Adobe 修復產品組合中的 16 個關鍵代碼執行錯誤 - 網安 - 專業的網絡安全產業、社區、知識平臺

帶外補丁是在本月早些時候周二發布的比往常更輕的補丁之后發布的。

Adobe已在10個不同的軟件包中發布了18個帶外安全補丁，其中包括針對遍布其產品套件的關鍵漏洞的修復程序。Adobe Illustrator遭受的打擊最大。

這里有16個嚴重的漏洞，所有這些漏洞都允許在當前用戶的上下文中任意執行代碼。它們會影響Adobe Illustrator，Adobe Animate，Adobe After Effects，Adobe Photoshop，Adobe Premiere Pro，Adobe Media Encoder，Adobe InDesign和Adobe Creative Cloud Desktop應用程序。

Adobe還修補了Dreamweaver和Marketo Sales Insight Salesforce軟件包中兩個重要的問題。

許多問題涉及不受控制的搜索路徑元素，但也存在邊界問題，內存損壞問題和跨站點腳本（XSS）漏洞。

“任意代碼執行漏洞特別危險，因為它們使攻擊者能夠在被利用的系統上直接運行惡意代碼，” Jay Goodman說。“加上這些漏洞存在于諸如Marketo和大多數Adobe Creative Cloud應用程序之類的關鍵技術中，這可能會使敏感的營銷數據和創意IP受到潛在對手的破壞或IP盜竊。組織應采取措施在72小時內迅速修補這些漏洞（我們建議），以最大程度地減少暴露并保持高水平的網絡衛生。

關鍵補丁

Illustrator包含七個影響Windows，24.2和更早版本的Illustrator 2020的錯誤。

其中兩個問題是越界讀取漏洞（CVE-2020-24409，CVE-2020-24410）；一個是越界寫入錯誤（CVE-2020-24411）。Tran Van Khang與趨勢科技零日倡議組織合作發現了這一發現。

“所有這些漏洞都是在Illustrator處理PDF文件的過程中發生的，”趨勢科技“零日活動”的傳播經理Dustin Childs說。“在這三種情況下，攻擊者都可以利用這些漏洞在當前進程的上下文中執行代碼。”

對于過多的讀取錯誤，“ Illustrator無法正確驗證用戶提供的數據，這可能導致讀取超出分配結構的末尾，”他解釋說。

同時，越界寫入漏洞“發生是因為Illustrator無法正確驗證用戶提供的數據，這可能導致寫入超出分配的結構的末尾，” Childs說。

同時，其他四個Illustrator漏洞是由于內存損壞（CVE-2020-24412，CVE-2020-24413，CVE-2020-24414，CVE-2020-24415）引起的。

同時，Animate for Windows（20.5和更早版本）包含一個雙重釋放錯誤（CVE-2020-9747）；基于堆棧的緩沖區溢出問題（CVE-2020-9748）; 和兩個越界讀取（CVE-2020-9749和CVE-2020-9750）。

Fortinet的FortiGuard Labs的Kexu Wang發現了這些問題。Wang還因發現困擾InDesign for Windows（15.1.2和更早版本）的內存損壞錯誤（CVE-2020-24421）而受到贊譽。

同時，發現了四個嚴重的不受控制的搜索路徑元素錯誤，其中包括：

后效應（CVE-2020-24419）
Windows版本的Photoshop CC 2019、20.0.10和更早版本; 和Photoshop 2020、21.2.2和更早版本（均跟蹤為CVE-2020-24420）
適用于Windows，14.4和更早版本的Premiere Pro（CVE-2020-24424）
和適用于Windows，14.4和更早版本的Media Encoder（CVE-2020-24423）

用戶可以通過Creative Cloud桌面應用程序更新程序，或導航到應用程序的“幫助”菜單并單擊“更新”來更新其軟件安裝。

說到Creative Cloud，適用于Windows的Creative Cloud桌面應用程序安裝程序（舊產品的5.2和更早版本，新安裝程序的2.1和更早版本）還具有不受控制的搜索路徑元素錯誤（CVE-2020-24422）– Dhiraj Mishra發現的一具。

其他漏洞

適用于Windows和macOS的Adobe Dreamweaver 20.2和更早版本包含一個不受控制的搜索路徑元素錯誤，該錯誤可能允許特權升級（CVE-2020-24425）。該漏洞還影響Dreamweaver 20.1和更早版本中的libCURL依賴關系。

而且，Marketo Sales Insight Salesforce軟件包1.4355和更早版本具有一個XSS錯誤，該錯誤允許在瀏覽器中執行JavaScript（CVE-2020-24416）。它是由Root Fix的Aditya Sharma和Shivam Kamboj Dattana發現的。

帶外補丁是Adobe定期計劃的補丁的一部分，該漏洞在10月份才被披露（明顯少于9月份的定期更新中解決的18個漏洞）。

對于Windows，macOS，Linux和ChromeOS操作系統（CVE-2020-9746）上的用戶而言，這是Flash Player應用程序中的一個嚴重錯誤。如果成功利用它，則可能導致可利用的崩潰，并可能導致在當前用戶的上下文中任意執行代碼。

同樣在本月，Adobe宣布了Magento中的兩個關鍵漏洞（CVE-2020-24407和CVE-2020-24400）– Adobe的電子商務平臺，該平臺通常是Magecart威脅組織這樣的攻擊者所針對的。它們可以允許任意代碼執行以及對數據庫的讀取或寫入訪問。