Sikkerhetsbulletin for Adobe Acrobat og Reader | APSB18-41
Bulletin-ID Dato publisert Prioritet
APSB18-41 11. desember 2018 2

Sammendrag

Adobe har lansert sikkerhetsoppdateringer for Adobe Acrobat og Reader for Windows og macOS. Disse oppdateringene løser kritiske og  viktige sikkerhetsproblemer. Vellykket utnytting kan føre til vilkårlig kjøring av kode i konteksten til gjeldende bruker.   

Berørte versjoner

Produkt Spor Berørte versjoner Plattform
Acrobat DC  Kontinuerlig
2019.008.20081 og tidligere versjoner 
Windows 
Acrobat DC  Kontinuerlig 2019.008.20080 og tidligere versjoner macOS
Acrobat Reader DC Kontinuerlig
2019.008.20081 og tidligere versjoner Windows
Acrobat Reader DC Kontinuerlig 2019.008.20080 og tidligere versjoner macOS
       
Acrobat 2017 Classic 2017 2017.011.30106 og tidligere versjoner Windows
Acrobat 2017 Classic 2017 2017.011.30105 og tidligere versjoner macOS
Acrobat Reader 2017 Classic 2017 2017.011.30106 og tidligere versjoner Windows
Acrobat Reader 2017 Classic 2017 2017.011.30105 og tidligere versjoner macOS
       
Acrobat DC  Classic 2015 2015.006.30457 og tidligere versjoner  Windows
Acrobat DC  Classic 2015 2015.006.30456 og tidligere versjoner  macOS
Acrobat Reader DC  Classic 2015 2015.006.30457 og tidligere versjoner  Windows
Acrobat Reader DC Classic 2015 2015.006.30456 og tidligere versjoner  macOS

Løsning

Adobe anbefaler at brukere oppdaterer sine programvareinstallasjoner til de nyeste versjonene ved å følge instruksjonene nedenfor.
De nyeste produktversjonene er tilgjengelige for sluttbrukere via én av følgende metoder:

  • Brukere kan oppdatere produktinstallasjonene manuelt ved å velge Hjelp > Se etter oppdateringer.
  • Produktene vil oppdateres automatisk når oppdateringer oppdages, uten at det krever brukermedvirkning.
  • Det fullstendige installasjonsprogrammet for Acrobat Reader kan lastes ned fra nedlastingssenteret for Acrobat Reader.

For IT-administratorer (administrerte miljøer):

  • Last ned installasjonsprogrammer for bedrifter fra ftp://ftp.adobe.com/pub/adobe/, eller se de spesifikke produktmerknadene for koblinger til installasjonsprogrammer.
  • Installasjonsoppdateringer via din foretrukne metode, for eksempel AIP-GPO, bootstrapper, SCUP/SCCM (Windows) eller på macOS, Apple Remote Desktop og SSH.

Adobe kategoriserer disse oppdateringene med følgende prioritetsklassifiseringer og anbefaler at brukerne oppdaterer installasjonen til den nyeste versjonen:

Produkt Track Oppdaterte versjoner Plattform Prioritet Klassifisering Tilgjengelighet
Acrobat DC Kontinuerlig 2019.010.20064 Windows og macOS 2 Windows

macOS
Acrobat Reader DC Kontinuerlig 2019.010.20064
Windows og macOS 2 Windows

macOS
           
Acrobat 2017 Classic 2017 2017.011.30110 Windows og macOS 2 Windows

macOS
Acrobat Reader DC 2017 Classic 2017 2017.011.30110 Windows og macOS 2 Windows

macOS
           
Acrobat DC Classic 2015 2015.006.30461 Windows og macOS 2 Windows

macOS
Acrobat Reader DC Classic 2015 2015.006.30461 Windows og macOS 2 Windows

macOS

Informasjon om sikkerhetsproblemet

Sikkerhetsproblemkategori Sikkerhetsprobleminnvirkning Alvorlighetsgrad CVE-nummer

