Adobe 安全性公告

Adobe 安全性公告

搜尋
使用手冊

本頁內容

某些 Creative Cloud 应用程序、服务和功能在中国不可用。

Adobe Acrobat 和 Reader 的安全性更新已推出 | APSB18-09
安全性公告 ID 發佈日期 優先順序
APSB18-09 2018 年 5 月 14 日 1

摘要

Adobe 已發佈 Windows 和 MacOS 作業系統專用 Adobe Acrobat 和 Reader 的安全性更新。這些更新可解決重大弱點，以免遭有心人士利用，而可能導致使用者在使用過程中，發生執行任意程式碼的問題。

Adobe 從回報中得知有一個 CVE-2018-4990 弱點仍待解決。  此外，CVE-2018-4993 的概念證明碼已公開發佈。  

受影響的版本

產品 追蹤 受影響的版本 平台
Acrobat DC  消費者 2018.011.20038 及更早版本 
 Windows 和 macOS 作業系統
Acrobat Reader DC  消費者 2018.011.20038 及更早版本 
 Windows 和 macOS 作業系統
       
Acrobat 2017 Classic 2017 2017.011.30079 及更早版本 Windows 和 macOS 作業系統
Acrobat Reader 2017 Classic 2017 2017.011.30079 及更早版本 Windows 和 macOS 作業系統
       
Acrobat DC  Classic 2015 2015.006.30417 及更早版本
 Windows 和 macOS 作業系統
Acrobat Reader DC  Classic 2015 2015.006.30417 及更早版本
 Windows 和 macOS 作業系統

如需 Acrobat DC 的詳細資訊，請前往 Acrobat DC 常見問題集頁面。

如需 Acrobat Reader DC 的詳細資訊，請前往 Acrobat Reader DC 常見問題集頁面。

解決方法

Adobe 建議使用者依照下列說明，將其軟體安裝更新至最新版本。
使用者可透過下列其中一個方法，取得最新的產品版本:

  • 使用者可手動更新產品安裝，方法是選擇「說明 > 檢查更新」。
  • 偵測到更新時，產品會自動更新，使用者無須操作。
  • 您可前往 Acrobat Reader 下載中心下載完整的 Acrobat Reader 安裝程式。

若您是 IT 管理員 (受管理的環境):

  • 請前往 ftp://ftp.adobe.com/pub/adobe/ 下載企業版安裝程式，或參閱特定版本的版本資訊取得安裝程式連結。
  • 透過慣用的方式安裝更新，例如 AIP-GPO、啟動載入器、SCUP/SCCM
    (Windows)；若為 Macintosh，可透過 Apple Remote Desktop 及 SSH 安裝。

Adobe 依照下列優先順序分級將這些更新分類，並建議使用者將其安裝更新至最新版本:

產品 更新版本 平台 優先順序分級 上市情況
Acrobat DC 2018.011.20040
 Windows 和 macOS 作業系統 1 Windows
macOS 作業系統
Acrobat Reader DC 2018.011.20040
 Windows 和 macOS 作業系統 1 Windows
macOS 作業系統
         
Acrobat 2017 2017.011.30080 Windows 和 macOS 作業系統 1 Windows
macOS 作業系統
Acrobat Reader DC 2017 2017.011.30080 Windows 和 macOS 作業系統 1 Windows
macOS 作業系統
         
Acrobat Reader DC (Classic 2015) 2015.006.30418
 Windows 和 macOS 作業系統
 1 Windows
macOS 作業系統
Acrobat DC (Classic 2015) 2015.006.30418 Windows 和 macOS 作業系統 1 Windows
macOS 作業系統

註解：

如這份舊版公告中所說，我們已在 2017 年 10 月 15 日結束對 Adobe Acrobat 11.x 及 Adobe Reader 11.x 的支援。11.0.23 版是 Adobe Acrobat 11.x 及 Adobe Reader 11.x 的最後版本。Adobe 強烈建議您更新至最新版本的 Adobe Acrobat DC 和 Adobe Acrobat Reader DC。安裝最新版本的更新後，您將能獲得最新的功能強化與改善的安全措施。

