Actualizare de securitate disponibilă pentru Adobe Acrobat și Reader | APSB17-24
ID buletin Data publicării Prioritate
APSB17-24 8 august 2017 2

Sumar

Adobe a lansat actualizări de securitate pentru Adobe Acrobat și Reader pentru Windows și Macintosh. Aceste actualizări corectează vulnerabilități critice și importante, care pot permite unui atacator să preia controlul asupra sistemului afectat.

Versiuni afectate

Aceste actualizări vor rezolva vulnerabilități critice ale software-ului. Adobe va aloca acestor actualizări următoarele evaluări ale priorității:

Produs Versiuni afectate Platformă
Acrobat DC (Continuous Track) 2017.009.20058 și versiunile anterioare
Windows și Macintosh
Acrobat Reader DC (Continuous Track) 2017.009.20058 și versiunile anterioare
Windows și Macintosh
     
Acrobat 2017 2017.008.30051 și versiunile anterioare Windows și Macintosh
Acrobat Reader 2017 2017.008.30051 și versiunile anterioare Windows și Macintosh
     
Acrobat DC (Classic Track) 2015.006.30306 și versiunile anterioare
Windows și Macintosh
Acrobat Reader DC (Classic Track) 2015.006.30306 și versiunile anterioare
Windows și Macintosh
     
Acrobat XI 11.0.20 și versiunile anterioare Windows și Macintosh
Reader XI 11.0.20 și versiunile anterioare Windows și Macintosh

Pentru mai multe informații despre Acrobat DC, vizitați pagina Întrebări frecvente despre Acrobat DC.

Pentru mai multe informații despre Acrobat Reader DC, vizitați pagina Întrebări frecvente despre Acrobat Reader DC.

Soluție

Adobe le recomandă utilizatorilor să își actualizeze instalările de software la cele mai recente versiuni, urmând instrucțiunile
de mai jos.
Cele mai recente versiuni ale produselor sunt disponibile pentru utilizatorii finali prin una dintre următoarele metode:

  • Utilizatorii pot actualiza instalările produselor manual, selectând Asistență > Căutare actualizări.
  • Produsele se vor actualiza automat, fără a necesita intervenția utilizatorului, atunci când sunt detectate
    actualizări.
  • Programul de instalare complet Acrobat Reader poate fi descărcat de la Centrul de descărcări Acrobat Reader.

Pentru administratorii IT (medii gestionate):

  • Descărcați programele de instalare enterprise de la ftp://ftp.adobe.com/pub/adobe/ sau consultați versiunea specifică a notelor de lansare pentru linkuri către programele de instalare.
  • Instalați actualizările prin metoda preferată, cum ar fi AIP-GPO, bootstrapper, SCUP/SCCM
    (Windows) sau, pe Macintosh, Apple Remote Desktop și SSH.

Adobe acordă acestor actualizări următoarele evaluări ale priorității și recomandă utilizatorilor să își actualizeze produsele instalate la cea mai nouă versiune:

Produs Versiuni actualizate Platformă Evaluare a priorității Disponibilitate
Acrobat DC (Continuous Track) 2017.012.20098
Windows și Macintosh 2 Windows
Macintosh
Acrobat Reader DC (Continuous Track) 2017.012.20098 Windows și Macintosh 2 Centrul de descărcare
         
Acrobat 2017 2017.011.30066 Windows și Macintosh 2 Windows
Macintosh
Acrobat Reader 2017 2017.011.30066 Windows și Macintosh 2 Windows
Macintosh
         
Acrobat DC (Classic Track) 2015.006.30355
Windows și Macintosh
2 Windows
Macintosh
Acrobat Reader DC (Classic Track) 2015.006.30355 
Windows și Macintosh 2 Windows
Macintosh
         
Acrobat XI 11.0.21 Windows și Macintosh 2 Windows
Macintosh
Reader XI 11.0.21 Windows și Macintosh 2 Windows
Macintosh

Notă:

Versiunea 11.0.22 este disponibilă pentru utilizatorii afectați de regresia funcțională din formularele XFA introdusă în 11.0.21 (mergeți aici pentru mai multe detalii).  Atât 11.0.22, cât și 11.0.21 rezolvă toate vulnerabilitățile de securitate menționate în acest buletin.    

