Multiples vulnérabilités dans des produits Adobe

Date de publication :

Une confusion de type survient lorsqu’un programme alloue ou initialise une ressource à l'aide d'un type, puis accède ultérieurement à cette ressource à l'aide d'un type incompatible avec le type d'origine.

CVE-2022-34230, CVE-2022-34229, CVE-2022-34227, CVE-2022-34225, CVE-2022-34224, CVE-2022-34223, CVE-2022-34220, CVE-2022-34219, CVE-2022-34216[Score CVSS v3.1: 7.8]

Une erreur d'utilisation de données en mémoire après libération dans différents produits Adobe permet à un attaquant, en persuadant sa victime d’ouvrir un fichier spécialement forgé, d’exécuter du code arbitraire sur le système.

CVE-2022-34228[Score CVSS v3.1: 7.8]

Une vulnérabilité d'accès de pointeur non initialisé conduisant vers des emplacements de mémoire invalides permet à un attaquant, en persuadant sa victime d’ouvrir un fichier spécialement forgé, d’exécuter du code arbitraire sur le système.

CVE-2022-34226, CVE-2022-34222, CVE-2022-34215[Score CVSS v3.1: 7.8]

Une erreur de lecture de données en dehors des limites prévues de la mémoire tampon dans différents produits Adobe lors de l’analyse de fichiers entrants permet à un attaquant, en persuadant sa victime d’ouvrir un fichier spécialement forgé, d’exécuter du code arbitraire sur le système.

CVE-2022-34221[Score CVSS v3.1: 7.8]

Une erreur de type « confusion de type » dans différents produits Adobe permet à un attaquant, en envoyant une requête spécialement forgée, d’exécuter du code arbitraire avec les paramètres les plus élevés.

CVE-2022-34217[Score CVSS v3.1: 7.8]

Une erreur d’écriture hors des limites prévues de la mémoire tampon permet à un attaquant, en persuadant sa victime d’ouvrir un fichier spécialement forgé, d’exécuter du code arbitraire sur le système.

Informations

La faille est activement exploitée :

Un correctif existe :

Une mesure de contournement existe :

Risques

Risques

    Exécution de code arbitraire

Criticité

    Score CVSS v3.1: 7.8

La faille est activement exploitée

    Non, pour l’ensemble des CVE présentées.

Un correctif existe

    Oui, pour l’ensemble des CVE présentées.

Une mesure de contournement existe

    Non, pour l’ensemble des CVE présentées.

La vulnérabilité exploitée est du type

CWE-416: Use After Free

CWE-824: Access of Uninitialized Pointer

CWE-125: Out-of-bounds Read

CWE-843: Access of Resource Using Incompatible Type

CWE-787: Out-of-bounds Write

Détails sur l’exploitation

Pour l’ensemble des CVE présentées :

    Vecteur d’attaque : Local.

    Complexité de l’attaque : Faible.

    Privilèges nécessaires pour réaliser l’attaque : Aucun.

    Interaction d’un utilisateur ayant accès au produit est-elle nécessaire : Oui.

    L’exploitation de la faille permet d’obtenir des droits privilégiés : Non.

Composants vulnérables

Pour l’ensemble des CVE présentées :

    Acrobat DC et Acrobat Reader DC en version 22.001.20142 et antérieures.

    Acrobat 2020 et Acrobat Reader 2020 en version 20.005.30334 et antérieures pour Windows et en version 20.005.30331 et antérieures pour Mac.

    Acrobat 2017 et Acrobat Reader 2017 en version 17.012.30229 et antérieures pour Windows et en version 17.012.30227 et antérieures pour Mac.

Solutions ou recommandations

  • Mettre à jour Acrobat DC et Acrobat Reader DC à la version 22.001.20169.

  • Mettre à jour Acrobat 2020 et Acrobat Reader 2020 à la version 20.005.30362.

  • Mettre à jour Acrobat 2017 et Acrobat Reader 2017 à la version 17.012.30249.

  • Des informations complémentaires sont disponibles ici.

Liens