黑客针对利用零日Adobe Reader的Windows用户

Adobe确认,影响Windows的Adobe Reader的零日漏洞已在有限的攻击中被广泛使用。

2021年5月的Adobe安全更新解决了Experience Manager,InDesign,Illustrator,InCopy,Adobe Genuine Service,Acrobat和Reader,Magento,Creative Cloud Desktop,Media Encoder,Medium和Animate中的至少43个CVE。通过ZDI程序报告了上述缺陷中的五个。

其中一个问题被跟踪为CVE-2021-28550,是一个“用后使用”的内存损坏漏洞,该漏洞影响了Adobe Reader for Windows,在有限的攻击中被广泛利用。

“ Adob​​e已针对Windows和macOS发布了Adobe Acrobat和Reader的安全更新。这些更新解决了多个关键和重要漏洞。成功的利用可能导致当前用户上下文中的任意代码执行。” 阅读该软件巨头发布的建议。

“ Adob​​e已收到一份报告,表明CVE-2021-28550已在针对Windows上的Adobe Reader用户的有限攻击中被野蛮利用。”

Adobe没有提供有关攻击的技术细节,无论如何,攻击者可以通过诱骗受害者打开特制PDF来利用此问题。

微软还解决了Windows和MacOS平台的Adobe Acrobat和Reader中的11个安全漏洞。

在Acrobat和Reader中的漏洞列表下方:

漏洞类别漏洞影响严重程度CVE编号
缓冲区溢出任意代码执行重要的CVE-2021-28561
基于堆的缓冲区溢出任意代码执行危急CVE-2021-28560
基于堆的缓冲区溢出任意代码执行重要的 CVE-2021-28558
越界读取内存泄漏危急CVE-2021-28557
越界读取任意文件系统读取重要的 CVE-2021-28555
越界读取任意代码执行危急 CVE-2021-28565
越界写任意代码执行危急 CVE-2021-28564
越界写任意代码执行危急CVE-2021-21044CVE-2021-21038CVE-2021-21086
公开私人信息特权升级重要的 CVE-2021-28559
免费使用任意代码执行危急 CVE-2021-28562CVE-2021-28550CVE-2021-28553

该公司还解决了InDesign中的三个严重的越界写入问题(CVE-2021-21098,CVE-2021-21099,CVE-2021-21043),这些问题可能导致任意代码执行。

“ InDesign的更新也很出色。这些错误是由于缺乏对用户提供的数据的正确验证而导致的,这可能导致写操作超出分配的结构的末尾。攻击者可以利用此漏洞在当前进程的上下文中执行代码。” 报告ZDI。“除了一个Reader错误之外,Adobe在本月修补的其他漏洞中,没有一个被公认为是已知漏洞,也没有在发行之时受到主动攻击。”

Adobe已发布安全更新,以解决影响Windows和Mac版本的Acrobat DC,Acrobat Reader DC,Acrobat 2020,Acrobat Reader 2020,Acrobat 2017和Acrobat Reader 2017的漏洞。

*编译:Domino

*来自:securityaffairs