Boletín de seguridad de Adobe

Adobe ha publicado actualizaciones de seguridad para Adobe Acrobat y Reader para Windows y Macintosh. Estas actualizaciones solucionan vulnerabilidades críticas e importantes que podrían permitir que un intruso se hiciera con el control del sistema afectado. 

Versiones afectadas

Para obtener más información sobre Acrobat DC, visita la página de preguntas frecuentes sobre Acrobat DC.

Para obtener más información sobre Acrobat Reader DC, visita la página de preguntas frecuentes sobre Acrobat Reader DC.

Solución

Adobe recomienda que los usuarios sigan las instrucciones que se indican a continuación
para actualizar sus instalaciones de software a la última versión.
Las últimas versiones de productos están disponibles para los usuarios finales mediante uno de los métodos siguientes:

• Los usuarios pueden actualizar manualmente la instalación de sus productos seleccionando Ayuda > Buscar actualizaciones.
• Los productos se actualizan automáticamente cuando se detectan actualizaciones
  sin que ser requiera la intervención de los usuarios.
• El asistente de instalación completo de Acrobat Reader se puede descargar en el Centro de descargas de Acrobat Reader.
  

Para los administradores de TI (entornos administrados):

• Descarga los asistentes de instalación en la página ftp://ftp.adobe.com/pub/adobe/ o consulta la versión específica de la nota de lanzamiento para acceder a los enlaces de los asistentes de instalación. 
• Instala las actualizaciones según tu sistema preferido, como AIP-GPO, bootstrapper y SCUP/SCCM
  en Windows o Apple Remote Desktop y SSH en Macintosh.
  

Adobe categoriza estas actualizaciones de acuerdo con los siguientes niveles de prioridad y recomienda que los usuarios actualicen los programas a las versiones más recientes:

Detalles sobre la vulnerabilidad

Agradecimientos

Adobe desea dar las gracias a las siguientes personas y organizaciones por informar de
problemas relevantes y por colaborar con Adobe para ayudarnos a proteger la seguridad de nuestros clientes:

• @vftable en colaboración con Trend Micro Zero Day Initiative (CVE-2017-11211, CVE-2017-11251)
• Aleksandar Nikolic, de Cisco Talos (CVE-2017-11263)
• Alex Infuhr, de Cure 53 (CVE-2017-11229)
• Ashfaq Ansari, de proyecto Srishti (CVE-2017-11221)
• Ashfaq Ansari de Project Srishti en colaboración con iDefense Vulnerability Contributor Program (CVE-2017-3038)
• Cybellum Technologies LTD (CVE-2017-3117)
• Informante anónimo a través de Trend Micro Zero Day Initiative (CVE-2017-3113, CVE-2017-3120, CVE-2017-11218, CVE-2017-11224, CVE-2017-11223)
• Fernando Muñoz en colaboración con Trend Micro Zero Day Initiative (CVE-2017-3115)
• Giwan Go de STEALIEN & HIT en colaboración con Trend Micro Zero Day Initiative (CVE-2017-11228, CVE-2017-11230)
• Heige (SuperHei) de Knwonsec 404 Team (CVE-2017-11222)
• Jaanus Kp de Clarified Security en colaboración con Trend Micro Zero Day Initiative (CVE-2017-11236, CVE-2017-11237, CVE-2017-11252, CVE-2017-11231, CVE-2017-11265)
• Jaanus Kp Clarified Security en colaboración con Trend Micro Zero Day Initiative, y Ashfaq Ansari - Project Srishti en colaboración con Trend Micro Zero Day Initiative (CVE-2017-11231)
• Jihui Lu de Tencent KeenLab (CVE-2017-3119)
• kdot en colaboración con Trend Micro Zero Day Initiative (CVE-2017-11234, CVE-2017-11235, CVE-2017-11271)
• Ke Liu de Tencent Xuanwu LAB en colaboración con Trend Micro Zero Day Initiative (CVE-2017-3121, CVE-2017-3122, CVE-2017-11212, CVE-2017-11216, CVE-2017-11217, CVE-2017-11238, CVE-2017-11239, CVE-2017-11241, CVE-2017-11242, CVE-2017-11243, CVE-2017-11244, CVE-2017-11245, CVE-2017-11246, CVE-2017-11248, CVE-2017-11249, CVE-2017-11233, CVE-2017-11261, CVE-2017-11260, CVE-2017-11258, CVE-2017-11259, CVE-2017-11267, CVE-2017-11268, CVE-2017-11269, CVE-2017-11259, CVE-2017-11270, CVE-2017-11261)
• Ke Liu de Tencent Xuanwu LAB en colaboración con Trend Micro Zero Day Initiative y Steven Seeley (mr_me) de Offensive Security (CVE-2017-11212, CVE-2017-11214, CVE-2017-11227)
• Siberas en colaboración con Beyond Security SecuriTeam Secure Disclosure Program (CVE-2017-11254)
• Richard Warren (CVE-2017-3118)
• riusksk del Departamento de Plataformas de seguridad de Tencent (CVE-2017-3016)
• Sebastian Apelt siberas en colaboración con Trend Micro Zero Day Initiative (CVE-2017-11219, CVE-2017-11256, CVE-2017-11257)
• Steven Seeley (mr_me) de Offensive Security en colaboración con Trend Micro Zero Day Initiative (CVE-2017-11209, CVE-2017-11210, CVE-2017-11232, CVE-2017-11255, CVE-2017-3123, CVE-2017-3124)
• Steven Seeley en colaboración con Beyond Security SecuriTeam Secure Disclosure Program (CVE-2017-11220)
• Steven Seeley (CVE-2017-11262)
• Sushan (CVE-2017-11226
• Toan Pham (CVE-2017-3116)

Revisiones

29 de agosto de 2017: la tabla Solución se ha actualizado para agregar las nuevas actualizaciones que están disponibles desde el 29 de agosto.  Estas actualizaciones solucionan la regresión funcional de los formularios XFA que ha afectado a algunos usuarios.  Las versiones del 29 de agosto también solucionan la vulnerabilidad de seguridad CVE-2017-11223.  

La vulnerabilidad CVE-2017-11223 se había solucionado en la actualización del 8 de agosto (versiones 2017.012.20093, 2017.011.30059 y 2015.006.30352) pero, debido a una regresión funcional en dichas versiones, se han publicado revisiones de seguridad que revertían la solución de CVE-2017-11223. Las versiones del 29 de agosto solucionan la regresión y ofrecen una solución para la vulnerabilidad CVE-2017-11223. Para obtener más información, consulte esta entrada del blog.