Обновление безопасности для Adobe Acrobat и Adobe Reader | APSB17-24
Идентификатор бюллетеня Дата публикации Приоритет
APSB17-24 8 августа 2017 г. 2

Сводка

Компания Adobe выпустила обновления системы безопасности приложений Adobe Acrobat и Reader для Windows и Macintosh. В этих обновлениях устранены уязвимости, отмеченные как критические и важные, которые потенциально могли позволить злоумышленнику получить контроль над уязвимой системой. 

Затронутые версии

В этих обновлениях будут исправлены критические уязвимости программного обеспечения. Компания Adobe назначит следующие рейтинги приоритетов для этих обновлений:

Продукт Затронутые версии Платформа
Acrobat DC (Continuous Track) 2017.009.20058 и более ранние версии
Windows и Macintosh
Acrobat Reader DC (Continuous Track) 2017.009.20058 и более ранние версии
Windows и Macintosh
     
Acrobat 2017 2017.008.30051 и более ранние версии Windows и Macintosh
Acrobat Reader 2017 2017.008.30051 и более ранние версии Windows и Macintosh
     
Acrobat DC (Classic Track) 2015.006.30306 и более ранние версии
Windows и Macintosh
Acrobat Reader DC (Classic Track) 2015.006.30306 и более ранние версии
Windows и Macintosh
     
Acrobat XI 11.0.20 и более ранние версии Windows и Macintosh
Reader XI 11.0.20 и более ранние версии Windows и Macintosh

Для получения дополнительной информации об Acrobat DC посетите страницу часто задаваемых вопросов об Acrobat DC.

Для получения дополнительной информации об Acrobat Reader DC посетите страницу часто задаваемых вопросов об Acrobat DC.

Решение

Компания Adobe рекомендует пользователям обновить свое программное обеспечение до последних версий, следуя
нижеприведенным инструкциям.
Новейшие версии продуктов пользователи могут получить одним из следующих способов:

  • Пользователи могут обновлять свое программное обеспечение вручную, выбрав меню Справка > Проверить наличие обновлений.
  • При обнаружении обновлений продукты будут обновляться автоматически без вмешательства
    пользователей.
  • Полную версию установщика Acrobat Reader можно загрузить в Центре загрузки Acrobat Reader.

Для ИТ-администраторов (в управляемых средах):

  • Загрузите установщики для предприятий с ftp://ftp.adobe.com/pub/adobe/ или см. ссылки на установщики в соответствующих версий замечаний к выпуску.
  • Установите обновления предпочтительным способом, например с помощью AIP-GPO, начального загрузчика, SCUP/SCCM
    (Windows) или удаленного рабочего стола Apple и SSH в Макинтош.

Adobe категоризирует эти обновления при помощи следующих рейтингов приоритета и рекомендует пользователям обновлять установленное программное обеспечение до последних версий.

Продукт Обновленные версии Платформа Рейтинг приоритета Доступность
Acrobat DC (Continuous Track) 2017.012.20098
Windows и Macintosh 2 Windows
Macintosh
Acrobat Reader DC (Continuous Track) 2017.012.20098 Windows и Macintosh 2 Центр загрузки
         
Acrobat 2017 2017.011.30066 Windows и Macintosh 2 Windows
Macintosh
Acrobat Reader 2017 2017.011.30066 Windows и Macintosh 2 Windows
Macintosh
         
Acrobat DC (Classic Track) 2015.006.30355
Windows и Macintosh
2 Windows
Macintosh
Acrobat Reader DC (Classic Track) 2015.006.30355 
Windows и Macintosh 2 Windows
Macintosh
         
Acrobat XI 11.0.21 Windows и Macintosh 2 Windows
Macintosh
Reader XI 11.0.21 Windows и Macintosh 2 Windows
Macintosh

Примечание.

Версия 11.0.22 доступна для пользователей, которые подвержены влиянию функциональной регрессии в формах XFA, представленных в версии 11.0.21 (см. здесь для получения более подробной информации). В версиях 11.0.22 и 11.0.21 устранены все уязвимости безопасности, которые упоминаются в этом бюллетене.    

