Adobe ha lanzado una serie de actualizaciones de seguridad para distintos productos donde informan la corrección de múltiples vulnerabilidades.
A continuación se detalla las vulnerabilidades de riesgo crítico e importante para los cuales han sido reservados los identificadores:
Los CVE-2020-9551, CVE-2020-3773, CVE-2020-3795 y CVE-2020-3779, se dan debido a una falla de escritura fuera de los límites de memoria, el cual permitiría a un atacante remoto la ejecución arbitraria de código.
Por otro lado los CVE-2020-9552, CVE-2020-3799 y CVE-2020-3807, es debido a un error de desbordamiento de búfer, la explotación exitosa de esta vulnerabilidad permitiría a un atacante la ejecución arbitraria de código.
Mientras que el CVE-2020-3761, permitiría a un atacante remoto la lectura de archivos arbitrarios desde el directorio de instalación del Coldfusion y se da debido a una vulnerabilidad conocida como “lectura remota de archivos”.
En cuanto al CVE-2020-3794, permitiría a un atacante remoto la ejecución de código arbitrario debido a la vulnerabilidad conocida como “Inclusión de archivos”.
El CVE-2020-3783, se da debido a una vulnerabilidad conocida como “Heap corruption” y permitiría a un atacante la ejecución arbitraria de código.
Por otra parte los CVE-2020-3784, CVE-2020-3785, CVE-2020-3786, CVE-2020-3787, CVE-2020-3788, CVE-2020-3789, CVE-2020-3790 y CVE-2020-3797, se dan debido a una corrupción de memoria, los cuales de ser explotadas de manera exitosa podrían permitir a un atacante la ejecución arbitraria de código.
Los CVE-2020-3770, CVE-2020-3772, CVE-2020-3774, CVE-2020-3775, CVE-2020-3776 y CVE-2020-3780, son debido a errores en el búfer y permitirían a un atacante la ejecución arbitraria de código.
En cuanto a los CVE-2020-3792, CVE-2020-3793, CVE-2020-3801, CVE-2020-3802 y CVE-2020-3805, se dan debido a un error conocido como “Use-after-free”, que de ser explotada de manera exitosa, permitiría a un atacante la ejecución arbitraria de código.
El CVE-2020-3766, es debido a una vulnerabilidad conocida como “Insecure file permissions”, el cual podría permitir a un atacante remoto escalar privilegios en el sistema.
Los CVE-2020-3804 y CVE-2020-3806, se dan debido a una falla de escritura fuera de los límites de memoria, el cual permitiría a un atacante remoto divulgar información confidencial.
En cuanto al CVE-2020-3800, se da debido a una vulnerabilidad conocida como “Memory address leak”, el cual permitiría a un atacante remoto divulgar información confidencial.
Por último el CVE-2020-3803, es debido a una vulnerabilidad conocida como “DLL hijacking”. Una explotación exitosa de esta vulnerabilidad permitiría a un atacante remoto divulgar información confidencial.
Recomendaciones:
Actualizar los productos de Adobe a sus últimas versiones disponibles, en este caso:
- Adobe Bridge, versión 10.0.3.
- ColdFusion 2016, versión 14.
- ColdFusion 2018, versión 8.
- Photoshop CC 2019, versión 20.0.9.
- Photoshop 2020, versión 21.1.1.
- Acrobat DC, versión 2020.006.20042.
- Acrobat Reader DC, versión 2020.006.20042.
- Acrobat 2017, versión 2017.011.30166.
- Acrobat Reader 2017, versión 2017.011.30166.
- Acrobat 2015, versión 2015.006.30518.
- Acrobat Reader 2015, versión 2015.006.30518.
- Adobe Genuine Integrity Service, versión 6.6.
Referencias:
- https://helpx.adobe.com/security.html
- https://helpx.adobe.com/security/products/acrobat/apsb20-13.html
- https://helpx.adobe.com/security/products/integrity_service/apsb20-12.html
- https://helpx.adobe.com/security/products/bridge/apsb20-17.html
- https://helpx.adobe.com/security/products/coldfusion/apsb20-16.html
- https://helpx.adobe.com/security/products/photoshop/apsb20-14.html