Bufferfeil

 

Vilkårlig kjøring av kode

 

Kritisk

 

CVE-2018-15998

CVE-2018-15987

 

Ikke-klarert pekerdeferanse

 

Vilkårlig kjøring av kode

 

 

 

Kritisk

 

 

CVE-2018-16004

CVE-2018-19720

Sikkerhetsomgåelse

 

Rettighetsutvidelse

 

Kritisk

 

 

 

CVE-2018-16045

CVE-2018-16044

CVE-2018-16018

 

 

Use After Free

 

 

 

 

Vilkårlig kjøring av kode

 

 

 

 

Kritisk

 

 

CVE-2018-19715

CVE-2018-19713

CVE-2018-19708

CVE-2018-19707

CVE-2018-19700

CVE-2018-19698

CVE-2018-16046

CVE-2018-16040

CVE-2018-16039

CVE-2018-16037

CVE-2018-16036

CVE-2018-16029

CVE-2018-16027

CVE-2018-16026

CVE-2018-16025

CVE-2018-16014

CVE-2018-16011

CVE-2018-16008

CVE-2018-16003

CVE-2018-15994

CVE-2018-15993

CVE-2018-15992

CVE-2018-15991

CVE-2018-15990

 

 

Skriving utenfor område 

 

 

 

 

Vilkårlig kjøring av kode

 

 

 

 

Kritisk

 

 

CVE-2018-19702

CVE-2018-16016

CVE-2018-16000

CVE-2018-15999

CVE-2018-15988

 

 

Heap-overflyt

 

 

 

 

Vilkårlig kjøring av kode

 

 

 

 

Kritisk

 

 

CVE-2018-19716

CVE-2018-16021

CVE-2018-12830

 

 

Lesing utenfor område

 

 

 

 

Avsløring av informasjon

 

 

 

 

Viktig

 

 

CVE-2018-19717

CVE-2018-19714

CVE-2018-19712

CVE-2018-19711

CVE-2018-19710 

CVE-2018-19709

CVE-2018-19706

CVE-2018-19705

CVE-2018-19704 

CVE-2018-19703

CVE-2018-19701

CVE-2018-19699

CVE-2018-16047 

CVE-2018-16043

CVE-2018-16041

CVE-2018-16038

CVE-2018-16035 

CVE-2018-16034

CVE-2018-16033

CVE-2018-16032

CVE-2018-16031 

CVE-2018-16030

CVE-2018-16028

CVE-2018-16024

CVE-2018-16023 

CVE-2018-16022

CVE-2018-16020

CVE-2018-16019

CVE-2018-16017 

CVE-2018-16015

CVE-2018-16013

CVE-2018-16012

CVE-2018-16010 

CVE-2018-16006

CVE-2018-16005

CVE-2018-16002

CVE-2018-16001 

CVE-2018-15997

CVE-2018-15996

CVE-2018-15989

CVE-2018-15985 

CVE-2018-15984

CVE-2018-19719

 

Heltallsoverflyt

 

Avsløring av informasjon

 

 

 

Viktig

 

 

CVE-2018-16009

CVE-2018-16007

CVE-2018-15995

CVE-2018-15986

Sikkerhetsomgåelse Avsløring av informasjon Viktig CVE-2018-16042

Takk

Adobe takker følgende personer og firmaer for at de rapporterte disse sikkerhetsproblemene og samarbeider med oss for å hjelpe oss med å beskytte våre kunders sikkerhet:

  • Rapportert anonymt via Trend Micros Zero Day Initiative (CVE-2018-16029, CVE-2018-16027, CVE-2018-16025, CVE-2018-15997, CVE-2018-15992)

  • Ke Liu fra Tencents Xuanwu Lab (CVE-2018-19706, CVE-2018-19705, CVE-2018-19704, CVE-2018-19703, CVE-2018-19702, CVE-2018-16035, CVE-2018-16020, CVE-2018-16019, CVE-2018-16016, CVE-2018-16015, CVE-2018-16013, CVE-2018-15990, CVE-2018-15988).

