Säkerhetsbulletin för Adobe Acrobat och Reader | APSB18-21
Bulletin-ID Publiceringsdatum Prioritet
APSB18-21 den 10 juli 2018 2

Sammanfattning

Adobe har släppt säkerhetsuppdateringar för Adobe Acrobat och Reader för Windows och macOS. Dessa uppdateringar åtgärdar allvarliga och viktiga säkerhetsluckor.  Exploatering kan leda till exekvering av godtycklig kod i snabbmenyn för den aktuella användaren.

Berörda versioner

Produkt Spår Berörda versioner Plattform Prioritet
Acrobat DC  Continuous
2018.011.20040 och tidigare versioner 
Windows och macOS 2
Acrobat Reader DC Continuous
2018.011.20040 och tidigare versioner 
Windows och macOS 2
         
Acrobat 2017 Classic 2017 2017.011.30080 och tidigare versioner Windows och macOS 2
Acrobat Reader 2017 Classic 2017 2017.011.30080 och tidigare versioner Windows och macOS 2
         
Acrobat DC  Classic 2015 2015.006.30418 och tidigare versioner
Windows och macOS 2
Acrobat Reader DC  Classic 2015 2015.006.30418 och tidigare versioner
Windows och macOS 2

Om du har frågor om Acrobat DC kan du besöka sidan med vanliga frågor om Acrobat DC.

Om du har frågor om Acrobat Reader DC kan du besöka sidan med vanliga frågor om Acrobat Reader DC.

Lösning

Adobe rekommenderar användare att uppdatera sina programinstallationer till den senaste versionen genom att följa instruktionerna nedan.
De senaste produktversionerna är tillgängliga för användare via en av följande metoder:

  • Användarna kan uppdatera installerade produkter manuellt, genom att välja: Hjälp > Leta efter uppdateringar.
  • Om uppdateringar hittas uppdateras produkterna automatiskt utan att användaren behöver utföra någon
    åtgärd.
  • Det fullständiga Acrobat Reader-installationsprogrammet kan hämtas från Acrobat Reader Download Center.

För IT-administratörer (administrerade miljöer):

  • Hämta Enterprise-installationsprogrammen från ftp://ftp.adobe.com/pub/adobe/ eller använd installationsprogramlänkarna i versionsinformationen.
  • Installera uppdateringarna med någon metod som du föredrar, till exempel via en administrativ installationspunkt, ett startprogram, SCUP/SCCM (Windows) eller – för macOS – via Apple Remote Desktop och SSH.

Adobe klassar dessa uppdateringar med följande prioritetsklassificeringar och rekommenderar användare att uppdatera till den senaste versionen:

Produkt Spår Uppdaterade versioner Plattform Prioritet Tillgänglighet
Acrobat DC Continuous 2018.011.20055
Windows och macOS 2
Windows
macOS
Acrobat Reader DC Continuous 2018.011.20055
Windows och macOS 2
Windows
macOS
           
Acrobat 2017 Classic 2017 2017.011.30096 Windows och macOS 2
Windows
macOS
Acrobat Reader DC 2017 Classic 2017 2017.011.30096 Windows och macOS 2
Windows
macOS
           
Acrobat DC Classic 2015 2015.006.30434
Windows och macOS
2
Windows
macOS
Acrobat Reader DC Classic 2015 2015.006.30434 Windows och macOS 2
Windows
macOS

Obs!

Som nämndes i det föregående meddelandet upphörde stödet för Adobe Acrobat 11.x och Adobe Reader 11.x 15 oktober 2017.  Version 11.0.23 är den sista versionen av Adobe Acrobat 11.x och Adobe Reader 11.x. Adobe rekommenderar att du uppdaterar till de senaste versionerna av Adobe Acrobat DC och Adobe Acrobat ReaderDC. Genom att uppdatera till de senaste versionerna kan du dra nytta av de senaste funktionsförbättringarna och de förbättrade säkerhetsåtgärderna.

