CSIRT-CV - Hemeroteca

Está usted visitando una publicación en la hemeroteca de CSIRT-CV.
Para acceder al portal y contenido actual, visite https://www.csirtcv.gva.es

14/09/2011

Actualització de seguretat per a Adobe Reader i Acrobat

S'han identificat diverses vulnerabilitats crítiques en Adobe Reader X (10.1) i versions anteriors per a Windows i Macintosh, Adobe Reader 9.4.2 i anteriors per a UNIX, i Adobe Acrobat X (10.1) i anteriors per a Windows i Macintosh. Aquestes vulnerabilitats podrien provocar que una aplicació fallara i permetre, potencialment, un atacant prendre el control d'un sistema afectat.

Risc: Crític

Una vulnerabilitat d'escalada de privilegis local (Adobe Reader X (10.x) per a Windows únicament) (CVE-2011-1353).
Una vulnerabilitat d'evasió de la seguretat que podria portar a l'execució de codi (CVE-2011-2431).
Una vulnerabilitat de desbordament de memòria intermèdia en el recurs U3D TIFF que podria permetre l'execució de codi (CVE-2011-2432).
Una vulnerabilitat de desbordament de pila podria permetre l'execució de codi (CVE-2011-2433 i CVE-2011-2434).
Una vulnerabilitat de desbordament de memòria intermèdia podria permetre l'execució de codi (CVE-2011-2435).
Una vulnerabilitat de desbordament de pila en la llibreria de processament d'imatges d'Adobe podria permetre l'execució de codi (CVE-2011-2436).
Una vulnerabilitat de desbordament de pila podria permetre l'execució de codi (CVE-2011-2437).
Tres vulnerabilitats de desbordament de pila en la llibreria de processament d'imatges d'Adobe podria permetre l'execució de codi (CVE-2011-2438).
Una vulnerabilitat de pèrdua de memòria podria permetre l'execució de codi (CVE-2011-2439).
Una vulnerabilitat del tipus ús-després deliberar (use-after-free) podria permetre l'execució de codi (CVE-2011-2440).
Dues vulnerabilitats en la llibreria CoolType.dll podria permetre l'execució de codi (CVE-2011-2441).
Una vulnerabilitat d'error lògic que podria permetre l'execució de codi (CVE-2011-2442).

Aquestes actualitzacions també incorporen les actualitzacions per a Adobe Flash Player, com s'indica en el Butlletí de Seguretat APSB11-21.

La pròxima actualització de seguretat per a Adobe Reader i Acrobat està programada per al 13 de desembre de 2011.

Sistemes Afectats:

Adobe Reader X (10.1) i anteriors, versions per a Windows i Macintosh
Adobe Reader 9.4.5 i anteriors, versions per a Windows, Macintosh i UNIX
Adobe Reader 8.3 i anteriors, versions per a Windows i Macintosh
Adobe Acrobat X (10.1) i anteriors, versions per a Windows i Macintosh
Adobe Acrobat 9.4.5 i anteriors, versions per a Windows i Macintosh
Adobe Acrobat 8.3 i anteriors, versions per a Windows i Macintosh

Referències:

CVE-2011-1353, CVE-2011-2431, CVE-2011-2432, CVE-2011-2433, CVE-2011-2434, CVE-2011-2435, CVE-2011-2436, CVE-2011-2437, CVE-2011-2438, CVE-2011-2439, CVE-2011-2440, CVE-2011-2441, CVE-2011-2442

Solució:

Adobe recomana als usuaris d'Adobe Reader X (10.1) i versions anteriors per a Windows i Macintosh actualitzar a Adobe Reader X (10.1.1). Per a usuaris d'Adobe Reader 9.4.5 i anteriors, per a Windows i Macintosh, que no puguen actualitzar a Adobe Reader X (10.1.1), Adobe ha llançat una actualització, Adobe Reader 9.4.6 i Adobe Reader 8.3.1. Adobe recomana els usuaris d'Adobe Acrobat X (10.1) per a Windows i Macintosh actualitzar a Adobe Acrobat (10.1.1). Adobe recomana els usuaris d'Adobe Acrobat 9.4.5 i anteriors, per a Windows i Macintosh actualitzar Adobe Acrobat 9.4.6, i els usuaris d'Adobe Acrobat 8.3 i anteriors, per a Windows i Macintosh, actualitzar Adobe Acrobat 8.3.1. Adobe Reader 9.4.6 per a UNIX està planificat per a lliurar-se el 7 de novembre de 2011.

Nota: el suport per a Adobe Reader 8.X i Acrobat 8.X per a Windows i Macintosh acaba el 3 de novembre de 2011. Per a més informació: Adobe Reader and Acrobat 8 End of Support.

Adobe recomana els usuaris actualitzar les seues aplicacions seguint les instruccions següents:

Adobe Reader

Els usuaris poden utilitzar el mecanisme d'actualització de productes. La configuració per defecte comprova periòdicament les actualitzacions disponibles. Es pot forçar la comprovació manual mitjançant Ajuda > comprovar actualitzacions.

Els usuaris d'Adobe Reader en Windows poden trobar també les actualitzacions en:
http://www.adobe.com/support/downloads/product.jsp?product=10&platform=Windows.

Els usuaris d'Adobe Reader en Macintosh poden trobar també les actualitzacions en:
http://www.adobe.com/support/downloads/product.jsp?product=10&platform=Macintosh.

Adobe Acrobat

Els usuaris poden utilitzar el mecanisme d'actualització de productes. La configuració per defecte comprova periòdicament les actualitzacions disponibles. Es pot forçar la comprovació manual mitjançant Ajuda > Comprovar actualitzacions.

Els usuaris d'Acrobat Standard i Pro en Windows poden trobar també les actualitzacions en:
http://www.adobe.com/support/downloads/product.jsp?product=1&platform=Windows.

Els usuaris d'Acrobat Pro Extended en Windows poden trobar també les actualitzacions en:
http://www.adobe.com/support/downloads/product.jsp?product=1&platform=Windows.

Els usuaris d'Acrobat 3D en Windows poden trobar també les actualitzacions en:
http://www.adobe.com/support/downloads/product.jsp?product=1&platform=Windows.

Els usuaris d'Acrobat Pro en Macintosh poden trobar també les actualitzacions en:
http://www.adobe.com/support/downloads/product.jsp?product=1&platform=Macintosh.

Notes:

Adobe vol agrair les següents persones i organitzacions per informar dels problemes i per treballar amb Adobe per a ajudar a protegir els nostres clients:

Paul Sabanal and Mark Yason de IBM X-Force Advanced Research (CVE-2011-1353)
Zhenhua Liu of Fortinet's Fortiguard Labs (CVE-2011-1353)
Vladimir Vorontsov d'ONsec (CVE-2011-2431)
binaryproof through Tipping Point's Zero Day Initiative (CVE-2011-2432, CVE-2011-2433,CVE-2011-2434, CVE-2011-2435, CVE-2011-2436,CVE-2011-2437, CVE-2011-2438, CVE-2011-2441)
James Quirk, Los Alamos (CVE-2011-2439)
Un informador anònim a través d'iDefense Labs (CVE-2011-2440)
Tavis Ormandy de Google Security Team (CVE-2011-2442)

Font: Adobe Security

CSIRT-CV