Бюллетень безопасности для Adobe Acrobat и Reader | APSB18-41
Идентификатор бюллетеня Дата публикации Приоритет
APSB18-41 11 декабря 2018 г. 2

Сводка

Компания Adobe выпустила обновления системы безопасности приложений Adobe Acrobat и Reader для Windows и MacOS. В этих обновлениях устранены критические и серьезные уязвимости. При успешном использовании эта уязвимость могла привести к выполнению произвольного кода в контексте текущего пользователя.   

Затронутые версии

Продукт Отслеживать Затронутые версии Платформа
Acrobat DC  Continuous
2019.008.20081 и более ранние версии 
Windows 
Acrobat DC  Continuous 2019.008.20080 и более ранние версии macOS
Acrobat Reader DC Continuous
2019.008.20081 и более ранние версии Windows
Acrobat Reader DC Continuous 2019.008.20080 и более ранние версии macOS
       
Acrobat 2017 Classic 2017 2017.011.30106 и более ранние версии Windows
Acrobat 2017 Classic 2017 2017.011.30105 и более ранние версии macOS
Acrobat Reader 2017 Classic 2017 2017.011.30106 и более ранние версии Windows
Acrobat Reader 2017 Classic 2017 2017.011.30105 и более ранние версии macOS
       
Acrobat DC  Classic 2015 2015.006.30457 и более ранние версии  Windows
Acrobat DC  Classic 2015 2015.006.30456 и более ранние версии  macOS
Acrobat Reader DC  Classic 2015 2015.006.30457 и более ранние версии  Windows
Acrobat Reader DC Classic 2015 2015.006.30456 и более ранние версии  macOS

Решение

Adobe рекомендует пользователям обновить свое программное обеспечение до последних версий, следуя приведенным ниже инструкциям.
Новейшие версии продуктов пользователи могут получить одним из следующих способов:

  • Пользователи могут обновлять свое программное обеспечение вручную, выбрав меню Справка > Проверить наличие обновлений.
  • При обнаружении обновлений продукты будут обновляться автоматически без вмешательства пользователей.
  • Полную версию установщика Acrobat Reader можно загрузить в Центре загрузки Acrobat Reader.

Для ИТ-администраторов (в управляемых средах):

  • Загрузите установщики для предприятий с ftp://ftp.adobe.com/pub/adobe/ или см. ссылки на установщики в соответствующих версий замечаний к выпуску.
  • Установите обновления предпочтительным способом, например с помощью AIP-GPO, начального загрузчика, SCUP/SCCM (Windows) или в macOS, с помощью удаленного рабочего стола Apple и SSH в Макинтош.

Adobe категоризирует эти обновления при помощи следующих рейтингов приоритета и рекомендует пользователям обновлять установленное программное обеспечение до последних версий.

Продукт Отслеживать Обновленные версии Платформа Рейтинг приоритета Доступность
Acrobat DC Continuous 2019.010.20064 Windows и macOS 2 Windows

macOS
Acrobat Reader DC Continuous 2019.010.20064
Windows и macOS 2 Windows

macOS
           
Acrobat 2017 Classic 2017 2017.011.30110 Windows и macOS 2 Windows

macOS
Acrobat Reader DC 2017 Classic 2017 2017.011.30110 Windows и macOS 2 Windows

macOS
           
Acrobat DC Classic 2015 2015.006.30461 Windows и macOS 2 Windows

macOS
Acrobat Reader DC Classic 2015 2015.006.30461 Windows и macOS 2 Windows

macOS

Сведения об уязвимости

Категория уязвимости Влияние уязвимости Серьезность Номер CVE

Ошибки буфера

 

Выполнение произвольного кода

 

Критическая

 

CVE-2018-15998

CVE-2018-15987

 

Несанкционированное разыменование указателя

 

Выполнение произвольного кода

 

 

 

Критическая

 

 