Сведения об уязвимости

Категория уязвимости Влияние уязвимости Серьезность Номера CVE
Повреждение памяти Удаленное выполнение кода Критично CVE-2017-3016
Повреждение памяти Удаленное выполнение кода Критично CVE-2017-3038
Используйте после бесплатно Удаленное выполнение кода Критично CVE-2017-3113
Недостаточная проверка подлинности данных Раскрытие информации Важная CVE-2017-3115
Повреждение памяти Удаленное выполнение кода Критично CVE-2017-3116
Переполнение кучи Удаленное выполнение кода Критично CVE-2017-3117
Возможность обхода системы безопасности Раскрытие информации Важная CVE-2017-3118
Повреждение памяти Удаленное выполнение кода Важная CVE-2017-3119
Используйте после бесплатно Удаленное выполнение кода Критично CVE-2017-3120
Переполнение кучи Удаленное выполнение кода Критично CVE-2017-3121
Повреждение памяти Раскрытие информации Важная CVE-2017-3122
Повреждение памяти Удаленное выполнение кода Критично CVE-2017-3123
Повреждение памяти Удаленное выполнение кода Критично CVE-2017-3124
Повреждение памяти Раскрытие информации Важная CVE-2017-11209
Повреждение памяти Раскрытие информации Важная CVE-2017-11210
Переполнение кучи Удаленное выполнение кода Критично CVE-2017-11211
Повреждение памяти Удаленное выполнение кода Критично CVE-2017-11212
Повреждение памяти Удаленное выполнение кода Критично CVE-2017-11214
Повреждение памяти Удаленное выполнение кода Критично CVE-2017-11216
Повреждение памяти Раскрытие информации Важная CVE-2017-11217
Используйте после бесплатно Удаленное выполнение кода Критично CVE-2017-11218
Используйте после бесплатно Удаленное выполнение кода Критично CVE-2017-11219
Переполнение кучи Удаленное выполнение кода Критично CVE-2017-11220
Несоответствие используемых типов данных Удаленное выполнение кода Критично CVE-2017-11221
Повреждение памяти Удаленное выполнение кода Критично CVE-2017-11222
Используйте после бесплатно Удаленное выполнение кода Критично CVE-2017-11223
Используйте после бесплатно Удаленное выполнение кода Критично CVE-2017-11224
Повреждение памяти Удаленное выполнение кода Критично CVE-2017-11226
Повреждение памяти Удаленное выполнение кода Критично CVE-2017-11227
Повреждение памяти Удаленное выполнение кода Критично CVE-2017-11228
Возможность обхода системы безопасности Удаленное выполнение кода Важная CVE-2017-11229
Повреждение памяти Раскрытие информации Важная CVE-2017-11230
Используйте после бесплатно Удаленное выполнение кода Критично CVE-2017-11231
Используйте после бесплатно Раскрытие информации Важная CVE-2017-11232
Повреждение памяти Раскрытие информации Важная CVE-2017-11233
Повреждение памяти Удаленное выполнение кода Критично CVE-2017-11234
Используйте после бесплатно Удаленное выполнение кода Критично CVE-2017-11235
Повреждение памяти Раскрытие информации Важная CVE-2017-11236
Повреждение памяти Удаленное выполнение кода Критично CVE-2017-11237
Повреждение памяти Раскрытие информации Критично CVE-2017-11238
Повреждение памяти Раскрытие информации Критично CVE-2017-11239
Переполнение кучи Удаленное выполнение кода Критично CVE-2017-11241
Повреждение памяти Раскрытие информации Важная CVE-2017-11242
Повреждение памяти Раскрытие информации Важная CVE-2017-11243
Повреждение памяти Раскрытие информации Важная CVE-2017-11244
Повреждение памяти Раскрытие информации Важная CVE-2017-11245
Повреждение памяти Раскрытие информации Важная CVE-2017-11246
Повреждение памяти Раскрытие информации Важная CVE-2017-11248
Повреждение памяти Раскрытие информации Важная CVE-2017-11249
Повреждение памяти Удаленное выполнение кода Критично CVE-2017-11251
Повреждение памяти Раскрытие информации Критично CVE-2017-11252
Используйте после бесплатно Удаленное выполнение кода Важная CVE-2017-11254
Повреждение памяти Раскрытие информации Важная CVE-2017-11255
Используйте после бесплатно Удаленное выполнение кода Критично CVE-2017-11256
Несоответствие используемых типов данных Удаленное выполнение кода Критично CVE-2017-11257
Повреждение памяти Раскрытие информации Важная CVE-2017-11258
Повреждение памяти Удаленное выполнение кода Критично CVE-2017-11259
Повреждение памяти Удаленное выполнение кода Критично CVE-2017-11260
Повреждение памяти Удаленное выполнение кода Критично CVE-2017-11261
Повреждение памяти Удаленное выполнение кода Критично CVE-2017-11262
Повреждение памяти Удаленное выполнение кода Важная CVE-2017-11263
Повреждение памяти Раскрытие информации Важная CVE-2017-11265
Повреждение памяти Удаленное выполнение кода Критично CVE-2017-11267
Повреждение памяти Удаленное выполнение кода Критично CVE-2017-11268
Повреждение памяти Удаленное выполнение кода Критично CVE-2017-11269
Повреждение памяти Удаленное выполнение кода Критично CVE-2017-11270
Повреждение памяти Удаленное выполнение кода Критично CVE-2017-11271

Примечание.

Уязвимость CVE-2017-3038 была устранена в обновлении 2015.006.30306 (выпуск в апреле 2017 г.), но исправление было неполным для версии 11.0.20. Эта уязвимость теперь полностью была решена в версии 11.0.21 (выпуск в августе 2017 г.).  

