Adobe Acrobat < 2017.011.30202 / 2020.004.30015 / 2021.007.20091 Multiple Vulnerabilities (APSB21-55) (macOS)

high Nessus プラグイン ID 153362
New! プラグインの深刻度には CVSS v3 が適用されるようになりました。

プラグインの深刻度は、デフォルトで CVSS v3 を使って計算されるように更新されました。プラグインに CVSS v3 スコアがない場合には、CVSS v2 を使って深刻度が計算されます。深刻度の表示設定は、[設定]のドロップダウンで切り替えができます。

概要

リモートのmacOSホストにインストールされているAdobe Acrobatのバージョンは、複数の脆弱性の影響を受けます。

説明

リモートのmacOSホストにインストールされているAdobe Acrobatのバージョンは、2017.011.30202以前、2020.004.30015以前、または2021.007.20091以前です。したがって、複数の脆弱性の影響を受けます。

- Acrobat Reader DCバージョン2021.005.20060(およびそれ以前)、2020.004.30006(およびそれ以前)、2017.011.30199(およびそれ以前)は、特別に細工されたPDFファイルを解析する際にバッファオーバーフローの脆弱性の影響を受けます。
認証されていない攻撃者がこの脆弱性を利用し、現在のユーザーのコンテキストで任意コードを実行する可能性があります。この問題を悪用するにはユーザーの操作が必要で、被害者が悪意のあるファイルを開く必要があります。(CVE-2021-39863)

- Acrobat Reader DCバージョン2021.005.20060(およびそれ以前)、2020.004.30006(およびそれ以前)、2017.011.30199(およびそれ以前)は、制御されない検索パス要素による脆弱性の影響を受けます。攻撃者がこの脆弱性を利用し、DLLハイジャックにより現在のユーザーのコンテキストで任意コードを実行する可能性があります。この問題を悪用するにはユーザーの操作が必要です。(CVE-2021-35982)

- Acrobat Reader DCバージョン2021.005.20060(およびそれ以前)、2020.004.30006(およびそれ以前)、2017.011.30199(およびそれ以前)は、AcroForm buttonGetIconアクションを処理する際にメモリ解放後使用(Use After Free)の脆弱性の影響を受け、現行ユーザーのコンテキストで任意コード実行に至る可能性があります。
この問題を悪用するにはユーザーの操作が必要で、被害者が悪意のあるファイルを開く必要があります。
(CVE-2021-39836)

- Acrobat Reader DCバージョン2021.005.20060(およびそれ以前)、2020.004.30006(およびそれ以前)、2017.011.30199(およびそれ以前)は、AcroForm deleteItemAtアクションを処理する際にメモリ解放後使用(Use After Free)の脆弱性の影響を受け、現行ユーザーのコンテキストで任意コード実行に至る可能性があります。
この問題を悪用するにはユーザーの操作が必要で、被害者が悪意のあるファイルを開く必要があります。
(CVE-2021-39837)

- Acrobat Reader DCバージョン2021.005.20060(およびそれ以前)、2020.004.30006(およびそれ以前)、2017.011.30199(およびそれ以前)は、AcroForm buttonGetCaptionアクションを処理する際にメモリ解放後使用(Use After Free)の脆弱性の影響を受け、現行ユーザーのコンテキストで任意コード実行に至る可能性があります。
この問題を悪用するにはユーザーの操作が必要で、被害者が悪意のあるファイルを開く必要があります。
(CVE-2021-39838)

Nessusはこの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

ソリューション

Adobe Acrobatを2017.011.30202/2020.004.30015/2021.007.20091以降のバージョンにアップグレードしてください。

関連情報

https://cwe.mitre.org/data/definitions/121.html

https://cwe.mitre.org/data/definitions/200.html

https://cwe.mitre.org/data/definitions/125.html

https://cwe.mitre.org/data/definitions/416.html

https://cwe.mitre.org/data/definitions/122.html

https://cwe.mitre.org/data/definitions/476.html

https://cwe.mitre.org/data/definitions/787.html

https://cwe.mitre.org/data/definitions/843.html

https://cwe.mitre.org/data/definitions/427.html

https://helpx.adobe.com/security/products/acrobat/apsb21-55.html

プラグインの詳細

深刻度: High

ID: 153362

ファイル名: macos_adobe_acrobat_apsb21-55.nasl

バージョン: 1.7

タイプ: local

エージェント: macosx

公開日: 2021/9/14

更新日: 2021/10/12

依存関係: macosx_adobe_acrobat_installed.nbin

リスク情報

CVSS スコアのソース: CVE-2021-39863

VPR

リスクファクター: High

スコア: 8.4

CVSS v2

リスクファクター: Medium

Base Score: 6.8

Temporal Score: 5

ベクトル: CVSS2#AV:N/AC:M/Au:N/C:P/I:P/A:P

現状ベクトル: CVSS2#E:U/RL:OF/RC:C

CVSS v3

リスクファクター: High

Base Score: 7.8

Temporal Score: 6.8

ベクトル: CVSS:3.0/AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H

現状ベクトル: CVSS:3.0/E:U/RL:O/RC:C

脆弱性情報

CPE: cpe:2.3:a:adobe:acrobat:*:*:*:*:*:*:*:*

必要な KB アイテム: Host/local_checks_enabled, Host/MacOSX/Version, installed_sw/Adobe Acrobat

エクスプロイトの容易さ: No known exploits are available

パッチ公開日: 2021/9/14

脆弱性公開日: 2021/9/14

参照情報

CVE: CVE-2021-39841, CVE-2021-39863, CVE-2021-39857, CVE-2021-39856, CVE-2021-39855, CVE-2021-39844, CVE-2021-39861, CVE-2021-39858, CVE-2021-39843, CVE-2021-39846, CVE-2021-39845, CVE-2021-35982, CVE-2021-39859, CVE-2021-39840, CVE-2021-39842, CVE-2021-39839, CVE-2021-39838, CVE-2021-39837, CVE-2021-39836, CVE-2021-39860, CVE-2021-39852, CVE-2021-39854, CVE-2021-39853, CVE-2021-39850, CVE-2021-39849, CVE-2021-39851

CWE: 200, 122, 125, 416, 843, 476, 787, 427, 121

IAVA: 2021-A-0415