CVE-2018-16004

CVE-2018-19720

Возможность обхода системы безопасности

 

Повышение уровня полномочий

 

Критическая

 

 

 

CVE-2018-16045

CVE-2018-16044

CVE-2018-16018

 

 

Используйте после бесплатно

 

 

 

 

Выполнение произвольного кода

 

 

 

 

Критическая

 

 

CVE-2018-19715

CVE-2018-19713

CVE-2018-19708

CVE-2018-19707

CVE-2018-19700

CVE-2018-19698

CVE-2018-16046

CVE-2018-16040

CVE-2018-16039

CVE-2018-16037

CVE-2018-16036

CVE-2018-16029

CVE-2018-16027

CVE-2018-16026

CVE-2018-16025

CVE-2018-16014

CVE-2018-16011

CVE-2018-16008

CVE-2018-16003

CVE-2018-15994

CVE-2018-15993

CVE-2018-15992

CVE-2018-15991

CVE-2018-15990

 

 

Запись за пределами буфера 

 

 

 

 

Выполнение произвольного кода

 

 

 

 

Критическая

 

 

CVE-2018-19702

CVE-2018-16016

CVE-2018-16000

CVE-2018-15999

CVE-2018-15988

 

 

Переполнение кучи

 

 

 

 

Выполнение произвольного кода

 

 

 

 

Критическая

 

 

CVE-2018-19716

CVE-2018-16021

CVE-2018-12830

 

 

Чтение за пределами буфера

 

 

 

 

Раскрытие информации

 

 

 

 

Важная

 

 

CVE-2018-19717

CVE-2018-19714

CVE-2018-19712

CVE-2018-19711

CVE-2018-19710 

CVE-2018-19709

CVE-2018-19706

CVE-2018-19705

CVE-2018-19704 

CVE-2018-19703

CVE-2018-19701

CVE-2018-19699

CVE-2018-16047 

CVE-2018-16043

CVE-2018-16041

CVE-2018-16038

CVE-2018-16035 

CVE-2018-16034

CVE-2018-16033

CVE-2018-16032

CVE-2018-16031 

CVE-2018-16030

CVE-2018-16028

CVE-2018-16024

CVE-2018-16023 

CVE-2018-16022

CVE-2018-16020

CVE-2018-16019

CVE-2018-16017 

CVE-2018-16015

CVE-2018-16013

CVE-2018-16012

CVE-2018-16010 

CVE-2018-16006

CVE-2018-16005

CVE-2018-16002

CVE-2018-16001 

CVE-2018-15997

CVE-2018-15996

CVE-2018-15989

CVE-2018-15985 

CVE-2018-15984

CVE-2018-19719

 

Переполнение целочисленного значения

 

Раскрытие информации

 

 

 

Важная

 

 

CVE-2018-16009

CVE-2018-16007

CVE-2018-15995

CVE-2018-15986

Возможность обхода системы безопасности Раскрытие информации Важная CVE-2018-16042

Благодарности

Adobe приносит благодарность следующим людям и организациям за сообщение о существенных проблемах и за помощь Adobe в обеспечении защиты наших клиентов:

  • Анонимный пользователь, сообщивший о проблеме в рамках программы Zero Day Initiative компании Trend Micro (CVE-2018-16029, CVE-2018-16027, CVE-2018-16025, CVE-2018-15997, CVE-2018-15992)

  • Ke Лиу, лаборатория Tencent Xuanwu (CVE-2018-19706, CVE-2018-19705, CVE-2018-19704, CVE-2018-19703, CVE-2018-19702, CVE-2018-16035, CVE-2018-16020, CVE-2018-16019, CVE-2018-16016, CVE-2018-16015, CVE-2018-16013, CVE-2018-15990, CVE-2018-15988).

