Biuletyn dotyczący zabezpieczeń firmy Adobe

Data wydania: 7 lipca 2016

Data ostatniej aktualizacji: 12 września 2016

Identyfikator luki: APSB16-26

Priorytet: 2

Numery CVE: CVE-2016-4191, CVE-2016-4192, CVE-2016-4193, CVE-2016-4194, CVE-2016-4195, CVE-2016-4196, CVE-2016-4197, CVE-2016-4198, CVE-2016-4199, CVE-2016-4200, CVE-2016-4201, CVE-2016-4202, CVE-2016-4203, CVE-2016-4204, CVE-2016-4205, CVE-2016-4206, CVE-2016-4207, CVE-2016-4208, CVE-2016-4209, CVE-2016-4210, CVE-2016-4211, CVE-2016-4212, CVE-2016-4213, CVE-2016-4214, CVE-2016-4215, CVE-2016-4250, CVE-2016-4251, CVE-2016-4252, CVE-2016-4254, CVE-2016-4255, CVE-2016-4265, CVE-2016-4266, CVE-2016-4267, CVE-2016-4268, CVE-2016-4269, CVE-2016-4270, CVE-2016-6937, CVE-2016-6938

Platforma: Windows i Macintosh

Firma Adobe wydała aktualizacje zabezpieczeń dla programów Adobe Acrobat i Reader dla systemów Windows i Macintosh. Te aktualizacje usuwają krytyczne luki w zabezpieczeniach mogące pozwolić osobie atakującej na przejęcie kontroli nad systemem, w którym występują.

Odpowiedzi na pytania dotyczące programu Acrobat DC można znaleźć na stronie Często zadawane pytania na temat programu Acrobat DC. Odpowiedzi na pytania dotyczące programu Acrobat Reader DC można znaleźć na stronie Często zadawane pytania na temat programu Acrobat Reader DC.

Firma Adobe zaleca użytkownikom aktualizację zainstalowanego oprogramowania do najnowszych wersji zgodnie z poniższymi instrukcjami.

Najnowsze wersje produktów są dostępne dla użytkowników końcowych za pośrednictwem jednej z następujących metod:

• Aktualizacja ręczna po wybraniu opcji Pomoc > Sprawdź aktualizacje.
• Po wykryciu aktualizacji produkty zostaną zaktualizowane automatycznie — nie będzie wymagana żadna ingerencja użytkownika. 
• Pełny instalator programu Acrobat Reader można pobrać ze strony Centrum pobierania programu Acrobat Reader.
  

Dla administratorów z działu IT (środowiska zarządzane):

• Pobierz instalatory do programów firmowych z adresu ftp://ftp.adobe.com/pub/adobe/ lub znajdź stronę z informacjami na temat konkretnej wersji programu, aby znaleźć łącza do instalatorów. 
• Zainstaluj aktualizacje, korzystając z ulubionej metody, np. AIP-GPO, bootstrapper, SCUP/SCCM w systemie Windows, bądź Apple Remote Desktop i SSH w systemie Mac OS.
  

Firma Adobe dzieli te aktualizacje na kategorie, nadając im następujące oceny priorytetu, oraz zaleca użytkownikom aktualizację posiadanych instalacji do najnowszej wersji:

