CERT-FI haavoittuvuustiedote 134/2008

4.11.2008

Adobe Acrobat- ja Reader-sovelluksissa useita haavoittuvuuksia


Kohde:	- työasemat ja loppukäyttäjäsovellukset	Lisätietoja
Hyökkäystapa:	- paikallisesti	Lisätietoja
Hyväksikäyttö:	- komentojen mielivaltainen suorittaminen - käyttövaltuuksien laajentaminen - palvelunestohyökkäys	Lisätietoja
Ratkaisu:	- korjaava ohjelmistopäivitys	Lisätietoja

Adobe Acrobat- ja Reader ohjelmistoista on löytynyt useita haavoittuvuuksia. Haavoittuvuuksien avulla hyökkääjä voi suorittaa vihamielistä koodia, laajentaa käyttövaltuuksia tai muuttaa käyttäjän tietokoneen asetuksia. Ohjelmistovalmistaja luokittelee päivitykset kriittisiksi.

CVE-2008-2549 Päivityksellä ratkaistaan ongelma, jonka avulla voidaan aiheuttaa palvelunestotila jumiuttamalla ohjelmisto sekä mahdollisesti suorittaa vihamielistä koodia.

CVE-2008-2992 Päivitys korjaa util.printf() JavaScript-funktion puskuriylivuotovirheen, jonka avulla hyökkääjä voi suorittaa vihamielistä koodia. Tähän haavoittuvuuteen on olemassa julkinen hyväksikäyttömenetelmä.

CVE-2008-4814 Päivitys ratkaisee Javascriptissä olleen syötteentarkistusvirheen, jonka avulla hyökkääjä voisi suorittaa vihamielistä koodia.

CVE-2008-4815 Päivitys ratkaisee Adobe Readerin ja Acrobatin Unix- ja Linux-versioissa olleen ongelman, jonka avulla hyökkääjä voi laajentaa käyttövaltuuksia.

CVE-2008-4816 Download Managerin Windows-versiossa oleva ongelma on voinut johtaa käyttäjän internetin turvallisuusasetuksien muuttumiseen latausprosessin aikana.

CVE-2008-4817 Download Managerin syötteentarkistuksessa olevan virheen avulla hyökkääjä voi suorittaa vihamielistä koodia latausprosessin aikana houkuttelemalla käyttäjän avaamaan tietyllä tavalla muotoillun PDF-tiedoston.

CVE-2008-4812 Päivitys ratkaisee useita syötteentarkistukseen liittyviä virheitä, joiden avulla hyökkääjä voi mahdollisesti suorittaa vihamielistä koodia.

CVE-2008-4813 Päivitys ratkaisee useita syötteen tarkistukseen liittyviä virheitä, joiden avulla hyökkääjä voi mahdollisesti suorittaa vihamielistä koodia houkuttelemalla käyttäjän avaamaan tietyllä tavalla muotoillun PDF-tiedoston.

HAAVOITTUVAT OHJELMISTOT:

Adobe Reader 8.1.2
Acrobat 8.1.2

Haavoittuvuus ei koske versioita 8.1.3 eikä versioita 9.x

RATKAISU- JA RAJOITUSMAHDOLLISUUDET:

Päivitä sovellus ohjelmistovalmistajan ohjeiden mukaisesti joko lataamalla päivitetty ohjelmisto valmistajan sivuilta tai käyttämällä automaattista päivitystyökalua.

LISÄTIETOA:

PÄIVITYSHISTORIA:

4.11.2008, kello 21.51: Julkaistu
6.11.2008, kello 21.45: Lisätty muut haavoittuvuudet ja CVE-linkit
7.11.2008, kello 19.21: Lisätty tieto julkisesta hyväksikäyttömenetelmästä

Sivua päivitetty 07.11.2008

Tulostusversio