Благодарности

Adobe приносит благодарность следующим людям и организациям за сообщение о
существенных проблемах и за помощь Adobe в обеспечении защиты наших клиентов:

  • Пользователь @vftable, участник программы Trend Micro Zero Day Initiative (CVE-2017-11211, CVE-2017-11251)
  • Александр Николич, Cisco Talos (CVE-2017-11263)
  • Алекс, Инфер, Cure 53 (CVE-2017-11229)
  • Ашфак Ансари, Project Srishti (CVE-2017-11221)
  • Ашфак Ансари, Project Srishti, участник программы iDefense Vulnerability Contributor Program (CVE-2017-3038)
  • Cybellum Technologies LTD (CVE-2017-3117)
  • Анонимный пользователь, сообщивший о проблеме в рамках программы Trend Micro Zero Day Initiative (CVE-2017-3113, CVE-2017-3120, CVE-2017-11218, CVE-2017-11224, CVE-2017-11223)
  • Фернандо Муноц, участник программы Trend Micro Zero Day Initiative (CVE-2017-3115)
  • Гивань Го, STEALIEN & HIT, участник программы Trend Micro Zero Day Initiative (CVE-2017-11228, CVE-2017-11230)
  • Пользователь Heige (также известен как SuperHei) (CVE-2017-11222)
  • Jaanus Kp Clarified Security, участник программы Trend Micro Zero Day Initiative (CVE-2017-11236, CVE-2017-11237, CVE-2017-11252, CVE-2017-11231, CVE-2017-11265)
  • Jaanus Kp Clarified Security, участник программы Trend Micro Zero Day Initiative, и Ашфак Ансари, участник программы Trend Micro Zero Day Initiative (CVE-2017-11231)
  • Цзихуэй Лу, компания Tencent KeenLab (CVE-2017-3119)
  • Пользователь kdot, участник программы Trend Micro Zero Day Initiative (CVE-2017-11234, CVE-2017-11235, CVE-2017-11271)
  • Ke Лиу, Tencent Xuanwu LAB, участник программы Trend Micro Zero Day Initiative (CVE-2017-3121, CVE-2017-3122, CVE-2017-11212, CVE-2017-11216, CVE-2017-11217, CVE-2017-11238, CVE-2017-11239, CVE-2017-11241, CVE-2017-11242, CVE-2017-11243, CVE-2017-11244, CVE-2017-11245, CVE-2017-11246, CVE-2017-11248, CVE-2017-11249, CVE-2017-11233, CVE-2017-11261, CVE-2017-11260, CVE-2017-11258, CVE-2017-11259, CVE-2017-11267, CVE-2017-11268, CVE-2017-11269, CVE-2017-11259, CVE-2017-11270, CVE-2017-11261)
  • Ke Лиу, Tencent Xuanwu LAB, участник программы Trend Micro Zero Day Initiative, и Стивен Сили (mr_me), Offensive Security (CVE-2017-11212, CVE-2017-11214, CVE-2017-11227)
  • Пользователь Siberas, участник программы Beyond Security SecuriTeam Secure Disclosure Program (CVE-2017-11254)
  • Ричард Уоррен (CVE-2017-3118)
  • Пользователь riusksk, отдел платформы безопасности Tencent (CVE-2017-3016)
  • Себастьян Апельт, Siberas, участник программы Trend Micro Zero Day Initiative (CVE-2017-11219, CVE-2017-11256, CVE-2017-11257)
  • Стивен Сили (mr_me), Offensive Security, участник программы Trend Micro Zero Day Initiative (CVE-2017-11209, CVE-2017-11210, CVE-2017-11232, CVE-2017-11255, CVE-2017-3123, CVE-2017-3124)
  • Стивен Сили работа, участник программы Beyond Security SecuriTeam Secure Disclosure Program (CVE-2017-11220)
  • Стивен Сили (CVE-2017-11262)
  • Сушан (CVE-2017-11226
  • Тоан Фам (CVE-2017-3116)

Редакции

29 августа 2017 г.: таблица решений была обновлена и содержит новые обновления, доступные по состоянию на 29 августа. В этих обновлениях устранена уязвимость, связанная с функциональной регрессией в формах XFA, которая затронула некоторых пользователей. В обновлениях от 29 августа также устранена уязвимость безопасности CVE-2017-11223.

Изначально уязвимость CVE-2017-11223 была устранена в обновлениях от 8 августа (версии 2017.012.20093, 2017.011.30059 и 2015.006.30352), но вследствие функциональной регрессии в этих версиях были предложены временные исправления, которые отменили исправления для уязвимости CVE-2017-11223. В обновлениях от 29 августа устранена уязвимость, связанная с регрессией, и представлено исправление для уязвимости CVE-2017-11223. Подробности см. в этом блоге.