在七月更新中，Adobe 發布關鍵的代碼執行漏洞

這家軟件巨頭發布了針對四個關鍵漏洞和五個不同平臺的補丁。

Adobe計劃于2020年7月發布安全更新，覆蓋五個不同產品領域的漏洞:創意云桌面;媒體編碼器;下載管理器;Genuine 服務和ColdFusion。

其中四個bug被評為嚴重的，其他的被評為重要的。大多數重要的缺陷都涉及特權升級，而關鍵的缺陷為更危險的攻擊打開了大門。

“Adobe下載管理器和媒體編碼器的更新解決了可能導致任意代碼執行的關鍵漏洞(CVE-2020-9688、9646和9650)，”Automox的產品營銷經理Justin Knapp說。第四個關鍵的漏洞(CVE-2020-9682)影響創造性云桌面，如果被利用，可能允許攻擊者創建或修改文件。

創造性云桌面

Adobe發布了針對其創造性的Windows云桌面應用程序的四個不同缺陷的補丁，其中包括一個允許任意文件系統寫入的嚴重缺陷。

創意云是一套用于創建和處理視頻、設計、攝影和網絡藝術的應用和服務。Adobe在周二的每月安全更新中指出，受影響的版本包括Creative Cloud桌面應用5.1和更早的版本。

關鍵的漏洞是一個符號鏈接(symlink)漏洞(CVE-2020-9682)，它允許成功利用該漏洞的攻擊者在他們無法正常訪問的位置創建或修改文件。符號鏈接是指向其他文件的快捷方式。

“雖然這是一個關鍵的弱點,Adobe排名第二,這就意味著這些系統能存在一個基于歷史的風險增加,然后在這個漏洞的當前不存在任何已知的攻擊,”Jimmy Graham說。

這些補丁還解決了三個重要級別的安全缺陷，所有缺陷都可能導致當前用戶上下文中的權限升級。被跟蹤為CVE-2020-9669的bug是由于缺乏漏洞緩解措施而導致的;CVE-2020-9671由于文件權限不安全導致;CVE-2020-9670是另一個不那么嚴重的符號鏈接漏洞。

媒體編碼器

Adobe還發布了Adobe更新媒體編碼器。Media Encoder是Adobe視頻編輯套件的一部分，負責將視頻文件轉換為適當的格式，以確保它們能在不同類型的設備上良好運行。

兩個關鍵界外編寫bug (cve - 2020 - 9650和cve - 2020 - 9646),可能導致任意代碼執行;一個重要的非綁定讀取(CVE-2020-9649)，它允許在當前用戶的上下文中公開信息。

“任意代碼利用特權的范圍有限,但當結合特權升級漏洞時，可以讓攻擊者迅速升級進程的特權，并在目標系統上執行代碼讓攻擊者完全控制設備,“Knapp說。

下載管理器

安全補丁是關鍵漏洞的補丁,這個關鍵漏洞可能導致任意代碼在Adobe下載管理器窗口。bug (CVE-2020-9688)影響平臺的2.0.0.518版本。

這個問題允許使用命令注入，這可能會打開任意代碼執行的大門。

安全研究員Dhiraj Mishra (@RandomDhiraj)報告了這個問題。

Genuine服務

與此同時，針對Windows和macOS的Adobe正版軟件服務(Adobe Genuine Service)有三個重要漏洞。該服務定期驗證已安裝的Adobe軟件，以根除不正確、無效的許可證和盜版軟件。

這些都可能導致當前用戶上下文中的權限升級。它們包括兩個不安全的庫加載錯誤(CVE-2020-9667和CVE-2020-9681);一個是符號鏈接錯誤處理的結果(CVE-2020-9668)。

根據Adobe的更新顯示，早些時候它們影響真正的服務版本6.6。

Adobe將這次發現歸功于CQURE的Adrian Denkiewicz (CVE-2020-9667)和Topsec Alpha團隊的Li (CVE-2020-9668, CVE-2020-9681)。

Adobe ColdFusion

最后，Adobe還發布了ColdFusion 2016版(更新15及更早版本)和2018版(更新9及更早版本)的多個重要漏洞補丁。ColdFusion是廠商用于構建和部署web和移動應用程序的流行平臺。

兩個cve覆蓋了允許劫持DLL搜索順序的缺陷，導致特權升級(CVE-2020-9672和CVE-2020-9673)。安全D中心研究小組的Nuttakorn Tungpoonsup和Ammarit Thongthua以及獨立網絡安全研究員Sittikorn Sangrattanapitak報告了這些漏洞。

與Adobe通常每月發布的安全補丁相比，7月份的補丁更新比較輕，但這可能是因為該公司在6月中旬發布了針對18個關鍵漏洞的帶外更新。這些影響了大量的關鍵產品，包括Adobe After Effects, Illustrator, Premiere Pro, Premiere Rush和Audition。如果利用成功，這些漏洞將允許攻擊者執行任意代碼。

Ivanti的安全產品管理主管Chris Goettl在接受Threatpost采訪時表示:“Adobe本月發布的公告并不多，更引人注目的目標都不在其中。”Flash player也有一個版本，但它與安全無關。adobeacrobat和Reader在5月份進行了更新，所以我們可能會在8月份的補丁周期中看到一些關注。”

至于7月的更新，管理員應該優先盡快應用補丁。Knapp說。“組織平均107天補丁一個新的漏洞,很可能現在有許多組織與任意代碼和特權擴大漏洞出現在企業設備,可以創建一個完美風暴的攻擊漏洞,”