• Te aktualizacje usuwają lukę w zabezpieczeniach związaną z przekroczeniem zakresu liczb całkowitych, która może prowadzić do wykonania kodu (CVE-2016-4210).
• Te aktualizacje usuwają lukę w zabezpieczeniach dotyczącą używania zasobu po zwolnieniu, która może spowodować wykonanie kodu (CVE-2016-4255, CVE-2016-6938).
• Te aktualizacje usuwają lukę w zabezpieczeniach polegającą na przepełnieniu bufora sterty, która może spowodować wykonanie kodu (CVE-2016-4209).
• Te aktualizacje zapobiegają zastosowaniu różnych metod ominięcia ograniczeń wykonywania skryptów API Javascript (CVE-2016-4215).
• Te aktualizacje usuwają luki w zabezpieczeniach dotyczące uszkodzenia pamięci, które mogą prowadzić do wykonania kodu (CVE-2016-4254, CVE-2016-4191, CVE-2016-4192, CVE-2016-4193, CVE-2016-4194, CVE-2016-4195, CVE-2016-4196, CVE-2016-4197, CVE-2016-4198, CVE-2016-4199, CVE-2016-4200, CVE-2016-4201, CVE-2016-4202, CVE-2016-4203, CVE-2016-4204, CVE-2016-4205, CVE-2016-4206, CVE-2016-4207, CVE-2016-4208, CVE-2016-4211, CVE-2016-4212, CVE-2016-4213, CVE-2016-4214, CVE-2016-4250, CVE-2016-4251, CVE-2016-4252, CVE-2016-4265, CVE-2016-4266, CVE-2016-4267, CVE-2016-4268, CVE-2016-4269, CVE-2016-4270, CVE-2016-6937).
  

Firma Adobe składa podziękowania następującym osobom i organizacjom za zgłoszenie luk w zabezpieczeniach oraz za współpracę z firmą Adobe w celu ochrony naszych klientów:

• Jaanus Kääp z Clarified Security, Ke Liu z Tencent's Xuanwu LAB i Sébastien Morin z COSIG (CVE-2016-4201)
• Kai Lu z Fortinet's FortiGuard Labs, Jaanus Kääp z Clarified Security, Ke Liu z Tencent's Xuanwu LAB i Sébastien Morin z COSIG (CVE-2016-4203)
• Sébastien Morin z COSIG i Ke Liu z Tencent's Xuanwu LAB (CVE-2016-4208)
• Jaanus Kääp z firmy Clarified Security (CVE-2016-4252)
• Wei Lei Sun Zhihao i Liu Yang z Nanyang Technological University współpracujący w ramach programu Zero Day Initiative firmy Trend Micro (CVE-2016-4198)
• Alex Inführ i Masato Kinugawa z Cure53 (CVE-2016-4215)
• Ke Liu z Tencent's Xuanwu LAB (CVE-2016-4254, CVE-2016-4193, CVE-2016-4194, CVE-2016-4209, CVE-2016-4210, CVE-2016-4211, CVE-2016-4212, CVE-2016-4213, CVE-2016-4214, CVE-2016-4250)
• AbdulAziz Hariri współpracujący w ramach programu Zero Day Initiative firmy Trend Micro (CVE-2016-4195, CVE-2016-4196, CVE-2016-4197, CVE-2016-4199, CVE-2016-4200, CVE-2016-4202)
• Sébastien Morin z COSIG (CVE-2016-4206, CVE-2016-4207)
• Użytkownik kdot współpracujący w ramach programu Zero Day Initiative firmy Trend Micro (CVE-2016-4191, CVE-2016-4268, CVE-2016-4270)
• Stanko Jankovic (CVE-2016-4192)
• Jaanus Kääp z Clarified Security współpracujący w ramach programu Zero Day Initiative firmy Trend Micro (CVE-2016-4255, CVE-2016-4251)
• Sébastien Morin i Pier-Luc Maltais z COSIG (CVE-2016-4204, CVE-2016-4205)
  
• Steven Seeley z firmy Source Incite współpracujący w ramach programu Zero Day Initiative firmy Trend Micro (CVE-2016-4265, CVE-2016-4266, CVE-2016-4267, CVE-2016-4269, CVE-2016-6937, CVE-2016-6938)

12 lipca 2016: aktualizacje CVE-2016-4189 i CVE-2016-4190 zastąpiono odpowiednio przez CVE-2016-4254 i CVE-2016-4255. 

23 sierpnia 2016 r.: Dodano odnośniki do problemów CVE-2016-4265, CVE-2016-4266, CVE-2016-4265, CVE-2016-4266, CVE-2016-4267, CVE-2016-4268, CVE-2016-4269 i CVE-2016-4270, które zostały omyłkowo pominięte w treści biuletynu. 

12 września 2016 r.: Dodano odnośniki do problemów CVE-2016-6937 i CVE-2016-6938, które zostały omyłkowo pominięte w treści biuletynu.