informationen Wichtig CVE-2017-3118
Speicherbeschädigung Ausführung von externem Code Wichtig CVE-2017-3119
Use After Free Ausführung von externem Code Kritisch CVE-2017-3120
Heap-Überlauf Ausführung von externem Code Kritisch CVE-2017-3121
Speicherbeschädigung Offenlegung von Informationen Wichtig CVE-2017-3122
Speicherbeschädigung Ausführung von externem Code Kritisch CVE-2017-3123
Speicherbeschädigung Ausführung von externem Code Kritisch CVE-2017-3124
Speicherbeschädigung Offenlegung von Informationen Wichtig CVE-2017-11209
Speicherbeschädigung Offenlegung von Informationen Wichtig CVE-2017-11210
Heap-Überlauf Ausführung von externem Code Kritisch CVE-2017-11211
Speicherbeschädigung Ausführung von externem Code Kritisch CVE-2017-11212
Speicherbeschädigung Ausführung von externem Code Kritisch CVE-2017-11214
Speicherbeschädigung Ausführung von externem Code Kritisch CVE-2017-11216
Speicherbeschädigung Offenlegung von Informationen Wichtig CVE-2017-11217
Use After Free Ausführung von externem Code Kritisch CVE-2017-11218
Use After Free Ausführung von externem Code Kritisch CVE-2017-11219
Heap-Überlauf Ausführung von externem Code Kritisch CVE-2017-11220
Typverwechslung Ausführung von externem Code Kritisch CVE-2017-11221
Speicherbeschädigung Ausführung von externem Code Kritisch CVE-2017-11222
Use After Free Ausführung von externem Code Kritisch CVE-2017-11223
Use After Free Ausführung von externem Code Kritisch CVE-2017-11224
Speicherbeschädigung Ausführung von externem Code Kritisch CVE-2017-11226
Speicherbeschädigung Ausführung von externem Code Kritisch CVE-2017-11227
Speicherbeschädigung Ausführung von externem Code Kritisch CVE-2017-11228
Sicherheitsbypass Ausführung von externem Code Wichtig CVE-2017-11229
Speicherbeschädigung Offenlegung von Informationen Wichtig CVE-2017-11230
Use After Free Ausführung von externem Code Kritisch CVE-2017-11231
Use After Free Offenlegung von Informationen Wichtig CVE-2017-11232
Speicherbeschädigung Offenlegung von Informationen Wichtig CVE-2017-11233
Speicherbeschädigung Ausführung von externem Code Kritisch CVE-2017-11234
Use After Free Ausführung von externem Code Kritisch CVE-2017-11235
Speicherbeschädigung Offenlegung von Informationen Wichtig CVE-2017-11236
Speicherbeschädigung Ausführung von externem Code Kritisch CVE-2017-11237
Speicherbeschädigung Offenlegung von Informationen Kritisch CVE-2017-11238
Speicherbeschädigung Offenlegung von Informationen Kritisch CVE-2017-11239
Heap-Überlauf Ausführung von externem Code Kritisch CVE-2017-11241
Speicherbeschädigung Offenlegung von Informationen Wichtig CVE-2017-11242
Speicherbeschädigung Offenlegung von Informationen Wichtig CVE-2017-11243
Speicherbeschädigung Offenlegung von Informationen Wichtig CVE-2017-11244
Speicherbeschädigung Offenlegung von Informationen Wichtig CVE-2017-11245
Speicherbeschädigung Offenlegung von Informationen Wichtig CVE-2017-11246
Speicherbeschädigung Offenlegung von Informationen Wichtig CVE-2017-11248
Speicherbeschädigung Offenlegung von Informationen Wichtig CVE-2017-11249
Speicherbeschädigung Ausführung von externem Code Kritisch CVE-2017-11251
Speicherbeschädigung Offenlegung von Informationen Kritisch CVE-2017-11252
Use After Free Ausführung von externem Code Wichtig CVE-2017-11254
Speicherbeschädigung Offenlegung von Informationen Wichtig CVE-2017-11255
Use After Free Ausführung von externem Code Kritisch CVE-2017-11256
Typverwechslung Ausführung von externem Code Kritisch CVE-2017-11257
Speicherbeschädigung Offenlegung von Informationen Wichtig CVE-2017-11258
Speicherbeschädigung Ausführung von externem Code Kritisch CVE-2017-11259
Speicherbeschädigung Ausführung von externem Code Kritisch CVE-2017-11260
Speicherbeschädigung Ausführung von externem Code Kritisch CVE-2017-11261
Speicherbeschädigung Ausführung von externem Code Kritisch CVE-2017-11262
Speicherbeschädigung Ausführung von externem Code Wichtig CVE-2017-11263
Speicherbeschädigung Offenlegung von Informationen Wichtig CVE-2017-11265
Speicherbeschädigung Ausführung von externem Code Kritisch CVE-2017-11267
Speicherbeschädigung Ausführung von externem Code Kritisch CVE-2017-11268
Speicherbeschädigung Ausführung von externem Code Kritisch CVE-2017-11269
Speicherbeschädigung Ausführung von externem Code Kritisch CVE-2017-11270
Speicherbeschädigung Ausführung von externem Code Kritisch CVE-2017-11271

Hinweis:

CVE -2017-3038 wurde in 2017.009.20044 und 2015.006.30306 (Version April 2017) behoben, aber die Korrektur war für Version 11.0.20 unvollständig.  Diese Schwachstelle ist jetzt vollständig in Version 11.0.21 behoben (Version August 2017).  

