Η Adobe προειδοποιεί για την εκμετάλλευση των κρίσιμων Acrobat και Reader zero-day σε επιθέσεις

Η

Adobe

κυκλοφόρησε ενημερώσεις ασφαλείας για να επιδιορθώσει μια ευπάθεια zero-day στο Acrobat και το Reader που έχει επισημανθεί ως εκμετάλλευση σε επιθέσεις.

Παρόλο που δεν έχουν ακόμη αποκαλυφθεί πρόσθετες πληροφορίες για τις επιθέσεις, η ημέρα μηδέν είναι γνωστό ότι επηρεάζει τόσο τα

Windows

όσο και τα συστήματα

macOS

.

“Η Adobe γνωρίζει ότι το CVE-2023-26369 έχει γίνει αντικείμενο εκμετάλλευσης στη φύση σε περιορισμένες επιθέσεις με στόχο το Adobe Acrobat και το Reader”, η εταιρεία

είπε

σε μια συμβουλευτική για την ασφάλεια που δημοσιεύτηκε σήμερα.

Το κρίσιμο ελάττωμα ασφαλείας παρακολουθείται ως CVE-2023-26369 και μπορεί να επιτρέψει στους εισβολείς να αποκτήσουν εκτέλεση κώδικα μετά την επιτυχή εκμετάλλευση ενός

εκτός ορίων γράφουν αδυναμία

.

Ενώ οι φορείς απειλής μπορούν να το εκμεταλλευτούν σε επιθέσεις χαμηλής πολυπλοκότητας χωρίς να απαιτούν προνόμια, το ελάττωμα μπορεί να εκμεταλλευτεί μόνο τοπικούς εισβολείς και απαιτεί επίσης αλληλεπίδραση με τον χρήστη, σύμφωνα με

η βαθμολογία του CVSS v3.1

.

Το CVE-2023-26369 ταξινομήθηκε από την Addobe με μέγιστη βαθμολογία προτεραιότητας, με την εταιρεία να συμβουλεύει έντονα τους διαχειριστές να εγκαταστήσουν την ενημέρωση το συντομότερο δυνατό, ιδανικά μέσα σε ένα παράθυρο 72 ωρών.

Η πλήρης λίστα των επηρεαζόμενων προϊόντων και εκδόσεων βρίσκεται στον παρακάτω πίνακα.

Σήμερα, η Adobe αντιμετώπισε περισσότερα ελαττώματα ασφαλείας που μπορούν να επιτρέψουν στους εισβολείς να αποκτήσουν αυθαίρετη εκτέλεση κώδικα σε συστήματα που εκτελούνται χωρίς ενημέρωση κώδικα

Adobe Connect

και

Adobe Experience Manager


λογισμικό

.

Τα σφάλματα Connect (CVE-2023-29305 και CVE-2023-29306) και Experience Manager (CVE-2023-38214 και CVE-2023-38215) που διορθώθηκαν σήμερα μπορούν όλα να χρησιμοποιηθούν για την εκτόξευση επιθέσεων ανακλώμενης δέσμης ενεργειών μεταξύ τοποθεσιών (XSS).

Μπορούν να χρησιμοποιηθούν για την πρόσβαση σε cookies, διακριτικά περιόδου λειτουργίας ή άλλες ευαίσθητες πληροφορίες που αποθηκεύονται από τα προγράμματα περιήγησης ιστού των στόχων.

Τον Ιούλιο, η Adobe προώθησε μια επείγουσα ενημέρωση ασφαλείας ColdFusion για να αντιμετωπίσει μια ημέρα μηδενικής (

CVE-2023-38205

) εκμεταλλεύονται στη φύση ως μέρος περιορισμένων επιθέσεων.

Μέρες αργότερα, η CISA διέταξε τις ομοσπονδιακές

υπηρεσίες

να προστατεύσουν τους διακομιστές Adobe ColdFusion στα δίκτυά τους από το σφάλμα που χρησιμοποιείται ενεργά έως τις 10 Αυγούστου.