Adobe a publié une mise à jour de sécurité pour Adobe Digital Editions pour Windows, Macintosh, iOS et Android. Cette mise à jour résout une vulnérabilité critique de type « débordement de la mémoire tampon au niveau du tas » susceptible d’entraîner l’exécution de code, sept vulnérabilités importantes de type « corruption de mémoire » susceptibles d’entraîner la divulgation des adresses mémoire et une vulnérabilité critique de traitement des entités XML externes susceptible d’entraîner la divulgation d’informations.
| Produit | Version | Plate-forme |
|---|---|---|
| Adobe Digital Editions | Versions 4.5.5 et antérieures | Windows, Macintosh, iOS et Android |
Adobe attribue à ces mises à jour les priorités suivantes et recommande aux utilisateurs concernés de mettre à jour leurs installations avec les dernières versions des logiciels :
| Produit | Version | Plate-forme | Priorité | Disponibilité |
| Adobe Digital Editions | 4.5.6 | Windows | 2 | Page de téléchargement |
| Macintosh | 2 | Page de téléchargement | ||
| iOS | 2 | iTunes | ||
| Android | 2 | Playstore |
Remarque :
- Les utilisateurs d’Adobe Digital Editions 4.5.5 peuvent télécharger la mise à jour sur la page de téléchargement dédiée ou utiliser le processus de mise à jour automatique s’ils y sont invités.
- Pour plus d’informations, consultez les notes de version.
| Catégorie de la vulnérabilité | Impact de la vulnérabilité | Gravité | Références CVE |
| Dépassement de tampon | Exécution de code à distance | Critique | CVE-2017-11274 |
| Corruption de mémoire | Divulgation d’adresse mémoire | Important | CVE-2017-3091, CVE-2017-11275, CVE-2017-11276, CVE-2017-11277, CVE-2017-11278, CVE-2017-11279, CVE-2017-11280 |
| Analyse des entités XML externes | Divulgation d’informations | Critique | CVE-2017-11272 |
Adobe tient à remercier les personnes et sociétés suivantes d’avoir signalé ces problèmes particuliers et joint leurs efforts aux nôtres pour assurer la sécurité des clients :
- Steven Seeley de Source Incite (CVE-2017-11272)
- Steven Seeley de Source Incite pour sa contribution au projet Zero Day Initiative de Trend Micro (CVE-2017-3091, CVE-2017-11274)
- Jaanus Kääp de Clarified Security (CVE-2017-11275, CVE-2017-11276, CVE-2017-11277, CVE-2017-11278, CVE-2017-11279)
- Riusksk du Tencent Security Platform Department (CVE-2017-11280)