Adobe – sikkerhetsbulletin

Søk

Sikkerhetsoppdatering tilgjengelig for Adobe Acrobat og Reader  | APSB24-57

Bulletin-ID

Publiseringsdato

Prioritet

APSB24-57

13. august 2024

3

Sammendrag

Adobe har lansert en sikkerhetsoppdatering for Adobe Acrobat og Reader for Windows og macOS. Denne oppdateringen adresserer kritiske og viktige sikkerhetsproblemer. Vellykket utnyttelse kan føre til kjøring av vilkårlig kode, eskalering av rettigheter og minnelekkasje.

 Adobe er klar over at CVE-2024-39383 har et kjent konseptbevis som kan føre til at Adobe Acrobat og Reader krasjer. Adobe er ikke kjent med at dette problemet utnyttes der ute. 

Berørte versjoner

Produkt

Spor

Berørte versjoner

Plattform

Acrobat DC 

Continuous 

24.002.20991 og tidligere versjoner
(Windows)
24.002.20964 og tidligere versjoner (MacOS)

Windows og macOS

Acrobat Reader DC

Continuous 

24.002.20991 og tidligere versjoner
(Windows)
24.002.20964 og tidligere versjoner (MacOS)

Windows og macOS

Acrobat 2024

Classic 2024    

24.001.30123 og tidligere versjoner

Windows og macOS

Acrobat 2020

Classic 2020           

20.005.30636 og tidligere versjoner(Windows)
20.005.30635 og tidligere versjoner (MacOS)

Windows og macOS

Acrobat Reader 2020

Classic 2020           

20.005.30636 og tidligere versjoner(Windows)
20.005.30635 og tidligere versjoner (MacOS)

Windows og macOS

Hvis du har spørsmål om Acrobat DC, kan du gå til siden med vanlige spørsmål for Acrobat DC. 

Hvis du har spørsmål om Acrobat Reader DC, kan du gå til siden med vanlige spørsmål for Acrobat Reader DC.

Løsning

Adobe anbefaler at brukere oppdaterer sine programvareinstallasjoner til de nyeste versjonene ved å følge instruksjonene nedenfor.    

De nyeste produktversjonene er tilgjengelige for sluttbrukere via én av følgende metoder:    

  • Brukere kan oppdatere produktinstallasjonene manuelt ved å velge Hjelp > Se etter oppdateringer.     

  • Produktene vil oppdateres automatisk når oppdateringer oppdages, uten at det krever brukermedvirkning.      

  • Det fullstendige installasjonsprogrammet for Acrobat Reader kan lastes ned fra nedlastingssenteret for Acrobat Reader.   

For IT-administratorer (administrerte miljøer):     

  • Se den spesifikke utgivelsesmerknadversjonen for lenker til installatører.

  • Installasjonsoppdateringer via din foretrukne metode, for eksempel AIP-GPO, bootstrapper, SCUP/SCCM (Windows) eller på macOS, Apple Remote Desktop og SSH. 

   

Adobe kategoriserer disse oppdateringene med følgende prioritetsklassifiseringer og anbefaler at brukerne oppdaterer installasjonen til den nyeste versjonen:    

Produkt

Spor

Oppdaterte versjoner

Plattform

Prioritetsklassifisering

Tilgjengelighet

Acrobat DC

Continuous

24.002.21005

Windows og macOS

3

Utgivelsesmerknader     

Acrobat Reader DC

Continuous

24.002.21005

Windows og macOS

3

Utgivelsesmerknader     

Acrobat 2024

Classic 2024

24.001.30159

Windows  og macOS  

3

Utgivelsesmerknader  

 

 

 

 

 

 

Acrobat 2020

Classic 2020           

20.005.30655

Windows og macOS

3

Utgivelsesmerknader     

Acrobat Reader 2020

Classic 2020 

20.005.30655

 

Windows  og macOS 

3

Utgivelsesmerknader 

Informasjon om sikkerhetsproblemet

Sikkerhetsproblemkategori Sikkerhetsprobleminnvirkning Alvorlighetsgrad CVSS grunnscore CVSS-vektor CVE-nummer
Bruk etter kostnadsfri versjon (CWE-416)
 Kjøring av vilkårlig kode
 Kritisk
 7.8 CVSS:3.1/AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H

