Biuletyn dotyczący zabezpieczeń firmy Adobe

Szukaj

Dostępna aktualizacja zabezpieczeń programów Adobe Acrobat i Reader  | APSB24-07

ID biuletynu

Data publikacji

Priorytet

APSB24-07

13 lutego 2024 r.

3

Podsumowanie

Firma Adobe udostępniła aktualizację zabezpieczeń dla programów Adobe Acrobat i Reader do systemów Windows i macOS. Ta aktualizacja usuwa krytyczne i istotne luki w zabezpieczeniach. Wykorzystanie tej luki mogło doprowadzić do wykonania dowolnego kodu, odmowy usługi aplikacji i wycieku pamięci.     

Zagrożone wersje

Produkt

Ścieżka

Zagrożone wersje

Platforma

Acrobat DC 

Continuous 

23.008.20470 i starsze wersje

Windows i  macOS

Acrobat Reader DC

Continuous 

23.008.20470 i starsze wersje

 

Windows i macOS




     

Acrobat 2020

Classic 2020           

20.005.30539 i starsze wersje

 

Windows i macOS

Acrobat Reader 2020

Classic 2020           

20.005.30539 i starsze wersje

Windows i macOS

Odpowiedzi na pytania dotyczące programu Acrobat DC można znaleźć na stronie Często zadawane pytania na temat programu Acrobat DC. 

Odpowiedzi na pytania dotyczące programu Acrobat Reader DC można znaleźć na stronie Często zadawane pytania na temat programu Acrobat Reader DC.

Rozwiązanie

Firma Adobe zaleca użytkownikom aktualizację zainstalowanego oprogramowania do najnowszych wersji zgodnie z poniższymi instrukcjami.    

Najnowsze wersje produktów są dostępne dla użytkowników końcowych za pośrednictwem jednej z następujących metod:    

  • Aktualizacja ręczna po wybraniu opcji Pomoc > Sprawdź aktualizacje.     

  • Po wykryciu aktualizacji produkty zostaną zaktualizowane automatycznie — nie będzie wymagana żadna ingerencja użytkownika.     

  • Pełny instalator programu Acrobat Reader można pobrać ze strony Centrum pobierania programu Acrobat Reader.     

Dla administratorów z działu IT (środowiska zarządzane):     

  • Łącza do instalatorów można znaleźć w uwagach na temat wybranej wersji.

  • Zainstaluj aktualizacje, korzystając z preferowanej metody, np. AIP-GPO, bootstrapper, SCUP/SCCM w systemie Windows bądź Apple Remote Desktop i SSH w systemie macOS.    

   

Firma Adobe nadaje tym aktualizacjom następujące oceny priorytetów i zaleca użytkownikom aktualizację posiadanych instalacji do najnowszej wersji:    

Produkt

Ścieżka

Zaktualizowane wersje

Platforma

Ocena priorytetu

Dostępność

Acrobat DC

Continuous

23.008.20533

Windows i macOS

3

Uwagi na temat wersji     

Acrobat Reader DC

Continuous

23.008.20533

Windows i macOS

3

Uwagi na temat wersji     

 

 

 

 

 

 