Sårbarhetsinformation

Sårbarhetskategori Sårbarhetens inverkan Allvarlighet CVE-nummer
Dubbel frigörning
Exekvering av godtycklig kod Kritisk CVE-2018-12782
Stackfel
Exekvering av godtycklig kod
Kritisk CVE-2018-5015, CVE-2018-5028,   CVE-2018-5032, CVE-2018-5036,   CVE-2018-5038, CVE-2018-5040,   CVE-2018-5041, CVE-2018-5045,   CVE-2018-5052, CVE-2018-5058,   CVE-2018-5067, CVE-2018-12785, CVE-2018-12788, CVE-2018-12798
Use-after-free 
Exekvering av godtycklig kod
Kritisk CVE-2018-5009, CVE-2018-5011,   CVE-2018-5065, CVE-2018-12756, CVE-2018-12770, CVE-2018-12772, CVE-2018-12773, CVE-2018-12776, CVE-2018-12783, CVE-2018-12791, CVE-2018-12792, CVE-2018-12796, CVE-2018-12797  
Överskridning av skrivningsgränser 
Exekvering av godtycklig kod
Kritisk CVE-2018-5020, CVE-2018-5021,   CVE-2018-5042, CVE-2018-5059,   CVE-2018-5064, CVE-2018-5069,   CVE-2018-5070, CVE-2018-12754, CVE-2018-12755, CVE-2018-12758, CVE-2018-12760, CVE-2018-12771, CVE-2018-12787
Kringgående av säkerhet Eskalering av behörighet
Kritisk
CVE-2018-12802
Överskridning av läsningsgränser Informationsexponering Viktig CVE-2018-5010, CVE-2018-12803,  CVE-2018-5014, CVE-2018-5016, CVE-2018-5017, CVE-2018-5018, CVE-2018-5019, CVE-2018-5022, CVE-2018-5023, CVE-2018-5024, CVE-2018-5025, CVE-2018-5026, CVE-2018-5027, CVE-2018-5029, CVE-2018-5031, CVE-2018-5033, CVE-2018-5035, CVE-2018-5039, CVE-2018-5044, CVE-2018-5046, CVE-2018-5047, CVE-2018-5048, CVE-2018-5049, CVE-2018-5050, CVE-2018-5051, CVE-2018-5053, CVE-2018-5054, CVE-2018-5055, CVE-2018-5056, CVE-2018-5060, CVE-2018-5061, CVE-2018-5062, CVE-2018-5063, CVE-2018-5066, CVE-2018-5068, CVE-2018-12757, CVE-2018-12761, CVE-2018-12762, CVE-2018-12763, CVE-2018-12764, CVE-2018-12765, CVE-2018-12766, CVE-2018-12767, CVE-2018-12768, CVE-2018-12774, CVE-2018-12777, CVE-2018-12779, CVE-2018-12780, CVE-2018-12781, CVE-2018-12786, CVE-2018-12789, CVE-2018-12790, CVE-2018-12795
Typförväxling Exekvering av godtycklig kod Kritisk CVE-2018-5057, CVE-2018-12793, CVE-2018-12794
Ej tillförlitlig pekaravreferering  Exekvering av godtycklig kod Kritisk CVE-2018-5012, CVE-2018-5030
Buffertfel
Exekvering av godtycklig kod Kritisk CVE-2018-5034, CVE-2018-5037, CVE-2018-5043, CVE-2018-12784

Tack

Adobe tackar följande personer för att de har rapporterat problemen och för att de samarbetar med oss i säkerhetsfrågor:

  • Gal De Leon på Palo Alto Networks (CVE-2018-5009, CVE-2018-5066)

  • Anonyma rapporter via Trend Micros Zero Day Initiative (CVE-2018-12770, CVE-2018-12771, CVE-2018-12772, CVE-2018-12773, CVE-2018-12774, CVE-2018-12776, CVE-2018-12777, CVE-2018-12779, CVE-2018-12780, CVE-2018-12781, CVE-2018-12783,CVE-2018-12795, CVE-2018-12797)