CVE-2024-39383

 
Bruk etter kostnadsfri versjon (CWE-416)
 Kjøring av vilkårlig kode
 Kritisk 8.1 CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:N
 CVE-2024-39422
Skriving utenfor område (CWE-787)
 Kjøring av vilkårlig kode
 Kritisk
 7.8 CVSS:3.1/AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H
 CVE-2024-39423
Bruk etter kostnadsfri versjon (CWE-416)
 Kjøring av vilkårlig kode
 Kritisk
 7.8 CVSS:3.1/AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H
 CVE-2024-39424
Feilaktig verifisering av kryptografisk signatur (CWE-347)
 Eskalering av rettigheter
 Kritisk 7.5 CVSS:3.1/AV:L/AC:H/PR:L/UI:R/S:C/C:H/I:H/A:H
 CVE-2024-39425
Tilgang til minneområde etter bufferslutt (CWE-788)
 Kjøring av vilkårlig kode
 Kritisk
 7.8 CVSS:3.1/AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H
 CVE-2024-39426
Bruk etter kostnadsfri versjon (CWE-416)
 Kjøring av vilkårlig kode
 Kritisk
 7.8 CVSS:3.1/AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H
 CVE-2024-41830
Bruk etter kostnadsfri versjon (CWE-416)
 Kjøring av vilkårlig kode
 Kritisk
 7.8 CVSS:3.1/AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H
 CVE-2024-41831
Tid for kontroll av brukstid (TOCTOU) Race Condition (CWE-367)
 Kjøring av vilkårlig kode
 Kritisk
 7.8 CVSS:3.1/AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H
 CVE-2024-39420
Lesing utenfor område (CWE-125)
 Minnelekkasje Viktig 5.5 CVSS:3.1/AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:N/A:N
 CVE-2024-41832
Lesing utenfor område (CWE-125)
 Minnelekkasje Viktig 5.5 CVSS:3.1/AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:N/A:N CVE-2024-41833
Lesing utenfor område (CWE-125)
 Minnelekkasje Viktig 5.5 CVSS:3.1/AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:N/A:N CVE-2024-41834
Lesing utenfor område (CWE-125)
 Minnelekkasje Viktig 5.5 CVSS:3.1/AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:N/A:N CVE-2024-41835
Bruk etter kostnadsfri versjon (CWE-416)
 Minnelekkasje Viktig 5.5 CVSS:3.1/AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:N/A:N
 CVE-2024-45107

Anerkjennelser

Adobe takker følgende forskere for at de har rapportert disse problemene, og for at de samarbeider med Adobe så vi kan beskytte kundene våre bedre:    

  • Cisco Talos (ciscotalos)  – CVE-2024-41830, CVE-2024-41832, CVE-2024-41835, CVE-2024-39420
  • Anonymous i samarbeid med Trend Micro Zero Day Initiative  – CVE-2024-39422, CVE-2024-39426, CVE-2024-41831, CVE-2024-41833, CVE-2024-41834, CVE-2024-45107
  • Defence Tech Security – CVE-2024-39425
  •  Haifei Li fra EXPMON og Check Point Research – CVE-2024-39383
  • Mark Vincent Yason (markyason.github.io) i samarbeid med Trend Micro Zero Day Initiative – CVE-2024-39424
  • Mat Powell fra Trend Micro Zero Day Initiative – CVE-2024-39423

 

Revisjoner:

18. september 2024: Tilføyd detaljer for CVE-2024-39383

4. september 2024: Lagt til CVE-2024-45107

3. september 2024: Lagt til CVE-2024-39420

MERK: Adobe har et privat, valgfritt bug-bounty-program med HackerOne. Hvis du er interessert i å jobbe med Adobe som en ekstern sikkerhetsforsker, vennligst fyll ut dette skjemaet for å gå videre.

Du finner mer informasjon under https://helpx.adobe.com/no/security.html, eller send en e-post til PSIRT@adobe.com.

Få hjelp raskere og enklere

Ny bruker?

Hurtigkoblinger

Vis alle planene dine Administrer planene dine
Vis hurtigkoblinger
Skjul hurtigkoblinger