Adobe-säkerhetsbulletin
Säkerhetsbulletin för Adobe Acrobat och Reader | APSB18-41
Bulletin-ID Publiceringsdatum Prioritet
APSB18-41 11 december 2018 2

Sammanfattning

Adobe har släppt säkerhetsuppdateringar för Adobe Acrobat och Reader för Windows och MacOS. Dessa uppdateringar åtgärdar critical och viktiga säkerhetsluckor. Exploatering kan leda till exekvering av godtycklig kod i snabbmenyn för den aktuella användaren.   

Berörda versioner

Produkt Spår Berörda versioner Plattform
Acrobat DC  Continuous
2019.008.20081 och tidigare versioner 
Windows 
Acrobat DC  Continuous 2019.008.20080 och tidigare versioner macOS
Acrobat Reader DC Continuous
2019.008.20081 och tidigare versioner Windows
Acrobat Reader DC Continuous 2019.008.20080 och tidigare versioner macOS
       
Acrobat 2017 Classic 2017 2017.011.30106 och tidigare version Windows
Acrobat 2017 Classic 2017 2017.011.30105 och tidigare version macOS
Acrobat Reader 2017 Classic 2017 2017.011.30106 och tidigare version Windows
Acrobat Reader 2017 Classic 2017 2017.011.30105 och tidigare version macOS
       
Acrobat DC  Classic 2015 2015.006.30457 och tidigare versioner  Windows
Acrobat DC  Classic 2015 2015.006.30456 och tidigare versioner  macOS
Acrobat Reader DC  Classic 2015 2015.006.30457 och tidigare versioner  Windows
Acrobat Reader DC Classic 2015 2015.006.30456 och tidigare versioner  macOS

Lösning

Adobe rekommenderar användare att uppdatera sina programinstallationer till den senaste versionen genom att följa instruktionerna nedan.
De senaste produktversionerna är tillgängliga för användare via en av följande metoder:

  • Användarna kan uppdatera installerade produkter manuellt, genom att välja: Hjälp > Leta efter uppdateringar.
  • Om uppdateringar hittas uppdateras produkterna automatiskt utan att användaren behöver utföra någon åtgärd.
  • Det fullständiga Acrobat Reader-installationsprogrammet kan hämtas från Acrobat Reader Download Center.

För IT-administratörer (administrerade miljöer):

  • Hämta Enterprise-installationsprogrammen från ftp://ftp.adobe.com/pub/adobe/ eller använd installationsprogramlänkarna i versionsinformationen.
  • Installera uppdateringarna med någon metod som du föredrar, till exempel via en administrativ installationspunkt, ett startprogram, SCUP/SCCM (Windows) eller – för macOS – via Apple Remote Desktop och SSH.

Adobe klassar dessa uppdateringar med följande prioritetsklassificeringar och rekommenderar användare att uppdatera till den senaste versionen:

Produkt Spår Uppdaterade versioner Plattform Prioritet Tillgänglighet
Acrobat DC Continuous 2019.010.20064 Windows och macOS 2 Windows

macOS
Acrobat Reader DC Continuous 2019.010.20064
Windows och macOS 2 Windows

macOS
           
Acrobat 2017 Classic 2017 2017.011.30110 Windows och macOS 2 Windows

macOS
Acrobat Reader DC 2017 Classic 2017 2017.011.30110 Windows och macOS 2 Windows

macOS
           
Acrobat DC Classic 2015 2015.006.30461 Windows och macOS 2 Windows

macOS
Acrobat Reader DC Classic 2015 2015.006.30461 Windows och macOS 2 Windows

macOS

Sårbarhetsinformation

Sårbarhetskategori Sårbarhetens inverkan Allvarlighet CVE-nummer

Buffertfel

 

Exekvering av godtycklig kod

 

Kritisk

 

CVE-2018-15998

CVE-2018-15987

 

Ej tillförlitlig pekaravreferering

 

Exekvering av godtycklig kod

 

 

 

Kritisk

 

 

CVE-2018-16004

CVE-2018-19720

Kringgående av säkerhet

 

Eskalering av behörighet

 

Kritisk

 

 

 

CVE-2018-16045

CVE-2018-16044

CVE-2018-16018

 

 

Användning efter frigöring

 

 

 

 

Exekvering av godtycklig kod

 

 

 

 

Kritisk

 

 

CVE-2018-19715

CVE-2018-19713

CVE-2018-19708

CVE-2018-19707

CVE-2018-19700

CVE-2018-19698

CVE-2018-16046

CVE-2018-16040

CVE-2018-16039

CVE-2018-16037

CVE-2018-16036

CVE-2018-16029

CVE-2018-16027

CVE-2018-16026

CVE-2018-16025

CVE-2018-16014

CVE-2018-16011

CVE-2018-16008

CVE-2018-16003

CVE-2018-15994

CVE-2018-15993

CVE-2018-15992

CVE-2018-15991

CVE-2018-15990

 

 

Överskridning av skrivningsgränser 

 

 

 

 

Exekvering av godtycklig kod

 

 

 

 

Kritisk

 

 

CVE-2018-19702

CVE-2018-16016

CVE-2018-16000

CVE-2018-15999

CVE-2018-15988

 

 

Stackfel

 

 

 

 

Exekvering av godtycklig kod

 

 

 

 

Kritisk

 

 

CVE-2018-19716

CVE-2018-16021

CVE-2018-12830

 

 

Överskridning av läsningsgränser

 

 

 

 

Informationsexponering

 

 

 

 

Viktig

 

 