Danksagung

Adobe bedankt sich bei den folgenden Personen für das Melden dieser
Sicherheitslücken und deren Beitrag zum Schutz der Sicherheit unserer Kunden:

  • @vftable in Zusammenarbeit mit der Zero Day Initiative von Trend Micro (CVE-2017-11211, CVE-2017-11251)
  • Aleksandar Nikolic von Cisco Talos (CVE-2017-11263)
  • Alex Infuhr von Cure 53 (CVE -2017-11229)
  • Ashfaq Ansari vom Srishti-Projekt (CVE -2017-11221)
  • Ashfaq Ansari vom Srishti-Projekt in Zusammenarbeit mit dem iDefense Vulnerability Contributor Program (CVE -2017-3038)
  • Cybellum Technologies LTD (CVE-2017-3117)
  • Anonym gemeldet durch die Zero Day Initiative von Trend Micro (CVE-2017-3113, CVE-2017-3120, CVE-2017-11218, CVE-2017-11224, CVE-2017-11223)
  • Fernando Munoz in Zusammenarbeit mit der Zero Day Initiative von Trend Micro (CVE-2017-3115)
  • Giwan Go von STEALIEN & HIT in Zusammenarbeit mit der Zero Day Initiative von Trend Micro (CVE-2017-11228, CVE-2017-11230)
  • Heige (auch bekannt als SuperHei) (CVE -2017-11222)
  • Jaanus Kp Clarified Security in Zusammenarbeit mit der Zero Day Initiative von Trend Micro (CVE-2017-11236, CVE-2017-11237, CVE-2017-11252, CVE-2017-11231, CVE-2017-11265)
  • Jaanus Kp Clarified Security in Zusammenarbeit mit der Zero Day Initiative von Trend Micro und Ashfaq Ansari – Srishti-Projekt in Zusammenarbeit mit der Zero Day Initiative von Trend Micro (CVE-2017-11231)
  • Jihui Lu von Tencent KeenLab (CVE-2017-3119)
  • kdot in Zusammenarbeit mit der Zero Day Initiative von Trend Micro (CVE-2017-11234, CVE-2017-11235, CVE-2017-11271)
  • Ke Liu vom Xuanwu LAB von Tencent in Zusammenarbeit mit der Zero Day Initiative von Trend Micro (CVE-2017-3121, CVE-2017-3122, CVE-2017-11212, CVE-2017-11216, CVE-2017-11217, CVE-2017-11238, CVE-2017-11239, CVE-2017-11241, CVE-2017-11242, CVE-2017-11243, CVE-2017-11244, CVE-2017-11245, CVE-2017-11246, CVE-2017-11248, CVE-2017-11249, CVE-2017-11233, CVE-2017-11261, CVE-2017-11260, CVE-2017-11258, CVE-2017-11259, CVE-2017-11267, CVE-2017-11268, CVE-2017-11269, CVE-2017-11259, CVE-2017-11270, CVE-2017-11261)
  • Ke Liu vom Xuanwu LAB von Tencent in Zusammenarbeit mit der Zero Day Initiative von Trend Micro und Steven Seeley (mr_me) von Offensive Security (CVE-2017-11212, CVE-2017-11214, CVE-2017-11227)
  • Siberas für das SecuriTeam Secure Disclosure Program von Beyond Security (CVE-2017-11254)
  • Richard Warren (CVE-2017-3118)
  • riusksk vom Tencent Security Platform Department (CVE-2017-3016)
  • Sebastian Apelt von siberas in Zusammenarbeit mit der Zero Day Initiative von Trend Micro (CVE-2017-11219, CVE-2017-11256, CVE-2017-11257)
  • Steven Seeley (mr_me) von Offensive Security in Zusammenarbeit mit der Zero Day Initiative von Trend Micro (CVE-2017-11209, CVE-2017-11210, CVE-2017-11232, CVE-2017-11255, CVE-2017-3123, CVE-2017-3124)
  • Steven Seeley in Zusammenarbeit mit dem SecuriTeam Secure Disclosure Program von Beyond Security (CVE-2017-11220)
  • Steven Seeley (CVE-2017-11262)
  • Sushan (CVE-2017-11226
  • Toan Pham (CVE-2017-3116)

Historie

29. August 2017: Die Lösung Tabelle wurde aktualisiert und enthält nun die neuen Updates, die ab 29. August verfügbar sind. Durch diese Updates wird ein funktioneller Rückgang in XFA-Formularen behoben, von dem einige Benutzer betroffen waren. Durch die Version vom 29. August wird außerdem die Sicherheitslücke CVE-2017-11223 behoben.  

CVE-2017-11223 wurde bereits mit den Updates vom 8. August (Versionen 2017.012.20093, 2017.011.30059 und 2015.006.30352) behoben, doch aufgrund eines funktionellen Rückgangs in diesen Versionen wurden temporäre Hotfixes angeboten, durch die diese Behebung von CVE-2017-11223 rückgängig gemacht wurde. Durch die Versionen vom 29. August wird sowohl der Rückgang als auch CVE-2017-11223 behoben. Weitere Informationen finden Sie in diesem Blogbeitrag