Bülten No
Son güncelleme:
8 Eki 2024
Adobe Acrobat ve Reader için güvenlik güncellemeleri mevcut | APSB24-57
|
|
Yayınlandığı Tarih |
Öncelik |
|---|---|---|
|
APSB24-57 |
13 Ağustos 2024 |
3 |
Özet
Adobe, Windows ve MacOS’da Adobe Acrobat ve Reader için güvenlik güncellemesi yayınladı. Bu güncelleme, kritik ve önemli güvenlik açıklarını giderir. Güvenlik açığından başarılı bir şekilde yararlanılması rastgele kod yürütülmesine, ayrıcalık yükseltmeye ve bellek sızıntısına yol açabilir.
Adobe, CVE-2024-39383'ün Adobe Acrobat ve Reader'ın çökmesine neden olabilecek bilinen bir kavram kanıtı olduğunun farkındadır. Adobe, bu sorunun vahşi ortamda istismar edildiğinden haberdar değildir.
Etkilenen Sürümler
|
Track |
Etkilenen Sürümler |
Platform |
|
|
Acrobat DC |
Continuous |
24.002.20991 ve önceki sürümler |
Windows ve macOS |
|
Acrobat Reader DC |
Continuous |
24.002.20991 ve önceki sürümler |
Windows ve macOS |
|
Acrobat 2024 |
Classic 2024 |
24.001.30123 ve önceki sürümler |
Windows ve macOS |
|
Acrobat 2020 |
Classic 2020 |
20.005.30636 ve önceki sürümler(Windows) |
Windows ve macOS |
|
Acrobat Reader 2020 |
Classic 2020 |
20.005.30636 ve önceki sürümler(Windows) |
Windows ve macOS |
Acrobat DC ile ilgili sorular için, lütfen Acrobat DC SSS sayfasını adresini ziyaret edin.
Acrobat Reader DC ile ilgili sorular için, lütfen Acrobat Reader DC SSS sayfasını adresini ziyaret edin.
Çözüm
Adobe, kullanıcıların aşağıdaki yönergeleri takip ederek yazılım yüklemelerini en son sürümlere güncellemelerini önermektedir.
En son ürün sürümleri, aşağıdaki yöntemlerden bir tanesi yoluyla son kullanıcıların kullanımına açıktır:
Yardım > Güncellemelere Göz At seçerek kullanıcılar ürün yüklemelerini manüel olarak güncelleyebilirler.
Güncelleme algılandığında kullanıcı aracılığı gerekmeden ürünler otomatik olarak güncellenecektir.
Acrobat Reader yükleyicisinin tamamı Acrobat Reader İndirme Merkezinden indirilebilir.
IT yöneticileri için (yönetilen ortamlar):
Yükleyici bağlantıları için spesifik sürüm notları sürümüne başvurun.
AIP-GPO, önyükleyici, SCUP / SCCM (Windows) veya on macOS, Apple Remote Desktop ve SSH gibi tercih ettiğiniz metodoloji ile güncellemeleri yükleyin.
