Sikkerhetsoppdateringer tilgjengelig for Adobe Acrobat og Reader | APSB18-09
Bulletin-ID Dato publisert Prioritet
APSB18-09 14. mai 2018 1

Sammendrag

Adobe har lansert sikkerhetsoppdateringer for Adobe Acrobat og Reader for Windows og macOS. Disse oppdateringene løser kritiske sikkerhetsproblemer som ved vellykket utnytting kan føre til vilkårlig kjøring av kode i konteksten til gjeldende bruker.

Adobe er klar over en rapport om at et sikkerhetsproblem som som utnytter CVE-2018-4990 er publisert offentlig.  Konseptbeviskode for CVE-2018-4993 er også publisert og er offentlig tilgjengelig.  

Berørte versjoner

Produkt Spor Berørte versjoner Plattform
Acrobat DC  Forbruker 2018.011.20038 og tidligere versjoner 
Windows og macOS
Acrobat Reader DC  Forbruker 2018.011.20038 og tidligere versjoner 
Windows og macOS
       
Acrobat 2017 Classic 2017 2017.011.30079 og tidligere versjoner Windows og macOS
Acrobat Reader 2017 Classic 2017 2017.011.30079 og tidligere versjoner Windows og macOS
       
Acrobat DC  Classic 2015 2015.006.30417 og tidligere versjoner
Windows og macOS
Acrobat Reader DC  Classic 2015 2015.006.30417 og tidligere versjoner
Windows og macOS

Hvis du vil ha mer informasjon om Acrobat DC, kan du gå til siden med vanlige spørsmål for Acrobat DC.

Hvis du vil ha mer informasjon om Acrobat Reader DC, kan du gå til siden med vanlige spørsmål for Acrobat Reader DC.

Løsning

Adobe anbefaler at brukere oppdaterer sine programvareinstallasjoner til de nyeste versjonene ved å følge instruksjonene nedenfor:
De nyeste produktversjonene er tilgjengelige for sluttbrukere via én av følgende metoder:

  • Brukere kan oppdatere produktinstallasjonene manuelt ved å velge Hjelp > Se etter oppdateringer.
  • Produktene vil oppdateres automatisk når oppdateringer
    oppdages, uten at det krever brukermedvirkning.
  • Det fullstendige installasjonsprogrammet for Acrobat Reader kan lastes ned fra nedlastingssenteret for Acrobat Reader.

For IT-administratorer (administrerte miljøer):

  • Last ned installasjonsprogrammer for bedrifter fra ftp://ftp.adobe.com/pub/adobe/, eller se de spesifikke produktmerknadene for koblinger til installasjonsprogrammer.
  • Installasjonsoppdateringer via din foretrukne metode, for eksempel AIP-GPO, bootstrapper, SCUP/SCCM
    (Windows) eller på Macintosh, Apple Remote Desktop og SSH.

Adobe kategoriserer disse oppdateringene med følgende prioritetsklassifiseringer og anbefaler at brukerne oppdaterer installasjonen til den nyeste versjonen:

Produkt Oppdaterte versjoner Plattform Prioritet Klassifisering Tilgjengelighet
Acrobat DC 2018.011.20040
Windows og macOS 1 Windows
macOS
Acrobat Reader DC 2018.011.20040
Windows og macOS 1 Windows
macOS
         
Acrobat 2017 2017.011.30080 Windows og macOS 1 Windows
macOS
Acrobat Reader DC 2017 2017.011.30080 Windows og macOS 1 Windows
macOS
         
Acrobat Reader DC (Classic 2015) 2015.006.30418
Windows og macOS
1 Windows
macOS
Acrobat DC (Classic 2015) 2015.006.30418 Windows og macOS 1 Windows
macOS

Merk:

Som beskrevet i den forrige kunngjøringen ble støtte for Adobe Acrobat 11.x og Adobe Reader 11.x avsluttet 15. oktober 15, 2017.  Versjon 11.0.23 er den endelige versjonen av Adobe Acrobat 11.x og Adobe Reader 11.x. Adobe anbefaler på det sterkeste at du oppdaterer til de nyeste versjonene av Adobe Acrobat DC og Adobe Acrobat Reader DC. Ved å oppdatere installasjoner til de nyeste versjonene, kan du bruke de nyeste forbedrede funksjonene og sikkerhetstiltakene.

Mer informasjon om sikkerhetsproblemet

Sikkerhetsproblemkategori Sikkerhetsprobleminnvirkning Alvorlighetsgrad CVE-nummer
Double Free
Vilkårlig kjøring av kode Kritisk CVE-2018-4990
Heap-overflyt
Vilkårlig kjøring av kode
Kritisk

