Bulletin-ID
Senast uppdaterad den
8 okt. 2024
Säkerhetsuppdatering tillgänglig för Adobe Acrobat och Reader | APSB24-57
|
|
Publiceringsdatum |
Prioritet |
|---|---|---|
|
APSB24-57 |
13 augusti 2024 |
3 |
Sammanfattning
Adobe har släppt en säkerhetsuppdatering för Adobe Acrobat och Reader för Windows och macOS. Uppdateringen åtgärdar kritiska och viktiga sårbarheter. Exploatering kan leda till exekvering av godtycklig kod, eskalering av behörighet och minnesläckor.
Adobe är medvetet om att CVE-2024-39383 har ett känt koncepttest som kan få Adobe Acrobat och Reader att krascha. Adobe känner inte till att den här frågan har utnyttjats.
Berörda versioner
|
Spår |
Berörda versioner |
Plattform |
|
|
Acrobat DC |
Continuous |
24.002.20991 och tidigare versioner |
Windows och macOS |
|
Acrobat Reader DC |
Continuous |
24.002.20991 och tidigare versioner |
Windows och macOS |
|
Acrobat 2024 |
Classic 2024 |
24.001.30123 och tidigare versioner |
Windows och macOS |
|
Acrobat 2020 |
Classic 2020 |
20.005.30636 och tidigare versioner (Windows) |
Windows och macOS |
|
Acrobat Reader 2020 |
Classic 2020 |
20.005.30636 och tidigare versioner (Windows) |
Windows och macOS |
Om du har frågor om Acrobat DC kan du besöka sidan med vanliga frågor om Acrobat DC.
Om du har frågor om Acrobat Reader DC kan du besöka sidan med vanliga frågor om Acrobat Reader DC.
Lösning
Adobe rekommenderar användare att uppdatera sina programinstallationer till den senaste versionen genom att följa instruktionerna nedan.
De senaste produktversionerna är tillgängliga för användare via en av följande metoder:
Användarna kan uppdatera installerade produkter manuellt, genom att välja: Hjälp > Leta efter uppdateringar.
Om uppdateringar hittas uppdateras produkterna automatiskt utan att användaren behöver utföra någon åtgärd.
Det fullständiga Acrobat Reader-installationsprogrammet kan hämtas från Acrobat Reader Hämtningscenter.
För IT-administratörer (administrerade miljöer):
Länkar till installationsprogram finns i den specifika versionsinformationen.
Installera uppdateringarna med någon metod som du föredrar, till exempel via en administrativ installationspunkt, ett startprogram, SCUP/SCCM (Windows) eller – för macOS – via Apple Remote Desktop och SSH.
Adobe klassar dessa uppdateringar med följande prioritetsklassificeringar och rekommenderar användare att uppdatera till den senaste versionen:
|
Spår |
Uppdaterade versioner |
Plattform |
Prioritetsklassificering |
Tillgänglighet |
|
|
Acrobat DC |
Continuous |
24.002.21005 |
Windows och macOS |
3 |
|
|
Acrobat Reader DC |
Continuous |
24.002.21005 |
Windows och macOS |
3 |
|
|
Acrobat 2024 |
Classic 2024 |
24.001.30159 |
Windows och macOS |
3 |
|
|
|
|
|
|
|
|
|
Acrobat 2020 |
Classic 2020 |
20.005.30655 |
Windows och macOS |
3 |
|
|
Acrobat Reader 2020 |
Classic 2020 |
20.005.30655 |
Windows och macOS |
3 |
Sårbarhetsinformation
| Sårbarhetskategori | Sårbarhetens inverkan | Allvarlighet | CVSS-baspoäng | CVSS-vektor | CVE-nummer |
| Användning efter frigöring (CWE-416) |
Exekvering av godtycklig kod |
Kritisk |
7.8 | CVSS:3.1/AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H |
CVE-2024-39383
|
| Användning efter frigöring (CWE-416) |
Exekvering av godtycklig kod |
Kritisk | 8.1 | CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:N |
