BDU:2016-00096

Высокий

BDU:2016-00096: Уязвимость программ просмотра и редактирования PDF-файлов Adobe Reader Document Cloud, Adobe Reader, Adobe Acrobat Document Cloud, Adobe Acrobat, позволяющая нарушителю выполнить произвольный код

CVSS v29.3

Описание

Уязвимость реализации объекта программ просмотра и редактирования PDF-файлов Adobe Reader Document Cloud, Adobe Reader, Adobe Acrobat Document Cloud, Adobe Acrobat связана с использованием памяти после её освобождения. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, выполнить произвольный код

Что делать с BDU:2016-00096

Высокая уязвимость (CVSS 9.3) должна быть устранена в приоритетном порядке. Рекомендуемый срок — 7 дней по приказу ФСТЭК №117. Проверьте список затронутого ПО ниже и запланируйте обновление.

Используйте калькулятор CVSS для пересчёта с учётом вашей среды. Автоматизируйте мониторинг через модуль БДУ ФСТЭК в КиберОснова.

Оценка критичности (CVSS)

9.3

Только просмотр

AV:N/AC:M/Au:N/C:C/I:C/A:C

CWE — тип уязвимости

CWE-416

CVE — международный идентификатор

CVE-2016-0937

CWE-416

Использование после освобождения памяти

Обращение к памяти после её освобождения. Может привести к выполнению произвольного кода.

Как атакуют и что делать ▾

Сценарий атаки

Программа обращается к блоку памяти после его освобождения. Атакующий заполняет освобождённую память своими данными.

Последствия

Выполнение произвольного кода, повышение привилегий.

Рекомендации

Обнуляйте указатели после free(), используйте smart pointers (C++), применяйте AddressSanitizer.

Уязвимое ПО (6)

Вендор	Название	Версия	Платформа
Adobe Systems Inc.	Adobe Acrobat Document Cloud	до 15.006.30119 Classic	Не указана
Adobe Systems Inc.	Adobe Acrobat Document Cloud	до 15.10.20056 Continuous	Не указана
Adobe Systems Inc.	Adobe Acrobat	до 11.0.14	Не указана
Adobe Systems Inc.	Adobe Reader	до 11.0.14	Не указана
Adobe Systems Inc.	Adobe Reader Document Cloud	до 15.006.30119 Classic	Не указана
Adobe Systems Inc.	Adobe Reader Document Cloud	до 15.10.20056 Continuous	Не указана

Среды функционирования (4)

Вендор	Название	Версия	Платформа
Apple Inc.	MacOS	10	32-bit
Microsoft Corp	Windows	-	64-bit
Microsoft Corp	Windows	-	32-bit
Apple Inc.	MacOS	10	64-bit

Источники (1)

https://helpx.adobe.com/security/products/acrobat/apsb16-02.html http://zeroday…

SLA ФСТЭК №117

24 часа

по базовой оценке CVSS 9.3

Threat Intelligence

SSVC: Приоритетное устранение

Высокий риск эксплуатации. Запланируйте устранение в ближайшем окне обновлений.

EPSS — вероятность эксплуатации6.7%

Вероятность эксплуатации в 30 дней (FIRST EPSS)

Информация

Обнаружена

2016-01-14

Опубликована

2016-01-21

Обновлена

2021-03-23

Эксплойт

Данные уточняются

Исправление

Уязвимость устранена

Статус

Подтверждена производителем

Управляйте уязвимостями, а не таблицами

Платформа автоматически подтягивает новые записи из БДУ, привязывает к вашим активам и считает SLA по приказу №117 — без ручного мониторинга.

Уязвимости → активы → ответственные — цепочка за минуту
SLA-таймеры и эскалация — дедлайны не горят
PDF-отчёт для ФСТЭК — за один клик

Попробовать бесплатно

Внешние ресурсы

БДУ ФСТЭК NVD: CVE-2016-0937 MITRE: CWE-416 Каталог CPE (ФСТЭК) Реестр сертифицированных СЗИ ФСТЭК