Adobe确认，影响Windows的Adobe Reader的零日漏洞已在有限的攻击中被广泛使用。
2021年5月的Adobe安全更新解决了Experience Manager，InDesign，Illustrator，InCopy，Adobe Genuine Service，Acrobat和Reader，Magento，Creative Cloud Desktop，Media Encoder，Medium和Animate中的至少43个CVE。通过ZDI程序报告了上述缺陷中的五个。
其中一个问题被跟踪为CVE-2021-28550，是一个“用后使用”的内存损坏漏洞，该漏洞影响了Adobe Reader for Windows，在有限的攻击中被广泛利用。
“ Adobe已针对Windows和macOS发布了Adobe Acrobat和Reader的安全更新。这些更新解决了多个关键和重要漏洞。成功的利用可能导致当前用户上下文中的任意代码执行。” 阅读该软件巨头发布的建议。
“ Adobe已收到一份报告，表明CVE-2021-28550已在针对Windows上的Adobe Reader用户的有限攻击中被野蛮利用。”
Adobe没有提供有关攻击的技术细节，无论如何，攻击者可以通过诱骗受害者打开特制PDF来利用此问题。
微软还解决了Windows和MacOS平台的Adobe Acrobat和Reader中的11个安全漏洞。
在Acrobat和Reader中的漏洞列表下方：
| 漏洞类别 | 漏洞影响 | 严重程度 | CVE编号 |
|---|---|---|---|
| 缓冲区溢出 | 任意代码执行 | 重要的 | CVE-2021-28561 |
| 基于堆的缓冲区溢出 | 任意代码执行 | 危急 | CVE-2021-28560 |
| 基于堆的缓冲区溢出 | 任意代码执行 | 重要的 | CVE-2021-28558 |
| 越界读取 | 内存泄漏 | 危急 | CVE-2021-28557 |
| 越界读取 | 任意文件系统读取 | 重要的 | CVE-2021-28555 |
| 越界读取 | 任意代码执行 | 危急 | CVE-2021-28565 |
| 越界写 | 任意代码执行 | 危急 | CVE-2021-28564 |
| 越界写 | 任意代码执行 | 危急 | CVE-2021-21044CVE-2021-21038CVE-2021-21086 |
| 公开私人信息 | 特权升级 | 重要的 | CVE-2021-28559 |
| 免费使用 | 任意代码执行 | 危急 | CVE-2021-28562CVE-2021-28550CVE-2021-28553 |
该公司还解决了InDesign中的三个严重的越界写入问题（CVE-2021-21098，CVE-2021-21099，CVE-2021-21043），这些问题可能导致任意代码执行。
“ InDesign的更新也很出色。这些错误是由于缺乏对用户提供的数据的正确验证而导致的，这可能导致写操作超出分配的结构的末尾。攻击者可以利用此漏洞在当前进程的上下文中执行代码。” 报告ZDI。“除了一个Reader错误之外，Adobe在本月修补的其他漏洞中，没有一个被公认为是已知漏洞，也没有在发行之时受到主动攻击。”
Adobe已发布安全更新，以解决影响Windows和Mac版本的Acrobat DC，Acrobat Reader DC，Acrobat 2020，Acrobat Reader 2020，Acrobat 2017和Acrobat Reader 2017的漏洞。
*编译：Domino
*来自：securityaffairs