CVE-2024-39422 |
| Överskridning av skrivningsgränser (CWE-787) |
Exekvering av godtycklig kod |
Kritisk |
7.8 | CVSS:3.1/AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H |
CVE-2024-39423 |
| Användning efter frigöring (CWE-416) |
Exekvering av godtycklig kod |
Kritisk |
7.8 | CVSS:3.1/AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H |
CVE-2024-39424 |
| Felaktig verifiering av kryptografisk signatur (CWE-347) |
Eskalering av behörighet |
Kritisk | 7.5 | CVSS:3.1/AV:L/AC:H/PR:L/UI:R/S:C/C:H/I:H/A:H |
CVE-2024-39425 |
| Åtkomst till minnesplats efter buffertens slut (CWE-788) |
Exekvering av godtycklig kod |
Kritisk |
7.8 | CVSS:3.1/AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H |
CVE-2024-39426 |
| Användning efter frigöring (CWE-416) |
Exekvering av godtycklig kod |
Kritisk |
7.8 | CVSS:3.1/AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H |
CVE-2024-41830 |
| Användning efter frigöring (CWE-416) |
Exekvering av godtycklig kod |
Kritisk |
7.8 | CVSS:3.1/AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H |
CVE-2024-41831 |
| Tid-för-kontroll Tid-för-användning (TOCTOU) Problem vid programkörning (CWE-367) |
Exekvering av godtycklig kod |
Kritisk |
7.8 | CVSS:3.1/AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H |
CVE-2024-39420 |
| Överskridning av läsningsgränser (CWE-125) |
Minnesläcka | Viktig | 5.5 | CVSS:3.1/AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:N/A:N |
CVE-2024-41832 |
| Överskridning av läsningsgränser (CWE-125) |
Minnesläcka | Viktig | 5.5 | CVSS:3.1/AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:N/A:N | CVE-2024-41833 |
| Överskridning av läsningsgränser (CWE-125) |
Minnesläcka | Viktig | 5.5 | CVSS:3.1/AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:N/A:N | CVE-2024-41834 |
| Överskridning av läsningsgränser (CWE-125) |
Minnesläcka | Viktig | 5.5 | CVSS:3.1/AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:N/A:N | CVE-2024-41835 |
| Användning efter frigöring (CWE-416) |
Minnesläcka | Viktig | 5.5 | CVSS:3.1/AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:N/A:N |
CVE-2024-45107 |
Tack
Adobe tackar följande forskare för att de har rapporterat det här problemet och för att de samarbetar med Adobe i säkerhetsfrågor:
- Cisco Talos (ciscotalos) – CVE-2024-41830, CVE-2024-41832, CVE-2024-41835, CVE-2024-39420
- Anonym i samarbete med Trend Micro Zero Day Initiative – CVE-2024-39422, CVE-2024-39426, CVE-2024-41831, CVE-2024-41833, CVE-2024-41834, CVE-2024-45107
- Defence Tech Security – CVE-2024-39425
- Haifei Li från EXPMON och Check Point Research – CVE-2024-39383
- Mark Vincent Yason (markyason.github.io) i samarbete med Trend Micro Zero Day Initiative – CVE-2024-39424
- Mat Powell från Trend Micro Zero Day Initiative – CVE-2024-39423
Revisioner:
18 september 2024: Lade till kommentar på CVE-2024-39383
4 september 2024: Lade till CVE-2024-45107
3 september 2024: Lade till CVE-2024-39420
Obs! Adobe har ett privat program ihop med HackerOne för att hitta fel. Gäller endast för inbjudna. Om du är intresserad av att samarbeta med Adobe med en extern säkerhetsundersökning ska du fylla i det här formuläret för nästa steg.
Mer information finns på https://helpx.adobe.com/se/security.html eller på PSIRT@adobe.com.
