Adobe ha rilasciato aggiornamenti di sicurezza per risolvere alcune vulnerabilità, di cui una con indice di gravità alto in Acrobat, Acrobat Reader, Connect e Adobe Experience Manager.
Secondo quanto riportato nel relativo bollettino di sicurezza, la CVE-2023-26369 risulta essere già sfruttata attivamente in rete in attacchi di tipo zero-day che consentono a un attaccante di eseguire codice arbitrario sui sistemi esposti.
Come indicato dal CSIRT-Italia, la stima d’impatto della vulnerabilità zero-day nei prodotti Acrobat è grave/rossa (76,6/100).
Indice degli argomenti
La vulnerabilità zero-day in Adobe Acrobat e Reader
La vulnerabilità zero-day corretta da Adobe nei suoi prodotti in occasione del Patch Tuesday di settembre 2023 è stata classificata con un punteggio CVSS di 7.8 su 10 e riguarda le versioni Windows e macOS di Acrobat DC, Acrobat Reader DC, Acrobat 2020 e Acrobat Reader 2020.
In particolare, la CVE-2023-26369 interessa le seguenti versioni:
- Acrobat DC (23.003.20284 e versioni precedenti), aggiornato alla versione 23.006.20320;
- Acrobat Reader DC (23.003.20284 e versioni precedenti), aggiornato alla versione 23.006.20320;
- Acrobat 2020 (20.005.30514 per Windows e versioni precedenti, 20.005.30516 per macOS e versioni precedenti), aggiornato alla versione 20.005.30524;
- Acrobat Reader 2020 (20.005.30514 per Windows e versioni precedenti, 20.005.30516 per macOS e versioni precedenti), aggiornato alla versione 20.005.30524.
La vulnerabilità riguarda un problema di sicurezza relativo a una scrittura in memoria di tipo out-of-bounds il cui sfruttamento potrebbe portare all’esecuzione di codice arbitrario in seguito all’apertura di un documento PDF appositamente creato.
La CVE-2023-26369 può essere sfruttata dagli attori della minaccia in attacchi di bassa complessità senza richiedere privilegi elevati, ma l’attaccante deve essere locale (quindi, in qualche modo, deve avere accesso alla macchina target) ed è richiesta interazione da parte dell’utente.
Come mitigare il rischio
Per evitare che i dettagli dell’exploit della vulnerabilità zero-day CVE-2023-26369 finissero in mano ad altri attori della minaccia, Adobe ha evitato di rilevare ulteriori dettagli sul problema o sugli obiettivi coinvolti.
Ovviamente, il consiglio è quello di aggiornare i prodotti vulnerabili il prima possibile, seguendo le indicazioni dei bollettini di sicurezza.
