Бюллетень безопасности Adobe

Компания Adobe выпустила обновления системы безопасности приложений Adobe Acrobat и Reader для Windows и Macintosh. В этих обновлениях устранены уязвимости, отмеченные как критические и важные, которые потенциально могли позволить злоумышленнику получить контроль над уязвимой системой. 

Затронутые версии

Для получения дополнительной информации об Acrobat DC посетите страницу часто задаваемых вопросов об Acrobat DC.

Для получения дополнительной информации об Acrobat Reader DC посетите страницу часто задаваемых вопросов об Acrobat Reader DC.

Решение

Компания Adobe рекомендует пользователям обновить свое программное обеспечение до последних версий, следуя
нижеприведенным инструкциям.
Новейшие версии продуктов пользователи могут получить одним из следующих способов:

• Пользователи могут обновлять свое программное обеспечение вручную, выбрав меню Справка > Проверить наличие обновлений.
• При обнаружении обновлений продукты будут обновляться автоматически без вмешательства
  пользователей.
• Полную версию установщика Acrobat Reader можно загрузить в Центре загрузки Acrobat Reader.
  

Для ИТ-администраторов (в управляемых средах):

• Загрузите установщики для предприятий с ftp://ftp.adobe.com/pub/adobe/ или см. ссылки на установщики в соответствующих версий замечаний к выпуску.
• Установите обновления предпочтительным способом, например с помощью AIP-GPO, начального загрузчика, SCUP/SCCM
  (Windows) или удаленного рабочего стола Apple и SSH в Макинтош.
  

Компания Adobe категоризирует эти обновления при помощи следующих рейтингов приоритета и рекомендует пользователям обновлять установленное программное обеспечение до последних версий.

Сведения об уязвимости

Благодарности

Adobe приносит благодарность следующим людям и организациям за сообщение о
существенных проблемах и за помощь Adobe в обеспечении защиты наших клиентов:

• Пользователь @vftable, участник программы Trend Micro Zero Day Initiative (CVE-2017-11211, CVE-2017-11251)
• Александр Николич, Cisco Talos (CVE-2017-11263)
• Алекс, Инфер, Cure 53 (CVE-2017-11229)
• Ашфак Ансари, Project Srishti (CVE-2017-11221)
• Ашфак Ансари, Project Srishti, участник программы iDefense Vulnerability Contributor Program (CVE-2017-3038)
• Cybellum Technologies LTD (CVE-2017-3117)
• Анонимный пользователь, сообщивший о проблеме в рамках программы Trend Micro Zero Day Initiative (CVE-2017-3113, CVE-2017-3120, CVE-2017-11218, CVE-2017-11224, CVE-2017-11223)
• Фернандо Муноц, участник программы Trend Micro Zero Day Initiative (CVE-2017-3115)
• Гивань Го, STEALIEN & HIT, участник программы Trend Micro Zero Day Initiative (CVE-2017-11228, CVE-2017-11230)
• Heige (также известен как SuperHei) из группы Knwonsec 404 (CVE-2017-11222)
• Jaanus Kp Clarified Security, участник программы Trend Micro Zero Day Initiative (CVE-2017-11236, CVE-2017-11237, CVE-2017-11252, CVE-2017-11231, CVE-2017-11265)
• Jaanus Kp Clarified Security, участник программы Trend Micro Zero Day Initiative, и Ашфак Ансари, участник программы Trend Micro Zero Day Initiative (CVE-2017-11231)
• Цзихуэй Лу, компания Tencent KeenLab (CVE-2017-3119)
• Пользователь kdot, участник программы Trend Micro Zero Day Initiative (CVE-2017-11234, CVE-2017-11235, CVE-2017-11271)
• Ke Лиу, Tencent Xuanwu LAB, участник программы Trend Micro Zero Day Initiative (CVE-2017-3121, CVE-2017-3122, CVE-2017-11212, CVE-2017-11216, CVE-2017-11217, CVE-2017-11238, CVE-2017-11239, CVE-2017-11241, CVE-2017-11242, CVE-2017-11243, CVE-2017-11244, CVE-2017-11245, CVE-2017-11246, CVE-2017-11248, CVE-2017-11249, CVE-2017-11233, CVE-2017-11261, CVE-2017-11260, CVE-2017-11258, CVE-2017-11259, CVE-2017-11267, CVE-2017-11268, CVE-2017-11269, CVE-2017-11259, CVE-2017-11270, CVE-2017-11261)
• Ke Лиу, Tencent Xuanwu LAB, участник программы Trend Micro Zero Day Initiative, и Стивен Сили (mr_me), Offensive Security (CVE-2017-11212, CVE-2017-11214, CVE-2017-11227)
• Пользователь Siberas, участник программы Beyond Security SecuriTeam Secure Disclosure Program (CVE-2017-11254)
• Ричард Уоррен (CVE-2017-3118)
• Пользователь riusksk, отдел платформы безопасности Tencent (CVE-2017-3016)
• Себастьян Апельт, Siberas, участник программы Trend Micro Zero Day Initiative (CVE-2017-11219, CVE-2017-11256, CVE-2017-11257)
• Стивен Сили (mr_me), Offensive Security, участник программы Trend Micro Zero Day Initiative (CVE-2017-11209, CVE-2017-11210, CVE-2017-11232, CVE-2017-11255, CVE-2017-3123, CVE-2017-3124)
• Стивен Сили работа, участник программы Beyond Security SecuriTeam Secure Disclosure Program (CVE-2017-11220)
• Стивен Сили (CVE-2017-11262)
• Сушан (CVE-2017-11226
• Тоан Фам (CVE-2017-3116)

Редакции

29 августа 2017 г.: таблица решений была обновлена и содержит новые обновления, доступные по состоянию на 29 августа. В этих обновлениях устранена уязвимость, связанная с функциональной регрессией в формах XFA, которая затронула некоторых пользователей. В обновлениях от 29 августа также устранена уязвимость безопасности CVE-2017-11223.

Изначально уязвимость CVE-2017-11223 была устранена в обновлениях от 8 августа (версии 2017.012.20093, 2017.011.30059 и 2015.006.30352), но вследствие функциональной регрессии в этих версиях были предложены временные исправления, которые отменили исправления для уязвимости CVE-2017-11223. В обновлениях от 29 августа устранена уязвимость, связанная с регрессией, и представлено исправление для уязвимости CVE-2017-11223. Подробности см. в этом блоге.