弱點詳細資料

弱點類別 弱點影響 嚴重性 CVE 編號
雙重釋放
 執行任意程式碼 重大 CVE-2018-4990
堆積溢位
 執行任意程式碼
 重大

CVE-2018-4947、CVE-2018-4948、CVE-2018-4966、CVE-2018-4968、CVE-2018-4978、CVE-2018-4982、CVE-2018-4984
使用已釋放記憶體 
 執行任意程式碼
 重大 CVE-2018-4996、CVE-2018-4952、CVE-2018-4954、CVE-2018-4958、CVE-2018-4959、CVE-2018-4961、CVE-2018-4971、CVE-2018-4974、CVE-2018-4977、CVE-2018-4980、CVE-2018-4983、CVE-2018-4988、CVE-2018-4989 
超出範圍寫入 
 執行任意程式碼
 重大 CVE-2018-4950 
安全性略過 資訊洩漏 重要 CVE-2018-4979
超出範圍讀取 資訊洩漏 重要 CVE-2018-4949、CVE-2018-4951、CVE-2018-4955、CVE-2018-4956、CVE-2018-4957、CVE-2018-4960、CVE-2018-4962、CVE-2018-4963、CVE-2018-4964、CVE-2018-4967、CVE-2018-4969、CVE-2018-4970、CVE-2018-4972、CVE-2018-4973、CVE-2018-4975、CVE-2018-4976、CVE-2018-4981、CVE-2018-4986、CVE-2018-4985
類型混淆 執行任意程式碼 重大 CVE-2018-4953
不信任的指標取值  執行任意程式碼 重大 CVE-2018-4987
記憶體損毀 資訊洩漏 重要 CVE-2018-4965
NTLM SSO 雜湊盜竊 資訊洩漏 重要 CVE-2018-4993
透過 XFA 提交的 HTTP POST 新程式碼植入 安全性略過 重要 CVE-2018-4995

註解：

如需減少 CVE-2018-4993 問題的詳細資訊，請參閱此 KB 文章。  進一步解決 CVE-2018-4993 的問題，協助管理員解決封鎖可開啟連結 (包括 GoToE、GoToR、啟動、執行緒、匯入資料、匯出表單資料、提交表單和重設表單) 的 PDF 動作之問題。有關詳細資訊，請參閱此文件。

鳴謝

Adobe 在此感謝以下個人和組織提報
相關問題並與 Adobe 合作協助保護我們的客戶:

  • Cisco Talos 的 Aleksandar Nikolic (CVE-2018-4996、CVE-2018-4947)
  • Microsoft 的 Anton Cherepanov、ESET 和 Matt Oh (CVE-2018-4990)
  • Kaspersky Lab 的 Vladislav Stolyarov (CVE-2018-4988、CVE-2018-4987)
  • Check Point Software Technologies 的 Yoav Alon 和 Netanel Ben-Simon (CVE-2018-4985)
  • Palo Alto Networks 的 Gal De Leon (CVE-2018-4959、CVE-2018-4961)
  • 騰訊玄武實驗室的 Ke Liu (CVE-2018-4960、CVE-2018-4986)
  • 透過趨勢科技的零時差漏洞懸賞計畫匿名回報 (CVE-2018-4950、CVE-2018-4951、CVE-2018-4952、CVE-2018-4953、CVE-2018-4954、CVE-2018-4962、CVE-2018-4974)
  • 與趨勢科技的零時差漏洞懸賞計畫合作的騰訊個人電腦經理 WillJ (CVE-2018-4948、CVE-2018-4949、CVE-2018-4955、CVE-2018-4971、CVE-2018-4973)
  • 來自騰訊安全平台部門並與趨勢科技零時差漏洞懸賞計畫合作的 Riusksk (CVE-2018-4956、CVE-2018-4957)
  • 與趨勢科技零時差漏洞懸賞計畫合作的 Steven Seeley (CVE-2018-4963、CVE-2018-4964、CVE-2018-4965、CVE-2018-4966、CVE-2018-4968、CVE-2018-4969)
  • 來自騰訊玄武實驗室並與趨勢科技零時差漏洞懸賞計畫合作的 Ke Liu (CVE-2018-4967、CVE-2018-4970、CVE-2018-4972、CVE-2018-4975、CVE-2018-4976、CVE-2018-4978、CVE-2018-4981、CVE-2018-4982)
  • 與趨勢科技零時差漏洞懸賞計畫合作的 Sebastian Apelt siberas (CVE-2018-4977)
  • 趨勢科技零時差漏洞懸賞計畫的 AbdulAziz Hariri (CVE-2018-4979、CVE-2018-4980、CVE-2018-4984)
  • Palo Alto Networks 的 Hui Gao 以及 Knownsec 404 Security Team 的 Heige (又名 SuperHei) (CVE-2018-4958、CVE-2018-4983)
  • Cybellum Technologies LTD (CVE-2018-4989)
  • Cure53 的 Alex (CVE-2018-4995)
  • Check Point Software Technologies 的 Assaf Baharav、Yaron Fruchtmann 和 Ido Solomon (CVE-2018-4993)

修訂

2018 年 5 月 15 日: 新增語言以通知使用者關於散播中的 CVE-2018-4990 弱點，以及公開發佈 CVE-2018-4993 的概念證明碼。此外，新增 CVE-2018-4995 以取代 CVE-2018-4994，後者已指派至 Adobe Connect 中不相關的弱點。最後，新增 CVE-2018-4996 以取代 CVE-2018-4946，後者已指派至 Adobe Photoshop 中不相關的弱點。

2018 年 5 月 16日: 以 CVE-2018-4985 取代 CVE-2018-4993，藉此修正摘要章節。  已公開發佈 CVE-2018-4993 的概念證明碼，而不是 CVE-2018-4985。 

2018 年 5 月 17 日: 新增文件連結，說明如何進一步解決會封鎖使用者瀏覽以下 PDF 文件連結的 CVE-2018-4993 問題。