BDU:2020-04110

Критический

BDU:2020-04110: Уязвимость программ просмотра PDF-файлов Adobe Reader Document Cloud, Adobe Reader и программ редактирования PDF-файлов Adobe Acrobat Document Cloud, Adobe Acrobat, связанная с копированием буфера без проверки размера входных данных, позволяющая нарушителю выполнить произвольный код

CVSS v38.8

CVSS v210.0

Пересчитать в калькуляторе Открыть на bdu.fstec.ru К реестру

Описание

Уязвимость программ просмотра PDF-файлов Adobe Reader Document Cloud, Adobe Reader и программ редактирования PDF-файлов Adobe Acrobat Document Cloud, Adobe Acrobat связана с копированием буфера без проверки размера входных данных. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, выполнить произвольный код

Что делать с BDU:2020-04110

Критическая уязвимость (CVSS 8.8) требует немедленного реагирования. По приказу ФСТЭК №117 срок устранения — 24 часа. Проверьте наличие патча у вендора и установите его на все затронутые системы. При невозможности патча — изолируйте уязвимый компонент и примените компенсирующие меры.

Используйте калькулятор CVSS для пересчёта с учётом вашей среды. Автоматизируйте мониторинг через модуль БДУ ФСТЭК в КиберОснова.

Оценка критичности (CVSS)

v3.1

8.8Высокий

Пересчитать →

10.0

Только просмотр

AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:HAV:N/AC:L/Au:N/C:C/I:C/A:C

CWE — тип уязвимости

CWE-120

CVE — международный идентификатор

CVE-2020-9698

CWE-120

Классическое переполнение буфера

Копирование данных без проверки размера. Классическая уязвимость C/C++ приложений.

Как атакуют и что делать ▾

Сценарий атаки

Функция strcpy/sprintf копирует данные без проверки размера. Буфер стека перезаписывается вместе с адресом возврата.

Последствия

Выполнение произвольного кода через перезапись стека (classic stack smashing).

Рекомендации

Замените strcpy→strncpy, sprintf→snprintf. Включите Stack Smashing Protection (-fstack-protector).

Тактики и техники

Манипулирование структурами данных

Уязвимое ПО (8)

Вендор	Название	Версия	Платформа
Adobe Systems Inc.	Adobe Acrobat Document Cloud	до 2020.012.20041 Continuous	Не указана
Adobe Systems Inc.	Adobe Acrobat Reader Document Cloud	до 2020.012.20041 Continuous	Не указана
Adobe Systems Inc.	Adobe Acrobat 2017	до 2017.011.30175 Classic 2017	Не указана
Adobe Systems Inc.	Adobe Acrobat Reader 2017	до 2017.011.30175 Classic 2017	Не указана
Adobe Systems Inc.	Adobe Acrobat 2015	до 2015.006.30527 Classic 2015	Не указана
Adobe Systems Inc.	Adobe Acrobat Reader 2015	до 2015.006.30527 Classic 2015	Не указана
Adobe Systems Inc.	Adobe Acrobat 2020	до 2020.001.30005 Classic 2020	Не указана
Adobe Systems Inc.	Adobe Acrobat Reader 2020	до 2020.001.30005 Classic 2020	Не указана

Среды функционирования (2)

Вендор	Название	Версия	Платформа
Apple Inc.	MacOS	.	Не указана
Microsoft Corp	Windows	-	Не указана

Источники (1)

https://helpx.adobe.com/security/products/acrobat/apsb20-48.html

SLA ФСТЭК №117

7 дней

по базовой оценке CVSS 8.8

Уточните SLA под вашу среду

Базовый балл 8.8 не учитывает инфраструктуру. Задайте Environmental-метрики (CR/IR/AR) в калькуляторе — SLA пересчитается автоматически.

Пересчитать CVSS с учётом среды

Threat Intelligence

SSVC: Отслеживать (повышенный)

Умеренный риск. Включите в плановый цикл обновлений, следите за изменением EPSS.

EPSS — вероятность эксплуатации4.2%

Вероятность эксплуатации в 30 дней (FIRST EPSS)

Информация

Обнаружена

2020-08-11

Опубликована

2020-09-02

Обновлена

2020-09-03

Эксплойт

Данные уточняются

Исправление

Уязвимость устранена

Статус

Подтверждена производителем

Управляйте уязвимостями, а не таблицами

Платформа автоматически подтягивает новые записи из БДУ, привязывает к вашим активам и считает SLA по приказу №117 — без ручного мониторинга.

Уязвимости → активы → ответственные — цепочка за минуту
SLA-таймеры и эскалация — дедлайны не горят
PDF-отчёт для ФСТЭК — за один клик

Попробовать бесплатно

Внешние ресурсы

БДУ ФСТЭК NVD: CVE-2020-9698 MITRE: CWE-120 Каталог CPE (ФСТЭК) Реестр сертифицированных СЗИ ФСТЭК