Detalii privind vulnerabilitatea

Categoria de vulnerabilitate Impactul vulnerabilității Severitate Numere CVE
Coruperea memoriei Executare de cod de la distanță Critică CVE-2017-3016
Coruperea memoriei Executare de cod de la distanță Critică CVE-2017-3038
Utilizare după dealocare Executare de cod de la distanță Critică CVE-2017-3113
Verificare insuficientă a autenticității datelor Divulgarea informațiilor Importantă CVE-2017-3115
Coruperea memoriei Executare de cod de la distanță Critică CVE-2017-3116
Depășire heap Executare de cod de la distanță Critică CVE-2017-3117
Ocolirea securității Divulgarea informațiilor Importantă CVE-2017-3118
Coruperea memoriei Executare de cod de la distanță Importantă CVE-2017-3119
Utilizare după dealocare Executare de cod de la distanță Critică CVE-2017-3120
Depășire heap Executare de cod de la distanță Critică CVE-2017-3121
Coruperea memoriei Divulgarea informațiilor Importantă CVE-2017-3122
Coruperea memoriei Executare de cod de la distanță Critică CVE-2017-3123
Coruperea memoriei Executare de cod de la distanță Critică CVE-2017-3124
Coruperea memoriei Divulgarea informațiilor Importantă CVE-2017-11209
Coruperea memoriei Divulgarea informațiilor Importantă CVE-2017-11210
Depășire heap Executare de cod de la distanță Critică CVE-2017-11211
Coruperea memoriei Executare de cod de la distanță Critică CVE-2017-11212
Coruperea memoriei Executare de cod de la distanță Critică CVE-2017-11214
Coruperea memoriei Executare de cod de la distanță Critică CVE-2017-11216
Coruperea memoriei Divulgarea informațiilor Importantă CVE-2017-11217
Utilizare după dealocare Executare de cod de la distanță Critică CVE-2017-11218
Utilizare după dealocare Executare de cod de la distanță Critică CVE-2017-11219
Depășire heap Executare de cod de la distanță Critică CVE-2017-11220
Confuzie de tipuri Executare de cod de la distanță Critică CVE-2017-11221
Coruperea memoriei Executare de cod de la distanță Critică CVE-2017-11222
Utilizare după dealocare Executare de cod de la distanță Critică CVE-2017-11223
Utilizare după dealocare Executare de cod de la distanță Critică CVE-2017-11224
Coruperea memoriei Executare de cod de la distanță Critică CVE-2017-11226
Coruperea memoriei Executare de cod de la distanță Critică CVE-2017-11227
Coruperea memoriei Executare de cod de la distanță Critică CVE-2017-11228
Ocolirea securității Executare de cod de la distanță Importantă CVE-2017-11229
Coruperea memoriei Divulgarea informațiilor Importantă CVE-2017-11230
Utilizare după dealocare Executare de cod de la distanță Critică CVE-2017-11231
Utilizare după dealocare Divulgarea informațiilor Importantă CVE-2017-11232
Coruperea memoriei Divulgarea informațiilor Importantă CVE-2017-11233
Coruperea memoriei Executare de cod de la distanță Critică CVE-2017-11234
Utilizare după dealocare Executare de cod de la distanță Critică CVE-2017-11235
Coruperea memoriei Divulgarea informațiilor Importantă CVE-2017-11236
Coruperea memoriei Executare de cod de la distanță Critică CVE-2017-11237
Coruperea memoriei Divulgarea informațiilor Critică CVE-2017-11238
Coruperea memoriei Divulgarea informațiilor Critică CVE-2017-11239
Depășire heap Executare de cod de la distanță Critică CVE-2017-11241
Coruperea memoriei Divulgarea informațiilor Importantă CVE-2017-11242
Coruperea memoriei Divulgarea informațiilor Importantă CVE-2017-11243
Coruperea memoriei Divulgarea informațiilor Importantă CVE-2017-11244
Coruperea memoriei Divulgarea informațiilor Importantă CVE-2017-11245
Coruperea memoriei Divulgarea informațiilor Importantă CVE-2017-11246
Coruperea memoriei Divulgarea informațiilor Importantă CVE-2017-11248
Coruperea memoriei Divulgarea informațiilor Importantă CVE-2017-11249
Coruperea memoriei Executare de cod de la distanță Critică CVE-2017-11251
Coruperea memoriei Divulgarea informațiilor Critică CVE-2017-11252
Utilizare după dealocare Executare de cod de la distanță Importantă CVE-2017-11254
Coruperea memoriei Divulgarea informațiilor Importantă CVE-2017-11255
Utilizare după dealocare Executare de cod de la distanță Critică CVE-2017-11256
Confuzie de tipuri Executare de cod de la distanță Critică CVE-2017-11257
Coruperea memoriei Divulgarea informațiilor Importantă CVE-2017-11258
Coruperea memoriei Executare de cod de la distanță Critică CVE-2017-11259
Coruperea memoriei Executare de cod de la distanță Critică CVE-2017-11260
Coruperea memoriei Executare de cod de la distanță Critică CVE-2017-11261
Coruperea memoriei Executare de cod de la distanță Critică CVE-2017-11262
Coruperea memoriei Executare de cod de la distanță Importantă CVE-2017-11263
Coruperea memoriei Divulgarea informațiilor Importantă CVE-2017-11265
Coruperea memoriei Executare de cod de la distanță Critică CVE-2017-11267
Coruperea memoriei Executare de cod de la distanță Critică CVE-2017-11268
Coruperea memoriei Executare de cod de la distanță Critică CVE-2017-11269
Coruperea memoriei Executare de cod de la distanță Critică CVE-2017-11270
Coruperea memoriei Executare de cod de la distanță Critică CVE-2017-11271

Notă:

CVE-2017-3038 a fost rezolvată în 2017.009.20044 și 2015.006.30306 (lansarea din aprilie 2017), dar remedierea a fost incompletă pentru versiunea 11.0.20.  Această vulnerabilitate este rezolvată complet în versiunea 11.0.21 (lansarea din august 2017).  