  • kdot i samarbeid med Trend Micros Zero Day Initiative (CVE-2018-19712, CVE-2018-19711, CVE-2018-16030, CVE-2018-16028, CVE-2018-16012, CVE-2018-16002, CVE-2018-16001, CVE-2018-15996)

  • Esteban Ruiz (mr_me) fra Source Incite via Trend Micros Zero Day Initiative (CVE-2018-16026, CVE-2018-15994, CVE-2018-15993, CVE-2018-15991, CVE-2018-16008).

  • Du pingxin fra NSFOCUS Security Team (CVE-2018-16022, CVE-2018-16021, CVE-2018-16017, CVE-2018-16000, CVE-2018-15999)

  • Lin Wang fra Beihang University via Trend Micros Zero Day Initiative (CVE-2018-16014)

  • guyio via Trend Micros Zero Day Initiative (CVE-2018-16024, CVE-2018-16023, CVE-2018-15995)

  • Pengsu Cheng fra Trend Micro Security Research via Trend Micros Zero Day Initiative (CVE-2018-15985)

  • XuPeng fra TCA/SKLCS Institute of Software Chinese Academy of Sciences og HuangZheng fra Baidu Security Lab (CVE-2018-12830)

  • Linan Hao fra Qihoo 360 Vulcan Team og Zhenjie Jia fra Qihoo 360 Vulcan Team (CVE-2018-16041)

  • Steven Seeley via Trend Micros Zero Day Initiative (CVE-2018-16008)

  • Roderick Schaefer via Trend Micros Zero Day Initiative (CVE-2018-19713)

  • Lin Wang fra Beihang University (CVE-2018-15998, CVE-2018-15989, CVE-2018-15987, CVE-2018-15986, CVE-2018-15984)

  • Vladislav  Mladenov, Christian Mainka, Karsten Meyer zu Selhausen, Martin Grothe og Jorg Schwenk fra Ruhr-Universität Bochum (CVE-2018-16042)

  • Aleksandar Nikolic fra Cisco Talos (CVE-2018-19716)

  • Kamlapati Choubey via Trend Micros Zero Day Initiative (CVE-2018-19714)

  • Sebastian Apelt (@bitshifter123) via Trend Micros Zero Day Initiative (CVE-2018-16010, CVE-2018-16003, CVE-2018-16044, CVE-2018-19720, CVE-2018-19719)

  • En spesiell takk til Abdul Aziz Hariri fra Trend Micros Zero Day Initiative for hans defense-in-depth-bidrag for å forsterke omgåelse av JavaScript-API-begrensninger (CVE-2018-16018)

  • AbdulAziz Hariri fra Zero Day Initiative og Sebastian Apelt for defense-in-depth-bidrag for å bekjempe angrepsoverflaten for Onix-indeksering (CVE-2018-16004, CVE-2018-16005, CVE-2018-16007, CVE-2018-16009, CVE-2018-16043, CVE-2018-16045, CVE-2018-16046)

  • Qi Deng fra Palo Alto Networks (CVE-2018-16033, CVE-2018-16032, CVE-2018-16031)

  • Zhibin Zhang fra Palo Alto Networks (CVE-2018-16037, CVE-2018-16036, CVE-2018-16034)

  • Hui Gao og Qi Deng fra Palo Alto Networks (CVE-2018-19698, CVE-2018-16047, CVE-2018-16040, CVE-2018-16038)

  • Hui Gao og Zhibin Zhang fra Palo Alto Networks (CVE-2018-19710, CVE-2018-19709, CVE-2018-19707, CVE-2018-19700, CVE-2018-19699)

  • Bo Qu fra Palo Alto Networks og Heige fra Knownsec 404 Security Team (CVE-2018-19717, CVE-2018-19715, CVE-2018-19708, CVE-2018-19701, CVE-2018-16039)