Adobe schließt elf kritische Sicherheitslücken in Reader und Acrobat

Adobe hat ein Sicherheitsupdate für Acrobat und Reader für Windows und macOS veröffentlicht. Es schließt insgesamt 26 Sicherheitslücken, von denen 11 als kritisch und der Rest als wichtig eingestuft sind. Ein Angreifer kann unter Umständen Schadcode einschleusen und ausführen, möglicherweise sogar ohne Wissen des Nutzers.

Betroffen sind Acrobat DC und Reader DC 2020.009.20074 und früher, Acrobat 2020 und Reader 2020 2020.001.30002 und früher, Acrobat 2017 und Reader 2017 2017.011.30171 und früher sowie Acrobat 2015 und Reader 2015 2015.006.30523 und früher.

Zwei Speicherfehler ermöglichen einem Sicherheitshinweis zufolge eine Remotecodeausführung. Zwei weitere kritische Anfälligkeiten beschreibt Adobe als Security Feature Bypass. Zudem werden mehrere kritische Pufferfehler und Use-after-free-Bugs beseitigt, die ebenfalls für eine Remotecodeausführung benutzt werden können.

Darüber hinaus können Schwachstellen in den PDF-Anwendungen Speicherinhalte preisgeben und Angreifern so den Diebstahl vertraulicher Informationen ermöglichen. Aus eine nicht autorisierte Ausweitung von Benutzerrechten wird mit den aktuellen Sicherheitsupdates verhindert. Außerdem sollen sie Nutzer vor Denial-of-Service-Angriffen schützen.

Entdeckt wurden die Bugs unter anderem von Forschern, die für Trend Micros Zero Day Initiative arbeiten. Aber auch Mitarbeiter von Qihoo 360, Offensive Security, Palo Alto Networks, Tencent sowie mehrere Universitäten in den USA und China meldeten Anfälligkeiten in Reader und Acrobat.

Betroffene Nutzer sollten nun zeitnah die verfügbaren Patches für Acrobat und Reader DC, Acrobat und Reader 2020, 2017 und 2015 installieren, die jeweils für Windows und macOS erhältlich sind. Die Aktualisierung erfolgt über die integrierte Update-Funktion oder die Adobe-Website.

Ein weiteres Sicherheitsupdate steht für Lightroom Classic 9.2.0.10 und früher zur Verfügung. Ein Fehler beim Laden von Programmbibliotheken kann zu einer nicht autorisierten Ausweitung von Benutzerrechten führen. Als fehlerbereinigt gilt nun die Version 9.3, die für Windows und macOS angeboten wird – der Fehler tritt allerdings nur unter Windows auf.