Mențiuni

Adobe dorește să mulțumească următoarelor persoane și organizații pentru raportarea problemelor
relevante și pentru colaborarea cu Adobe în scopul protejării securității clienților noștri:

  • @vftable, lucrând pentru inițiativa Zero Day de la Trend Micro (CVE-2017-11211, CVE-2017-11251)
  • Aleksandar Nikolic de la Cisco Talos (CVE-2017-11263)
  • Alex Infuhr de la Cure 53 (CVE-2017-11229)
  • Ashfaq Ansari de la Project Srishti (CVE-2017-11221)
  • Ashfaq Ansari de la Project Srishti, lucrând cu iDefense Vulnerability Contributor Program (CVE-2017-3038)
  • Cybellum Technologies LTD (CVE-2017-3117)
  • Raportată anonim prin intermediul inițiativei Zero Day de la Trend Micro (CVE-2017-3113, CVE-2017-3120, CVE-2017-11218, CVE-2017-11224, CVE-2017-11223)
  • Fernando Munoz, lucrând pentru inițiativa Zero Day de la Trend Micro (CVE-2017-3115)
  • Giwan Go de la STEALIEN & HIT, lucrând pentru inițiativa Zero Day de la Trend Micro (CVE-2017-11228, CVE-2017-11230)
  • Heige (alias SuperHei) (CVE-2017-11222)
  • Jaanus Kp Clarified Security, lucrând pentru inițiativa Zero Day de la Trend Micro (CVE-2017-11236, CVE-2017-11237, CVE-2017-11252, CVE-2017-11231, CVE-2017-11265)
  • Jaanus Kp Clarified Security, lucrând pentru inițiativa Zero Day de la Trend Micro și Ashfaq Ansari - Project Srishti, lucrând pentru inițiativa Zero Day de la Trend Micro (CVE-2017-11231)
  • Jihui Lu de la Tencent KeenLab (CVE-2017-3119)
  • kdot, lucrând pentru inițiativa Zero Day de la Trend Micro (CVE-2017-11234, CVE-2017-11235, CVE-2017-11271)
  • Ke Liu de la Tencent Xuanwu LAB, lucrând pentru inițiativa Zero Day de la Trend Micro (CVE-2017-3121, CVE-2017-3122, CVE-2017-11212, CVE-2017-11216, CVE-2017-11217, CVE-2017-11238, CVE-2017-11239, CVE-2017-11241, CVE-2017-11242, CVE-2017-11243, CVE-2017-11244, CVE-2017-11245, CVE-2017-11246, CVE-2017-11248, CVE-2017-11249, CVE-2017-11233, CVE-2017-11261, CVE-2017-11260, CVE-2017-11258, CVE-2017-11259, CVE-2017-11267, CVE-2017-11268, CVE-2017-11269, CVE-2017-11259, CVE-2017-11270, CVE-2017-11261)
  • Ke Liu de la Tencent Xuanwu LAB, lucrând pentru inițiativa Zero Day de la Trend Micro și Steven Seeley (mr_me) de la Offensive Security (CVE-2017-11212, CVE-2017-11214, CVE-2017-11227)
  • Siberas, în colaborare cu Programul de divulgare securizată SecuriTeam de la Beyond Security (CVE-2017-11254)
  • Richard Warren (CVE-2017-3118)
  • riusksk de la Departamentul Platforme de securitate Tencent (CVE-2017-3016)
  • Sebastian Apelt siberas, lucrând pentru inițiativa Zero Day de la Trend Micro (CVE-2017-11219, CVE-2017-11256, CVE-2017-11257)
  • Steven Seeley (mr_me) de la Offensive Security, lucrând pentru inițiativa Zero Day de la Trend Micro (CVE-2017-11209, CVE-2017-11210, CVE-2017-11232, CVE-2017-11255, CVE-2017-3123, CVE-2017-3124)
  • Steven Seeley, lucrând cu Programul de dezvăluire securizată SecuriTeam de la Beyond Security (CVE-2017-11220)
  • Steven Seeley (CVE-2017-11262)
  • Sushan (CVE-2017-11226
  • Toan Pham (CVE-2017-3116)

Revizuiri

29 august 2017: tabelul de soluții a fost actualizat pentru a reflecta noile actualizări disponibile începând cu 29 august. Aceste actualizări rezolvă o regresie funcțională cu funcționalitatea formularelor XFA care a afectat anumiți utilizatori. Lansările din 29 august rezolvă și vulnerabilitatea de securitate CVE-2017-11223.  

CVE-2017-11223 a fost remediată inițial în actualizările de pe 8 august (versiunile 2017.012.20093, 2017.011.30059 și 2015.006.30352), dar din cauza unei regresii funcționale din aceste lansări, s-au oferit remedieri rapide temporare care au anulat remedierea pentru CVE-2017-11223. Lansările din 29 august rezolvă regresia și oferă o remediere pentru CVE-2017-11223. Consultați această postare de pe blog pentru mai multe detalii.