Une faille zero day présente dans Adobe Reader et activement exploitée a été corrigée dans le dernier Patch Tuesday d’Adobe.
Et ce n’est pas la seule, puisque ce sont au total 43 vulnérabilités qui ont été patchées sur l’ensemble de la gamme de produits d’Adobe ce mardi, dont plusieurs sont définies comme allant de critiques à importantes.
Une faille activement exploitée sur Windows
La faille, enregistrée sous le nom CVE-2021-28550, concerne aussi
bien les versions Windows que macOS d’Adobe Reader. Cependant, d'après un rapport sur l'utilisation de la vulnérabilité pour des attaques, seuls des utilisateurs de Windows ont été ciblés.
L’entreprise n’a pas fourni plus de précisions concernant la méthode employée pour son utilisation. La « Zero Day Initiative » indique
que du code aurait pu être exécuté lors de l'ouverture, avec une version non-patchée du Reader, d'un fichier PDF spécialement fabriqué pour l’occasion.
La faille étant connue et utilisée, il est impératif de mettre à jour ses logiciels. Vous pouvez le faire manuellement en vous rendant dans le menu Aide > Rechercher les mises à jour d'Acrobat Reader. Cependant, Adobe précise que les produits se mettront à jour automatiquement dès qu’une nouvelle version sera détectée, sans requérir une intervention de l’utilisateur.
Des vulnérabilités corrigées sur l’ensemble de la gamme
Si la faille CVE-2021-28550 est la plus importante et la plus urgente, Adobe a profité de ce Patch Tuesday pour corriger d’autres vulnérabilités présentes dans les autres produits de la marque.
On trouve ainsi une mise à jour pour InDesign, qui corrige un bug pouvant être utilisé pour exécuter du code malicieux. Illustrator voit cinq failles critiques corrigées, dont trois qui permettaient d’exécuter du code sur les systèmes ciblés en utilisant des problèmes de corruption de mémoire.
Au total, ce sont 12 patchs qui sont disponibles et qui concernent Experience Manager, InDesign, Illustrator, InCopy, Adobe Genuine Service, Acrobat, Reader, Magento, Creative Cloud Desktop, Media Encoder, After Effects, Medium et Animate.
Sources : ThreatPost, ZDI