Acrobat 2020

Classic 2020           

20.005.30574

Windows i macOS  

3

Uwagi na temat wersji     

Acrobat Reader 2020

Classic 2020 

20.005.30574
 

Windows  i macOS 

3

Uwagi na temat wersji 

Informacje o luce w zabezpieczeniach

Kategoria luki w zabezpieczeniach Wpływ luki w zabezpieczeniach Ostrość Podstawowy wynik CVSS Wektor CVSS Numer CVE
Zapis poza zakresem (CWE-787)
 Wykonanie dowolnego kodu
 Krytyczna
 7.8 CVSS:3.1/AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H
 CVE-2024-20726
Zapis poza zakresem (CWE-787)
 Wykonanie dowolnego kodu
 Krytyczna
 7.8 CVSS:3.1/AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H
 CVE-2024-20727
Zapis poza zakresem (CWE-787)
 Wykonanie dowolnego kodu
 Krytyczna
 7.8  CVSS:3.1/AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H
 CVE-2024-20728
Użycie pamięci po zwolnieniu (CWE-416)
 Wykonanie dowolnego kodu
 Krytyczna
 7.8 CVSS:3.0/AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H
 CVE-2024-30301
Użycie pamięci po zwolnieniu (CWE-416)
 Wykonanie dowolnego kodu
 Krytyczna
 7.8 CVSS:3.1/AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H
 CVE-2024-30303
Użycie pamięci po zwolnieniu (CWE-416)
 Wykonanie dowolnego kodu
 Krytyczna
 7.8 CVSS:3.1/AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H CVE-2024-30304
Użycie pamięci po zwolnieniu (CWE-416)
 Wykonanie dowolnego kodu
 Krytyczna
 7.8 CVSS:3.1/AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H CVE-2024-30305
Odczyt poza zakresem (CWE-125)
 Wykonanie dowolnego kodu
 Krytyczna
 7.8 CVSS:3.1/AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H
 CVE-2024-30306
Użycie pamięci po zwolnieniu (CWE-416)
 Wykonanie dowolnego kodu
 Krytyczna 7.8 CVSS:3.1/AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H
 CVE-2024-20729
Przekroczenie zakresu liczb całkowitych lub błąd typu „wraparound” (CWE-190)
 Wykonanie dowolnego kodu
 Krytyczna 7.8 CVSS:3.1/AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H
 CVE-2024-20730
Użycie pamięci po zwolnieniu (CWE-416)
 Wykonanie dowolnego kodu
 Krytyczna
 8.8 CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H
 CVE-2024-20731
Użycie pamięci po zwolnieniu (CWE-416) Wykonanie dowolnego kodu Krytyczna 7.8 CVSS:3.1/AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H CVE-2024-20765
Użycie pamięci po zwolnieniu (CWE-416)
 Wyciek pamięci Istotna 5.5 CVSS:3.1/AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:N/A:N
 CVE-2024-30302
Nieprawidłowa walidacja danych wejściowych (CWE-20)
 Odmowa usługi aplikacji
 Istotna 5.5 CVSS:3.1/AV:L/AC:L/PR:N/UI:R/S:U/C:N/I:N/A:H
 CVE-2024-20733
Użycie pamięci po zwolnieniu (CWE-416)
 Wyciek pamięci
 Istotna 5.5 CVSS:3.1/AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:N/A:N
 CVE-2024-20734
Odczyt poza zakresem (CWE-125)
 Wyciek pamięci
 Istotna
 5.5 CVSS:3.1/AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:N/A:N
 CVE-2024-20735
Odczyt poza zakresem (CWE-125)
 Wyciek pamięci
 Istotna 5.5 CVSS:3.1/AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:N/A:N
 CVE-2024-20736
Odczyt poza zakresem (CWE-125)
 Wyciek pamięci
 Istotna 5.5 CVSS:3.1/AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:N/A:N
 CVE-2024-20747
Odczyt poza zakresem (CWE-125)
 Wyciek pamięci
 Istotna 5.5 CVSS:3.1/AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:N/A:N
 CVE-2024-20748
Odczyt poza zakresem (CWE-125)
 Wyciek pamięci
 Istotna 5.5 CVSS:3.1/AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:N/A:N
 CVE-2024-20749

Podziękowania

Firma Adobe składa podziękowania następującemu badaczowi za zgłoszenie tej luki w zabezpieczeniach oraz za współpracę z firmą Adobe w celu ochrony naszych klientów:   

  • Cisco Talos (ciscotalos) - CVE-2024-20729, CVE-2024-20730, CVE-2024-20731, CVE-2024-20735, CVE-2024-20747, CVE-2024-20748, CVE-2024-20749
  • Anonimowa osoba współpracująca w ramach programu Zero Day Initiative firmy Trend Micro – CVE-2024-20728, CVE-2024-20734, CVE-2024-20736, CVE-2024-20765
  • Mark Vincent Yason współpracujący w ramach programu Zero Day Initiative firmy Trend Micro - CVE-2024-30301, CVE-2024-30302, CVE-2024-30303, CVE-2024-30304, CVE-2024-30305, CVE-2024-30306
  • Kai Lu z zespołu ThreatLabz firmy Zscaler - CVE-2024-20733

Wersje:

2 maja 2024 r.: Dodano CVE-2024-30301, CVE-2024-30302, CVE-2024-30303, CVE-2024-30304, CVE-2024-30305 i CVE-2024-30306

28 lutego 2024 r.: Dodano CVE-2024-20765

20 lutego 2024 r.: Zaktualizowano podziękowania dotyczące problemu CVE-2024-20733

UWAGA: Firma Adobe prowadzi z firmą HackerOne prywatny, dostępny tylko za zaproszeniem program nagród za wykryte błędy. Jeśli interesuje Cię współpraca z firmą Adobe w roli zewnętrznego analityka bezpieczeństwa, wypełnij ten formularz, by uzyskać dalsze informacje.

Aby uzyskać więcej informacji, odwiedź https://helpx.adobe.com/pl/security.html lub wyślij wiadomość e-mail na adres PSIRT@adobe.com.

Pomoc dostępna szybciej i łatwiej

Nowy użytkownik?

Podręczne łącza

Wyświetl swoje plany Zarządzaj planami
Wyświetl podręczne łącza
Ukryj podręczne łącza