El CCN-CERT, del Centro Criptológico Nacional, informa de la publicación de una actualización de seguridad por parte del fabricante Adobe, que corrige cinco vulnerabilidades relacionadas con varios de sus productos.
Los fallos reportados podrían permitir la ejecución de código arbitrario de forma remota, comprometiendo de esta forma la confidencialidad, disponibilidad e integridad de los sistemas vulnerables.
Análisis
La compañía ha alertado que la vulnerabilidad catalogada con el código CVE-2023-26369, de tipo “Out-of-bounds Write” ha sido explotada recientemente aunque no se ha revelado información adicional sobre los ataques.
La base de datos del NIST no ha registrado la vulnerabilidad descrita, por lo tanto, por el momento no se le ha asignado una puntuación según la escala CVSSv3. No obstante, Adobe ha calificado esta vulnerabilidad como crítica.
Actualmente se tiene conocimiento de reportes sobre actividad dañina en la red, aunque desde la compañía no se ha revelado información adicional sobre los ataques.
No obstante, se sabe que afecta tanto a sistemas Windows como a sistemas macOS. Por otro lado, no se han publicado pruebas de concepto (PoC) sobre los detalles del fallo publicado.
Recursos afectados
La vulnerabilidad reportada afecta a los siguientes productos y versiones:
- Acrobat DC, Acrobat Reader DC: versión 23.003.20284 y versiones anteriores
- Acrobat 2020, Acrobat Reader 2020: Versión 20.005.30516 (Mac), Versión 20.005.30514 (Win) y versiones anteriores
Recomendaciones
Desde la compañía se recomienda actualizar a las nuevas versiones de los diferentes productos Adobe a través de los enlaces que se ofrecen a continuación:
- Adobe Acrobat DC y Acrobat Reader DC: actualizar a la versión 23.006.20320 en sistemas Windows y macOS.
- Adobe Acrobat 2020 y Acrobat Reader 2020: actualizar a la versión 20.005.30524 en sistemas Windows y macOS.
El CCN-CERT recomienda encarecidamente a los usuarios y administradores de sistemas que realicen las actualizaciones mencionadas con el fin de evitar la exposición a ataques externos y la toma de control de los sistemas informáticos.
Referencias