Boletim de segurança da Adobe

A Adobe lançou uma atualização de segurança para o Adobe Connect.  Esta atualização corrige uma vulnerabilidade importante de sobreposição de autenticação (CVE-2018-4994), que poderia resultar na divulgação de informações sigilosas caso fosse explorada.  Esta atualização também corrige uma vulnerabilidade importante de gerenciamento de sessão devido à validação inadequada de tokens de sessão de reunião do Connect.  Por fim, o instalador de add-in do Connect anterior a 9.7 carrega arquivos de DLL de forma insegura, o que poderia ser abusado para escalonar privilégios locais.

Versões do produto afetado

Solução

A Adobe categoriza essas atualizações com as seguintes classificações de prioridade e recomenda que usuários atualizem para a versão mais recente:

Observação: Como mencionado anteriormente em APSB18-18, uma mitigação para CVE-2018-4994 está disponível para clientes, para modificar filtros Tomcat e evitar o acesso remoto a arquivos de configuração do sistema.  Consulte este documento de ajuda para mais detalhes. A versão 9.8.1 inclui esta alteração nas configurações padrão.

Detalhes da vulnerabilidade

Observação: CVE-2018-12805 foi resolvido no instalador de add-in do Connect versão 9.7.  

Agradecimentos

A Adobe gostaria de agradecer às seguintes pessoas e organizações por relatar os problemas relevantes e por trabalhar com a Adobe para ajudar a proteger os nossos clientes:

• Tanner LLC (CVE-2018-4994) 

• BlackWingCat (CVE-2018-12805)