  • пользователь kdot, участник программы Zero Day Initiative компании Trend Micro (CVE-2018-19712, CVE-2018-19711, CVE-2018-16030, CVE-2018-16028, CVE-2018-16012, CVE-2018-16002, CVE-2018-16001, CVE-2018-15996)

  • Эстебан Руиц (mr_me), Source Incite, в рамках программы Zero Day Initiative компании Trend Micro (CVE-2018-16026, CVE-2018-15994, CVE-2018-15993, CVE-2018-15991, CVE-2018-16008).

  • Ду Пинсинь из службы безопасности NSFOCUS (CVE-2018-16022, CVE-2018-16021, CVE-2018-16017, CVE-2018-16000, CVE-2018-15999)

  • Лин Ван, Бейханский университет, участник программы Zero Day Initiative компании Trend Micro (CVE-2018-16014)

  • Пользователь guyio, участник программы Zero Day Initiative компании Trend Micro (CVE-2018-16024, CVE-2018-16023, CVE-2018-15995)

  • Пэнсу Чэн, специалистов в области безопасности компании Trend Micro в рамках программы Zero Day Initiative компании Trend Micro (CVE-2018-15985)

  • Пользователь Ксю Пенг (XuPeng), институт программного обеспечения TCA/SKLCS Академии наук Китая и Хуан Чен (HuangZheng), Baidu Security Lab, (CVE-2018-12830)

  • Линьань Хао, группа Qihoo 360 Vulcan и Чжэньцзе Цзя, группа Qihoo 360 Vulcan (CVE-2018-16041)

  • Стивен Сили, в рамках программы Zero Day Initiative компании Trend Micro (CVE-2018-16008)

  • Родерик Шеферер, в рамках программы Zero Day Initiative компании Trend Micro (CVE-2018-19713)

  • Лин Ван, Бейханский университет (CVE-2018-15998, CVE-2018-15989, CVE-2018-15987, CVE-2018-15986, CVE-2018-15984)

  • Владислав Младенов, Кристиан Маинка, Карстен Мейер из Зехаузена, Мартин Гроте, Йорг Швенк, Рурский университет в Бохуме (CVE-2018-16042)

  • Александр Николик (Aleksandar Nikolic), Cisco Talos (CVE-2018-19716)

  • Камлапати Чубей, в рамках программы Zero Day Initiative компании Trend Micro (CVE-2018-19714)

  • Себастьян Апельт (@bitshifter123), в рамках программы Zero Day Initiative компании Trend Micro (CVE-2018-16010, CVE-2018-16003, CVE-2018-16044, CVE-2018-19720, CVE-2018-19719)

  • Особую благодарность выражаем Абдулу Азиз Харири, участнику программы Zero Day Initiative компании Trend Micro за его вклад в создание эшелонированной защиты от обходов ограничений JavaScript API (CVE-2018-16018)

  • Абдул Азиз Харири, участник программы Zero Day Initiative компании Trend Micro и Себастьян Апельт за их вклад в создание эшелонированной защиты от атак на Onix Indexing (CVE-2018-16004, CVE-2018-16005, CVE-2018-16007, CVE-2018-16009, CVE-2018-16043, CVE-2018-16045, CVE-2018-16046)

  • Ци Ден, Palo Alto Networks (CVE-2018-16033, CVE-2018-16032, CVE-2018-16031)

  • Чжибинь Чжан, Palo Alto Networks (CVE -2018-16037, CVE -2018-16036, CVE -2018-16034)

  • Хуэй Гао и Ци Ден, Palo Alto Networks (CVE-2018-19698, CVE-2018-16047, CVE-2018-16040, CVE-2018-16038)

  • Хуэй Гао и Чжибинь Чжан, Palo Alto Networks (CVE-2018-19710, CVE-2018-19709, CVE-2018-19707, CVE-2018-19700, CVE-2018-19699)

  • Бо Ку, Palo Alto Networks и Хейдж из группы Knownsec 404 Security Team (CVE-2018-19717, CVE-2018-19715, CVE-2018-19708, CVE-2018-19701, CVE-2018-16039)