CVE-2018-19717

CVE-2018-19714

CVE-2018-19712

CVE-2018-19711

CVE-2018-19710 

CVE-2018-19709

CVE-2018-19706

CVE-2018-19705

CVE-2018-19704 

CVE-2018-19703

CVE-2018-19701

CVE-2018-19699

CVE-2018-16047 

CVE-2018-16043

CVE-2018-16041

CVE-2018-16038

CVE-2018-16035 

CVE-2018-16034

CVE-2018-16033

CVE-2018-16032

CVE-2018-16031 

CVE-2018-16030

CVE-2018-16028

CVE-2018-16024

CVE-2018-16023 

CVE-2018-16022

CVE-2018-16020

CVE-2018-16019

CVE-2018-16017 

CVE-2018-16015

CVE-2018-16013

CVE-2018-16012

CVE-2018-16010 

CVE-2018-16006

CVE-2018-16005

CVE-2018-16002

CVE-2018-16001 

CVE-2018-15997

CVE-2018-15996

CVE-2018-15989

CVE-2018-15985 

CVE-2018-15984

CVE-2018-19719

 

Heltalsspill

 

Informationsexponering

 

 

 

Viktig

 

 

CVE-2018-16009

CVE-2018-16007

CVE-2018-15995

CVE-2018-15986

Kringgående av säkerhet Informationsexponering Viktig CVE-2018-16042

Tack

Adobe tackar följande personer för att de har rapporterat problemen och för att de samarbetar med oss i säkerhetsfrågor:

  • Anonymt anmält via Trend Micros Zero Day Initiative (CVE-2018-16029, CVE-2018-16027, CVE-2018-16025, CVE-2018-15997, CVE-2018-15992)

  • Ke Liu från Tencents Xuanwu-labb Lab (CVE-2018-19706, CVE-2018-19705, CVE-2018-19704, CVE-2018-19703, CVE-2018-19702, CVE-2018-16035, CVE-2018-16020, CVE-2018-16019, CVE-2018-16016, CVE-2018-16015, CVE-2018-16013, CVE-2018-15990, CVE-2018-15988).

  • kdot som arbetar med Trend Micros Zero Day Initiative (CVE-2018-19712, CVE-2018-19711, CVE-2018-16030, CVE-2018-16028, CVE-2018-16012, CVE-2018-16002, CVE-2018-16001, CVE-2018-15996)

  • Esteban Ruiz (mr_me) från Source Incite via Trend Micros Zero Day Initiative (CVE-2018-16026, CVE-2018-15994, CVE-2018-15993, CVE-2018-15991, CVE-2018-16008).

  • Du pingxin från NSFOCUS Security Team (CVE-2018-16022, CVE-2018-16021, CVE-2018-16017, CVE-2018-16000, CVE-2018-15999)

  • Lin Wang på Beihangs universitet via Trend Micros Zero Day Initiative (CVE-2018-16014)

  • guyio via Trend Micros Zero Day Initiative (CVE-2018-16024, CVE-2018-16023, CVE-2018-15995)

  • Pengsu Cheng från Trend Micro Security Research via Trend Micros Zero Day Initiative (CVE-2018-15985)

  • XuPeng från TCA/SKLCS Institute of Software Chinese Academy of Sciences och HuangZheng från Baidu Security Lab (CVE-2018-12830)

  • Linan Hao från Qihoo 360 Vulcan Team och Zhenjie Jia från Qihoo 360 Vulcan Team (CVE-2018-16041)

  • Steven Seeley via Trend Micros Zero Day Initiative (CVE-2018-16008)

  • Roderick Schaefer via Trend Micro Zero Day Initiative (CVE-2018-19713)

  • Lin Wang från Beihang University (CVE-2018-15998, CVE-2018-15989, CVE-2018-15987, CVE-2018-15986, CVE-2018-15984)

  • Vladislav Mladenov, Christian Mainka, Karsten  Meyer zu  Selhausen, Martin Grothe, Jorg Schwenk från Ruhr-Universität Bochum (CVE-2018-16042)

  • Aleksandar Nikolic från Cisco Talos (CVE-2018-19716)

  • Kamlapati Choubey via Trend Micros Zero Day Initiative (CVE-2018-19714)

  • Sebastian Apelt (@bitshifter123) via Trend Micros Zero Day Initiative (CVE-2018-16010, CVE-2018-16003, CVE-2018-16044, CVE-2018-19720, CVE-2018-19719)

  • Särskilt tack till Abdul Aziz Hariri från Trend Micros Zero Day Initiative för hans försvarsbidrag till det allt hårdare kringgåendet av begränsningar för JavaScript API (CVE-2018-16018)

  • AbdulAziz Hariri från Zero Day Initiative och Sebastian Apelt för försvarsbidrag till att mildra attackytan för Onix Indexing (CVE-2018-16004, CVE-2018-16005, CVE-2018-16007, CVE-2018-16009, CVE-2018-16043, CVE-2018-16045, CVE-2018-16046)

  • Qi Deng från Palo Alto Networks (CVE-2018-16033, CVE-2018-16032, CVE-2018-16031)

  • Zhibin Zhang från Palo Alto Networks (CVE-2018-16037, CVE-2018-16036, CVE-2018-16034)

  • Hui Gao och Qi Deng från Palo Alto Networks (CVE-2018-19698, CVE-2018-16047, CVE-2018-16040, CVE-2018-16038)

  • Hui Gao och Zhibin Zhang från Palo Alto Networks (CVE-2018-19710, CVE-2018-19709, CVE-2018-19707, CVE-2018-19700, CVE-2018-19699)

  • Bo Qu från Palo Alto Networks och Heige från Knownsec 404 Security Team (CVE-2018-19717, CVE-2018-19715, CVE-2018-19708, CVE-2018-19701, CVE-2018-16039)