Adobe stopft 41 Sicherheitslöcher in Reader und Acrobat

Adobe hat an seinem Februar-Patchday wie angekündigt ein Sicherheitsupdate für die PDF-Anwendungen Reader und Acrobat veröffentlicht. Es beseitigt 41 Anfälligkeiten, die das Unternehmen als kritisch einstuft. Ein Angreifer kann unter Umständen Schadcode einschleusen und ausführen und die vollständige Kontrolle über ein betroffenes System erhalten.

Betroffen sind Acrobat DC und Reader DC Version 2018.009.20050 und früher sowie Acrobat 2017 und Reader 2017 Version 2017.011.30070 und früher für Windows und Mac OS X. Darüber hinaus stehen auch Fixes für Acrobat DC und Reader DC Classic Track Version 2015.006.30394 und früher zur Verfügung.

Die Updates korrigieren 24 Out-of-Bounds-Speicherfehler, die eine Remotecodeausführung ermöglichen. Beliebiger Schadcode lässt sich mithilfe von sieben weiteren Out-of-Bounds-Speicherfehlern sowie fünf Use-after-free-Bugs ausführen. Das gilt auch für vier Pufferüberläufe. Darüber hinaus könnten Hacker Sicherheitsfunktionen der PDF-Anwendungen umgehen, um höhere Benutzerrechte zu erhalten.

Entdeckt wurden die Anfälligkeiten von Mitarbeitern von Cisco Talos, Clarified Security, Tencent und Source Incite sowie unabhängigen Sicherheitsforschern. Da Adobe im Gegensatz zu Google oder Microsoft keine Belohnungen für Sicherheitslücken ausschüttet, wurden die meisten Bugs über das Prämienprogramm von Trend Micro gemeldet.

Betroffene Nutzer sollten schnellstmöglich auf die fehlerbereinigten Versionen umsteigen, die Adobe seit gestern Abend anbietet. Dazu gehören Acrobat DC und Reader DC Version 2018.011.20035, Acrobat 2017 und Reader 2017 Version 2017.011.30078 und Acrobat DC und Reader DC 2015.0067.30413 (Windows) und 2015.006.30416 (Mac OS X).

Adobe weist zudem darauf hin, dass die Version 11.x von Reader und Acrobat nicht mehr unterstützt wird. Nutzer, die Reader und Acrobat 11.0.23 und älter weiterhin einsetzen, sollten ebenfalls kurzfristig eine aktuelle Version installieren. „Durch die Installation des jüngsten Versionen profitieren sie von den neuesten Funktionen und verbesserten Sicherheitsmaßnahmen“, teilte Adobe erneut mit.

Des Weiteren bietet Adobe ein Sicherheitsupdate für Experience Manager 6.0 bis 6.3 an. Es schließt zwei Cross-Site-Scripting-Lücken, die geeignet sind, vertrauliche Informationen preiszugeben. Im Gegensatz zu den Patches für Reader und Acrobat müssen die Fixes für den Experience Manager manuell heruntergeladen und installiert werden.