CVE-2018-4947, CVE-2018-4948, CVE-2018-4966, CVE-2018-4968, CVE-2018-4978, CVE-2018-4982, CVE-2018-4984

Use-after-free 
Vilkårlig kjøring av kode
Kritisk CVE-2018-4996, CVE-2018-4952, CVE-2018-4954, CVE-2018-4958, CVE-2018-4959, CVE-2018-4961, CVE-2018-4971, CVE-2018-4974, CVE-2018-4977, CVE-2018-4980, CVE-2018-4983, CVE-2018-4988, CVE-2018-4989 
Skriving utenfor område 
Vilkårlig kjøring av kode
Kritisk CVE-2018-4950 
Sikkerhetsomgåelse Avsløring av informasjon Viktig CVE-2018-4979
Lesing utenfor område Avsløring av informasjon Viktig CVE-2018-4949, CVE-2018-4951, CVE-2018-4955, CVE-2018-4956, CVE-2018-4957, CVE-2018-4960, CVE-2018-4962, CVE-2018-4963, CVE-2018-4964, CVE-2018-4967, CVE-2018-4969, CVE-2018-4970, CVE-2018-4972, CVE-2018-4973, CVE-2018-4975, CVE-2018-4976, CVE-2018-4981, CVE-2018-4986, CVE-2018-4985
Type konflikt Vilkårlig kjøring av kode Kritisk CVE-2018-4953
Ikke-klarert pekerdeferanse  Vilkårlig kjøring av kode Kritisk CVE-2018-4987
Minneødeleggelse Avsløring av informasjon Viktig CVE-2018-4965
Tyveri av NTLM SSO-hash Avsløring av informasjon Viktig CVE-2018-4993
Injeksjon av linjeskift i HTTP POST via XFA-innsending Sikkerhetsomgåelse Viktig CVE-2018-4995

Merk:

Se denne KB-artikkelen for mer informasjon om å bekjempe CVE-2018-4993.  En tilleggsforsterking for CVE-2018-4993 er tilgjengelig for administratorer, som fører til blokkering av PDF-handlinger som åpner koblinger, inkludert GoToE, GoToR, Launch, Thread, Import Data, Export Form Data, Submit Form og Reset Form. Hvis du vil ha mer informasjon, kan du se denne dokumentasjonen.

Takk

Adobe takker følgende personer og firmaer for at de rapporterte disse
sikkerhetsproblemene og samarbeider med oss for å hjelpe oss med å beskytte våre kunders sikkerhet:

  • Aleksandar Nikolic fra Cisco Talos (CVE-2018-4996, CVE-2018-4947)
  • Anton Cherepanov, ESET og Matt Oh, Microsoft (CVE-2018-4990)
  • Vladislav Stolyarov fra Kaspersky Lab (CVE-2018-4988, CVE-2018-4987)
  • Yoav Alon og Netanel Ben-Simon fra Check Point Software Technologies (CVE-2018-4985)
  • Gal De Leon fra Palo Alto Networks (CVE-2018-4959, CVE-2018-4961)
  • Ke Liu fra Tencents Xuanwu Lab (CVE-2018-4960, CVE-2018-4986)
  • Rapportert anonymt via Trend Micros Zero Day Initiative (CVE-2018-4950, CVE-2018-4951, CVE-2018-4952, CVE-2018-4953, CVE-2018-4954, CVE-2018-4962, CVE-2018-4974)
  • WillJ fra Tencent PC Manager via Trend Micros Zero Day Initiative (CVE-2018-4948, CVE-2018-4949, CVE-2018-4955, CVE-2018-4971, CVE-2018-4973)
  • Riusksk fra Tencent Security Platform Department via Trend Micros Zero Day Initiative (CVE-2018-4956, CVE-2018-4957)
  • Steven Seeley via Trend Micros Zero Day Initiative (CVE-2018-4963, CVE-2018-4964, CVE-2018-4965, CVE-2018-4966, CVE-2018-4968, CVE-2018-4969)
  • Ke Liu fra Tencent's Xuanwu LAB i samarbeid med Trend Micros Zero Day Initiative (CVE-2018-4967, CVE-2018-4970, CVE-2018-4972, CVE-2018-4975, CVE-2018-4976, CVE-2018-4978, CVE-2018-4981, CVE-2018-4982)
  • Sebastian Apelt siberas via Trend Micros Zero Day Initiative (CVE-2018-4977)
  • AbdulAziz Hariri via Trend Micros Zero Day Initiative (CVE-2018-4979, CVE-2018-4980, CVE-2018-4984)
  • Hui Gao fra Palo Alto Networks og Heige (også kalt SuperHei) fra Knownsec 404 Security Team (CVE-2018-4958, CVE-2018-4983)
  • Cybellum Technologies LTD (CVE-2018-4989)
  • Alex fra Cure53 (CVE-2018-4995)
  • Assaf Baharav, Yaron Fruchtmann og Ido Solomon fra Check Point Software Technologies (CVE-2018-4993)

Revisjoner

15. mai 2018: Lagt til språk for å varsle brukere om at det finnes et offentlig publisert sikkerhetsproblem som utnytter CVE-2018-4990, og at konseptbeviskode for CVE-2018-4985 er publisert og er offentlig tilgjengelig. CVE-2018-4995 er også lagt til for å erstatte CVE-2018-4994, som allerede var tilordnet et ikke-relatert sikkerhetsproblem i Adobe Connect. CVE-2018-4996 er lagt til for å erstatte CVE-2018-4946, som allerede var tilordnet et ikke-relatert sikkerhetsproblem i Adobe Photoshop.

16. mai 2018: Rettet sammendragsdelen ved å erstatte CVE-2018-4985 med CVE-2018-4993.  Konseptbeviskode er offentlig tilgjengelig for CVE-2018-4993 og ikke CVE-2018-4985. 

17. mai 2018: La til en kobling til dokumentasjon som beskriver en tilleggsforsterking for CVE-2018-4993, som blokkerer at brukere følger koblinger i PDF-dokumenter.