  • WillJ frånTencent PC Manager via Trend Micros Zero Day Initiative (CVE-2018-5058, CVE-2018-5063, CVE-2018-5065)

  • Steven Seeley via Trend Micros Zero Day Initiative (CVE-2018-5012, CVE-2018-5030, CVE-2018-5033, CVE-2018-5034, CVE-2018-5035, CVE-2018-5059, CVE-2018-5060, CVE-2018-12793, CVE-2018-12796) 

  • Ke Liu från Tencents Xuanwu LAB via Trend Micros Zero Day Initiative (CVE-2018-12803, CVE-2018-5014, CVE-2018-5015, CVE-2018-5016, CVE-2018-5017, CVE-2018-5018, CVE-2018-5019, CVE-2018-5027, CVE-2018-5028, CVE-2018-5029, CVE-2018-5031, CVE-2018-5032, CVE-2018-5055, CVE-2018-5056, CVE-2018-5057)

  • Sebastian Apelt siberas via Trend Micros Zero Day Initiative (CVE-2018-12794)

  • Zhiyuan Wang från Chengdu Qihoo360 Tech Co. Ltd. (CVE-2018-12758)

  • Lin Wang från Beihang University (CVE-2018-5010, CVE-2018-5020, CVE-2018-12760, CVE-2018-12761, CVE-2018-12762, CVE-2018-12763, CVE-2018-12787, CVE-2018-5067) 

  • Zhenjie Jia från Qihoo 360 Vulcan Team (CVE-2018-12757)

  • Netanel Ben Simon och Yoav Alon från Check Point Software Technologies (CVE-2018-5063, CVE-2018-5064, CVE-2018-5065, CVE-2018-5068, CVE-2018-5069, CVE-2018-5070, CVE-2018-12754, CVE-2018-12755, CVE-2018-12764, CVE-2018-12765, CVE-2018-12766, CVE-2018-12767. CVE-2018-12768)

  • Aleksandar Nikolic från Cisco Talos (CVE-2018-12756)

  • Vladislav Stolyarov från Kaspersky Lab (CVE-2018-5011) 

  • Ke Liu från Tencents Xuanwu Lab (CVE-2018-12785, CVE-2018-12786)

  • Kdot via Trend Micros Zero Day Initiative (CVE-2018-5036, CVE-2018-5037, CVE-2018-5038, CVE-2018-5039, CVE-2018-5040, CVE-2018-5041, CVE-2018-5042, CVE-2018-5043, CVE-2018-5044, CVE-2018-5045, CVE-2018-5046, CVE-2018-5047, CVE-2018-5048, CVE-2018-5049, CVE-2018-5050, CVE-2018-5051, CVE-2018-5052, CVE-2018-5053, CVE-2018-5054, CVE-2018-5020)

  • Pengsu Cheng från Trend Micro i samarbete med Trend Micros Zero Day Initiative (CVE-2018-5061, CVE-2018-5067, CVE-2018-12790, CVE-2018-5056)

  • Ron Waisberg i samarbete med Trend Micros Zero Day Initiative (CVE-2018-5062, CVE-2018-12788, CVE-2018-12789) 

  • Steven Seeley (mr_me) från Source Incite i samarbete med iDefense Labs (CVE-2018-12791, CVE-2018-12792, CVE-2018-5015)

  • iDefense Labs (CVE-2018-12798)

  • XuPeng från TCA/SKLCS Institute of Software Chinese Academy of Sciences och HuangZheng från Baidu Security Lab (CVE-2018-12782)

  • Anonyma rapporter (CVE-2018-12784, CVE-2018-5009)

  • mr_me från Source Incite i samarbete med Trend Micro's Zero Day Initiative (CVE-2018-12761)

  • Zhanglin He och Bo Qu från Palo Alto Networks (CVE-2018-5023, CVE-2018-5024)

  • Bo Qu från Palo Alto Networks och Heige of Knownsec 404 Security Team (CVE-2018-5021, CVE-2018-5022, CVE-2018-5025, CVE-2018-5026)