Adobe bu güncellemeleri aşağıdaki öncelik derecelendirmeleriyle sınıflandırır ve kullanıcıların yüklemelerini en yeni sürüme güncellemelerini önerir:
|
Track |
Güncel Sürümler |
Platform |
Öncelik Derecelendirmesi |
Bulunma Durumu |
|
|
Acrobat DC |
Continuous |
24.002.21005 |
Windows ve macOS |
3 |
|
|
Acrobat Reader DC |
Continuous |
24.002.21005 |
Windows ve macOS |
3 |
|
|
Acrobat 2024 |
Classic 2024 |
24.001.30159 |
Windows ve macOS |
3 |
|
|
|
|
|
|
|
|
|
Acrobat 2020 |
Classic 2020 |
20.005.30655 |
Windows ve macOS |
3 |
|
|
Acrobat Reader 2020 |
Classic 2020 |
20.005.30655 |
Windows ve macOS |
3 |
Güvenlik Açığı Detayları
| Güvenlik Açığı Kategorisi | Güvenlik Açığı Etkisi | Önem Derecesi | CVSS baz skoru | CVSS vektörü | CVE Numarası |
| Use After Free (CWE-416) |
Rastgele kod yürütme |
Kritik |
7.8 | CVSS:3.1/AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H |
CVE-2024-39383
|
| Use After Free (CWE-416) |
Rastgele kod yürütme |
Kritik | 8.1 | CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:N |
CVE-2024-39422 |
| Sınır Dışı Yazma (CWE-787) |
Rastgele kod yürütme |
Kritik |
7.8 | CVSS:3.1/AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H |
CVE-2024-39423 |
| Use After Free (CWE-416) |
Rastgele kod yürütme |
Kritik |
7.8 | CVSS:3.1/AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H |
CVE-2024-39424 |
| Şifreleme İmzasının Yanlış Doğrulanması (CWE-347) |
Ayrıcalığı yükseltme |
Kritik | 7.5 | CVSS:3.1/AV:L/AC:H/PR:L/UI:R/S:C/C:H/I:H/A:H |
CVE-2024-39425 |
| Arabellek Sona Erdikten Sonra Bellek Konumu Erişimi (CWE-788) |
Rastgele kod yürütme |
Kritik |
7.8 | CVSS:3.1/AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H |
CVE-2024-39426 |
| Use After Free (CWE-416) |
Rastgele kod yürütme |
Kritik |
7.8 | CVSS:3.1/AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H |
CVE-2024-41830 |
| Use After Free (CWE-416) |
Rastgele kod yürütme |
Kritik |
7.8 | CVSS:3.1/AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H |
CVE-2024-41831 |
| Kontrol Zamanı Kullanım Zamanı (TOCTOU) Yarış Koşulu (CWE-367) |
Rastgele kod yürütme |
Kritik |
7.8 | CVSS:3.1/AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H |
CVE-2024-39420 |
| Sınır Dışı Okuma (CWE-125) |
Bellek sızıntısı | Önemli | 5.5 | CVSS:3.1/AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:N/A:N |
CVE-2024-41832 |
| Sınır Dışı Okuma (CWE-125) |
Bellek sızıntısı | Önemli | 5.5 | CVSS:3.1/AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:N/A:N | CVE-2024-41833 |
| Sınır Dışı Okuma (CWE-125) |
Bellek sızıntısı | Önemli | 5.5 | CVSS:3.1/AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:N/A:N | CVE-2024-41834 |
| Sınır Dışı Okuma (CWE-125) |
Bellek sızıntısı | Önemli | 5.5 | CVSS:3.1/AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:N/A:N | CVE-2024-41835 |
| Use After Free (CWE-416) |
Bellek sızıntısı | Önemli | 5.5 | CVSS:3.1/AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:N/A:N |
CVE-2024-45107 |
Teşekkür
Adobe, bu sorunu bildirdikleri ve müşterilerimizin korunmasına yardımcı olmak için Adobe ile çalıştıkları için aşağıdaki araştırmacıya teşekkür eder:
- Cisco Talos (ciscotalos) - CVE-2024-41830, CVE-2024-41832, CVE-2024-41835, CVE-2024-39420
- Trend Micro Zero Day Initiative ile anonim çalışma - CVE-2024-39422, CVE-2024-39426, CVE-2024-41831, CVE-2024-41833, CVE-2024-41834, CVE-2024-45107
- Defence Tech Security - CVE-2024-39425
- Haifei Li of EXPMON ve Check Point Research - CVE-2024-39383
- Trend Micro Zero Day Initiative ile çalışan Mark Vincent Yason (markyason.github.io) - CVE-2024-39424
- Trend Micro Zero Day Initiative'den Mat Powell - CVE-2024-39423
Değişiklikler:
18 Eylül 2024: CVE-2024-39383’e yorum eklendi
4 Eylül 2024: CVE-2024-45107 eklendi
3 Eylül 2024: CVE-2024-39420 eklendi
NOT: Adobe'nin HackerOne ile özel, yalnızca davetlilere açık, hata ödül programı vardır. Adobe ile harici bir güvenlik araştırmacısı olarak çalışmakla ilgileniyorsanız lütfen sonraki adımlar için bu formu doldurun.
Daha fazla bilgi için https://helpx.adobe.com/tr/security.html adresini ziyaret edin veya PSIRT@adobe.com adresine e-posta gönderin.
