Бюллетень безопасности Adobe

Поиск

Последнее обновление 10 сент. 2024 г.

Обновление системы безопасности для Adobe Acrobat и Reader | APSB24-57

Идентификатор бюллетеня	Дата публикации	Приоритет
APSB24-57	13 августа 2024 г.	3

Сводка

Компания Adobe выпустила обновления системы безопасности приложений Adobe Acrobat и Reader для Windows и macOS. В этом обновлении устранены критические и важные уязвимости. Успешное использование могло привести к выполнению произвольного кода, повышению привилегий и утечке памяти.

Затронутые версии

Продукт	Отслеживать	Затронутые версии	Платформа
Acrobat DC	Continuous	24.002.20991 и более ранние версии (Windows) 24.002.20964 и более ранние версии (MacOS)	Windows и macOS
Acrobat Reader DC	Continuous	24.002.20991 и более ранние версии (Windows) 24.002.20964 и более ранние версии (MacOS)	Windows и macOS

Acrobat 2024	Classic 2024	24.001.30123 и более ранние версии	Windows и macOS

Acrobat 2020	Classic 2020	20.005.30636 и более ранние версии (Windows) 20.005.30635 и более ранние версии (MacOS)	Windows и macOS
Acrobat Reader 2020	Classic 2020	20.005.30636 и более ранние версии (Windows) 20.005.30635 и более ранние версии (MacOS)	Windows и macOS

При возникновении вопросов относительно Acrobat DC посетите страницу часто задаваемых вопросов об Acrobat DC.

При возникновении вопросов относительно Acrobat Reader DC посетите страницу часто задаваемых вопросов об Acrobat Reader DC.

Решение

Adobe рекомендует пользователям обновить свое программное обеспечение до последних версий, следуя приведенным ниже инструкциям.    

Новейшие версии продуктов пользователи могут получить одним из следующих способов:    

Пользователи могут обновлять свое программное обеспечение вручную, выбрав меню Справка > Проверить наличие обновлений.     
При обнаружении обновлений продукты будут обновляться автоматически без вмешательства пользователей.     
Полную версию установщика Acrobat Reader можно загрузить в Центре загрузки Acrobat Reader.

Для ИТ-администраторов (в управляемых средах):     

Ссылки на установщики можно найти для конкретной версии примечаний к выпуску.
Установите обновления предпочтительным способом, например с помощью AIP-GPO, начального загрузчика, SCUP/SCCM (Windows) или в macOS, с помощью удаленного рабочего стола Apple и SSH в Макинтош.

Компания Adobe категоризирует эти обновления при помощи следующих рейтингов приоритета и рекомендует пользователям обновлять установленное программное обеспечение до последних версий.    

Продукт	Отслеживать	Обновленные версии	Платформа	Рейтинг приоритета	Доступность
Acrobat DC	Continuous	24.002.21005	Windows и macOS	3	Сведения о выпуске
Acrobat Reader DC	Continuous	24.002.21005	Windows и macOS	3	Сведения о выпуске

Acrobat 2024	Classic 2024	24.001.30159	Windows  и MacOS	3	Сведения о выпуске

Acrobat 2020	Classic 2020	20.005.30655	Windows и MacOS	3	Сведения о выпуске
Acrobat Reader 2020	Classic 2020	20.005.30655	Windows  и MacOS	3	Сведения о выпуске

Сведения об уязвимости

Категория уязвимости	Влияние уязвимости	Серьезность	Базовая оценка CVSS	Вектор CVSS	Номер CVE
Использование данных после освобождения памяти (CWE-416)	Выполнение произвольного кода	Критическая	7.8	CVSS:3.1/AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H	CVE-2024-39383
Использование данных после освобождения памяти (CWE-416)	Выполнение произвольного кода	Критическая	8.1	CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:N	CVE-2024-39422
Запись вне границ буфера (CWE-787)	Выполнение произвольного кода	Критическая	7.8	CVSS:3.1/AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H	CVE-2024-39423
Использование данных после освобождения памяти (CWE-416)	Выполнение произвольного кода	Критическая	7.8	CVSS:3.1/AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H	CVE-2024-39424
Неправильная проверка криптографической подписи (CWE-347)	Повышение уровня полномочий	Критическая	7.5	CVSS:3.1/AV:L/AC:H/PR:L/UI:R/S:C/C:H/I:H/A:H	CVE-2024-39425
Доступ к памяти после окончания буфера (CWE-788)	Выполнение произвольного кода	Критическая	7.8	CVSS:3.1/AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H	CVE-2024-39426
Использование данных после освобождения памяти (CWE-416)	Выполнение произвольного кода	Критическая	7.8	CVSS:3.1/AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H	CVE-2024-41830
Использование данных после освобождения памяти (CWE-416)	Выполнение произвольного кода	Критическая	7.8	CVSS:3.1/AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H	CVE-2024-41831
Время проверки, время использования (TOCTOU), состояние гонки (CWE-367)	Выполнение произвольного кода	Критическая	7.8	CVSS:3.1/AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H	CVE-2024-39420
Чтение за пределами буфера (CWE-125)	Утечка памяти	Важная	5.5	CVSS:3.1/AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:N/A:N	CVE-2024-41832
Чтение за пределами буфера (CWE-125)	Утечка памяти	Важная	5.5	CVSS:3.1/AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:N/A:N	CVE-2024-41833
Чтение за пределами буфера (CWE-125)	Утечка памяти	Важная	5.5	CVSS:3.1/AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:N/A:N	CVE-2024-41834
Чтение за пределами буфера (CWE-125)	Утечка памяти	Важная	5.5	CVSS:3.1/AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:N/A:N	CVE-2024-41835

Благодарности

Компания Adobe выражает благодарность следующим пользователям за сообщение об этих проблемах и за помощь Adobe в защите наших клиентов:   

Cisco Talos (ciscotalos): CVE-2024-41830, CVE-2024-41832, CVE-2024-41835, CVE-2024-39420
Анонимный пользователь, участник программы Trend Micro Zero Day Initiative: CVE-2024-39422, CVE-2024-39426, CVE-2024-41831, CVE-2024-41833, CVE-2024-41834
Defence Tech Security: CVE-2024-39425
Haifei Li из EXPMON и Check Point Research: CVE-2024-39383
Mark Vincent Yason (markyason.github.io), участник программы Trend Micro Zero Day Initiative: CVE-2024-39424
Mat Powell, участник программы Trend Micro Zero Day Initiative: CVE-2024-39423

Редакции:

3 сентября 2024 г.: добавлены сведения о CVE-2024-39420

ПРИМЕЧАНИЕ. Adobe имеет частную, доступную только для приглашенных программу Bug bounty с HackerOne. Если вы заинтересованы в сотрудничестве с Adobe в качестве внешнего исследователя безопасности, заполните эту форму.

Для получения дополнительной информации посетите сайт https://helpx.adobe.com/ru/security.html или отправьте сообщение по адресу PSIRT@adobe.com.