MSI Cashback Aktion

Adobe stopft zahlreiche Sicherheitslücken in Acrobat und Reader

reported by doelf, Dienstag der 15.05.2018, 23:36:17 Uhr

Adobe hat heute 47 Sicherheitslücken in seinen Programmen Acrobat und Reader geschlossen. 24 der Schwachstellen sind kritischer Natur, die restlichen wurden als hochgefährlich eingestuft. Einer der kritischen Fehler (CVE-2018-4990) wird bereits angegriffen und für einen hochgefährlichen Bug (CVE-2018-4985) wurde funktionierender Beispiel-Code veröffentlicht.

Die kritische 0-Day-Lücke ist ein Fehler des Typs "Double Free". Es wird also versucht, den gleichen Speicherbereich mehrmals freizugeben, was zu einem undefinierten Verhalten der Funktion free() führt. Dieses können Angreifer ausnutzen, um eigenen Code auszuführen. Auch sieben Stapelüberläufe (CVE-2018-4947, CVE-2018-4948, CVE-2018-4966, CVE-2018-4968, CVE-2018-4978, CVE-2018-4982, CVE-2018-4984), 13 Zugriffe auf zuvor gelöschte Objekte (CVE-2018-4996, CVE-2018-4952, CVE-2018-4954, CVE-2018-4958, CVE-2018-4959, CVE-2018-4961, CVE-2018-4971, CVE-2018-4974, CVE-2018-4977, CVE-2018-4980, CVE-2018-4983, CVE-2018-4988, CVE-2018-4989), ein unkontrollierter Schreibzugriff (CVE-2018-4950), eine Typenverwechslung (CVE-2018-4953) und eine nicht vertrauenswürdige Zeigerdereferenzierung (CVE-2018-4987) können als Einfallstor für Schadcode dienen.

Von den 23 hochgefährlichen Fehlern ermöglichen 19 unkontrollierte Lesezugriffe (CVE-2018-4949, CVE-2018-4951, CVE-2018-4955, CVE-2018-4956, CVE-2018-4957, CVE-2018-4960, CVE-2018-4962, CVE-2018-4963, CVE-2018-4964, CVE-2018-4967, CVE-2018-4969, CVE-2018-4970, CVE-2018-4972, CVE-2018-4973, CVE-2018-4975, CVE-2018-4976, CVE-2018-4981, CVE-2018-4986, CVE-2018-4985), es handelt sich somit um Datenlecks. Hierzu gehört auch jene Schwachstelle, für die bereits Demonstrations-Code veröffentlicht wurde. Drei weitere Datenlecks entstehen durch eine Speichermanipulation (CVE-2018-4965), eine Umgehung von Sicherheitsmaßnahmen (CVE-2018-4979) und den Diebstahl des SSO-Hash (Single Sign On) vom NT LAN Manager (CVE-2018-4993). Und beim HTTP POST lassen sich neue Zeilen über die XML Forms Architecture (XFA) einschleusen, wodurch sich Sicherheitsmaßnahmen umgehen lassen (CVE-2018-4995).

Da es eine kritische 0-Day-Lücke gibt, hat Adobe die höchste Prioritätsstufe verhängt. Das unverzügliche Einspielen der Updates ist folglich anzuraten.

Downloads für Windows:

Downloads für macOS:

Diese Werbefläche wurde deaktiviert. Damit geht Au-Ja.de eine wichtige Einnahmequelle verloren.

Werbung erlauben ]