2023-0049: Adobe Acrobat, Adobe Reader: Mehrere Schwachstellen ermöglichen u. a. das Ausführen beliebigen Programmcodes

Historie:

Version 1 (2023-01-11 11:30): Neues Advisory
Version 2 (2023-10-11 08:47): Die CYBERSECURITY & INFRASTRUCTURE SECURITY AGENCY (CISA) hat die Schwachstelle CVE-2023-21608 in ihren 'Known Exploited Vulnerabilities Catalog' aufgenommen, da diese bereits aktiv ausgenutzt wird.

Betroffene Software

Netzwerk
Office

Betroffene Plattformen

Apple
Microsoft

Beschreibung:

Ein Angreifer kann mehrere Schwachstellen ausnutzen, um Informationen auszuspähen, Privilegien zu eskalieren, beliebigen Programmcode auszuführen und einen Denial-of-Service (DoS)-Angriff durchzuführen. Ein Großteil der Schwachstellen kann nur lokal ausgenutzt werden, lediglich zwei Schwachstellen ermöglichen einen Angriff aus der Ferne. Von den aufgeführten Schwachstellen ermöglichen acht einem Angreifer das Ausführen beliebigen Programmcodes; diese Schwachstellen werden vom Hersteller als kritisch eingestuft.

Die beiden Schwachstellen, welche eine Privilegieneskalation ermöglichen, erfordern, dass der Angreifer bereits über erweiterte Privilegien verfügt, die restlichen Schwachstellen erfordern keine Privilegien. Alle Schwachstellen benötigen für die erfolgreiche Ausnutzung die Interaktion eines Benutzers.

Adobe veröffentlicht das Acrobat DC und Acrobat Reader DC Continuous Track Release 22.003.20310 sowie die Acrobat 2020 und Acrobat Reader 2020 (Classic Track) Version 20.005.30436 für Windows und macOS als Sicherheitsupdates zur Behebung der referenzierten Schwachstellen in den vorhergehenden Versionen.