Бюллетень безопасности Adobe

Дата выпуска: 5 января 2017 г.

Последнее обновление: 30 марта 2017 г.

Идентификатор уязвимости: APSB17-01

Приоритет:  уровень 2

Номера CVE: CVE-2017-2939, CVE-2017-2940, CVE-2017-2941, CVE-2017-2942, CVE-2017-2943, CVE-2017-2944, CVE-2017-2945, CVE-2017-2946, CVE-2017-2947, CVE-2017-2948, CVE-2017-2949, CVE-2017-2950, CVE-2017-2951, CVE-2017-2952, CVE-2017-2953, CVE-2017-2954, CVE-2017-2955, CVE-2017-2956, CVE-2017-2957, CVE-2017-2958, CVE-2017-2959, CVE-2017-2960, CVE-2017-2961, CVE-2017-2962, CVE-2017-2963, CVE-2017-2964, CVE-2017-2965, CVE-2017-2966, CVE-2017-2967, CVE-2017-2970, CVE-2017-2971, CVE-2017-2972, CVE-2017-3009, CVE-2017-3010

Платформа: Windows и Macintosh

Компания Adobe выпустила обновления системы безопасности приложений Adobe Acrobat и Reader для Windows и Macintosh. В этих обновлениях устранены критические уязвимости, которые потенциально могли позволить злоумышленнику получить контроль над уязвимой системой.

При возникновении вопросов относительно Acrobat DC посетите страницу часто задаваемых вопросов об Acrobat DC. При возникновении вопросов относительно Acrobat Reader DC посетите страницу часто задаваемых вопросов об Acrobat Reader DC.

Adobe рекомендует пользователям обновить свое программное обеспечение до последних версий, следуя приведенным ниже инструкциям.

Новейшие версии продуктов пользователи могут получить одним из следующих способов:

• Пользователи могут обновлять свое программное обеспечение вручную, выбрав меню Справка > Проверить наличие обновлений. 
• При обнаружении обновлений продукты будут обновляться автоматически без вмешательства пользователей. 
• Полную версию установщика Acrobat Reader можно загрузить в Центре загрузки Acrobat Reader.
  

Для ИТ-администраторов (в управляемых средах):

• Загрузите установщики для предприятий с ftp://ftp.adobe.com/pub/adobe/ или воспользуйтесь ссылками на установщики в примечаниях к соответствующей версии. 
• Установите обновления предпочтительным способом, например с помощью AIP-GPO, начального загрузчика, SCUP/SCCM (Windows) или удаленного рабочего стола Apple и SSH в Macintosh.
  

Adobe классифицирует эти обновления при помощи следующих рейтингов приоритета и рекомендует пользователям обновлять установленное программное обеспечение до более новых версий.

• В этих обновлениях устранена уязвимость, связанная со смешением типов, которая могла привести к выполнению кода (CVE-2017-2962).
• В этих обновлениях устранены уязвимости защиты доступа к освобожденной памяти, которые могли привести к выполнению кода (CVE-2017-2950, CVE-2017-2951, CVE-2017-2955, CVE-2017-2956, CVE-2017-2957, CVE-2017-2958, CVE-2017-2961).
• В этих обновлениях исправлены уязвимости, связанные с переполнением буфера кучи, которые могли привести к выполнению кода (CVE-2017-2942, CVE-2017-2945, CVE-2017-2946, CVE-2017-2949, CVE-2017-2959, CVE-2017-2966, CVE-2017-2970, CVE-2017-2971, CVE-2017-2972).
• В этих обновлениях исправлены уязвимости, связанные с переполнением буфера, которые могли привести к выполнению кода (CVE-2017-2948, CVE-2017-2952).
• В этих обновлениях устранена уязвимость, связанная с повреждением памяти, которая могла привести к выполнению кода (CVE-2017-2939, CVE-2017-2940, CVE-2017-2941, CVE-2017-2943, CVE-2017-2944, CVE-2017-2953, CVE-2017-2954, CVE-2017-2960, CVE-2017-2963, CVE-2017-2964, CVE-2017-2965, CVE-2017-2967, CVE-2017-3010).
• В этих обновлениях устранена уязвимость, связанная с возможностью обхода системы безопасности (CVE-2017-2947).
• В этих обновлениях устранена уязвимость, связанная с переполнением буфера, которая могла привести к разглашению информации (CVE-2017-3009).

Adobe приносит благодарность следующим людям и организациям за сообщение о существенных проблемах и за помощь Adobe в обеспечении защиты наших клиентов:

• Янус Каап (Jaanus Kääp), Clarified Security и анонимной пользователь, участник программы Trend Micro Zero Day Initiative (CVE-2017-2939)
• kelvinwang, Tencent PC Manager (CVE-2017-2955, CVE-2017-2956, CVE-2017-2957, CVE-2017-2958)
• Стивен Сили, участник программы Trend Micro Zero Day Initiative и Кушал Арвинд Шах, Fortinet's FortiGuard Labs (CVE-2017-2946)
• Себастьян Апельт (siberas), участник программы Trend Micro Zero Day Initiative (CVE-2017-2961, CVE-2017-2967)
• Ke Лиу, лаборатория Xuanwu компании Tencent (CVE-2017-2940, CVE-2017-2942, CVE-2017-2943, CVE-2017-2944, CVE-2017-2945, CVE-2017-2952, CVE-2017-2953, CVE-2017-2954, CVE-2017-2972)
• Пользователь kdot, участник программы Trend Micro Zero Day Initiative (CVE-2017-2941, CVE-2017-3009)
• Николас Грегуар (Agarri), участник программы Trend Micro Zero Day Initiative (CVE-2017-2962)
• Николас Грегуар (Agarri), участник программы iDefense Vulnerability Contributor Program (CVE-2017-2948)
• Анонимный пользователь, участник программы Trend Micro Zero Day Initiative (CVE-2017-2951, CVE-2017-2970)
• Анонимный пользователь, участник программы Trend Micro Zero Day Initiative и анонимный пользователь, сотрудничающий с компанией iDefense (CVE-2017-2950)
  
• Ke Лиу, лаборатория Xuanwu компании Tencent, участник программы Trend Micro Zero Day Initiative и пользователь riusksk (泉哥), отдел разработки платформы безопасности компании Tencent (CVE-2017-2959)
  
• Ke Лиу, лаборатория Xuanwu компании Tencent, участник программы Trend Micro Zero Day Initiative (CVE-2017-2960, CVE-2017-2963, CVE-2017-2964, CVE-2017-2965, CVE-2017-2966)
• Вэй Лэй и Лиу Янг, Наньянгский Технологический Университет, анонимный пользователь, участник программы Trend Micro Zero Day Initiative и Николя Грегуар, участник программы iDefense Vulnerability Contributor Program (CVE-2017-2949)
• Алекс Инфюр, Cure53.de (CVE-2017-2947)
• Александр Николич, Cisco Talos (CVE-2017-2971)
  
• Кушал Арвид Шах и Пэйсюэ Ли, лаборатория FortiGuard компании Fortinet (CVE-2017-3010)

20 января 2017 г.: добавлены ссылки на проблемы CVE-2017-2970, CVE-2017-2971 и CVE-2017-2972, которые случайно были исключены из бюллетеня.

16 февраля 2017 г.: обновлено подтверждение проблем CVE-2017-2939, CVE-2017-2946, CVE-2017-2949, CVE-2017-2950 и CVE-2017-2959, которые случайно были исключены из бюллетеня.

30 марта 2017 г.: обновлено подтверждение проблем CVE -2017-3009 и CVE -2017-3010, которые случайно были исключены из бюллетеня.