Biuletyn dotyczący zabezpieczeń firmy Adobe

Firma Adobe wydała aktualizację zabezpieczeń dla programu Adobe Connect.  Ta aktualizacja usuwa ważne luki w zabezpieczeniach związane z ominięciem uwierzytelnienia (CVE-2018-4994), które w przypadku odpowiedniego postępowania mogłyby doprowadzić do ujawnienia poufnych informacji.  Ta aktualizacja usuwa także ważną lukę w zabezpieczeniach związaną z zarządzaniem sesją spowodowaną nieodpowiednim uwierzytelnieniem tokenów sesji spotkania Connect.  Instalator dodatku Connect w wersji starszej niż 9.7 ładuje w sposób niebezpieczny pliki DLL, co może zostać wykorzystane w celu zwiększenia uprawnień lokalnych. 

Wersje produktu, których dotyczy problem

Rozwiązanie

Firma Adobe dzieli te aktualizacje na kategorie, nadając im następujące oceny priorytetu, oraz zaleca użytkownikom aktualizację posiadanych instalacji do najnowszej wersji:

Uwaga: Jak wspomniano wcześniej w APSB18-18, klienci mogą ograniczyć CVE-2018-4994 poprzez zmodyfikowanie filtrów Tomcat w celu uniemożliwienia uzyskania zdalnego dostępu do systemowych plików konfiguracyjnych.  Szczegółowe informacje można znaleźć w niniejszym dokumencie pomocy. Wersja 9.8.1 zawiera tę zmianę konfiguracji w konfiguracji domyślnej. 

Informacje o luce w zabezpieczeniach

Uwaga: luka CVE-2018-12805 została rozwiązana w instalatorze dodatku Connect w wersji 9.7.

Podziękowania

Firma Adobe składa podziękowania następującym osobom i organizacjom za zgłoszenie luk w zabezpieczeniach oraz za współpracę z firmą Adobe nad bezpieczeństwem naszych klientów:

• Tanner LLC (CVE-2018-4994) 

• BlackWingCat (CVE-2018-12805)