S.G.D.S.N
Agence nationale
de la sécurité des
systèmes d'information
Paris, le 17 août 2004
N° CERTA-2004-AVI-270-003
Affaire suivie par: CERT-FR
le 17 août 2004

Avis du CERT-FR

Objet: Vulnérabilités d’Adobe Acrobat

Gestion du document

Référence CERTA-2004-AVI-270-003
Titre Vulnérabilités d’Adobe Acrobat
Date de la première version 17 août 2004
Date de la dernière version 02 septembre 2004
Source(s) Bulletin de sécurité iDefense du 12 août 2004
Pièce(s) jointe(s) Aucune(s)
Tableau 1: Gestion du document

Une gestion de version détaillée se trouve à la fin de ce document.

Risque

  • Exécution de code arbitraire à distance ;
  • déni de service.

Systèmes affectés

  • Vulnérabilité CVE CAN-2004-0629 : Adobe Acrobat et Adobe Acrobat Reader versions antérieures à la 6.0.2 ;
  • vulnérabilité CVE CAN-2004-0630 et CVE CAN 2004-0631 : Adobe Acrobat Reader versions 5.0.8 et antérieures pour les plates-formes Unix.

Résumé

Plusieurs vulnérabilités des applications Adobe Acrobat et Adobe Acrobat Reader permettent à un utilisateur distant mal intentionné d'exécuter du code arbitraire ou de provoquer un déni de service sur une machine vulnérable.

Description

  • Vulnérabilité CVE CAN-2004-0629 : une vulnérabilité de type débordement de mémoire a été découverte dans le composant ActiveX. Elle permet à un utilisateur distant mal intentionné d'exécuter du code arbitraire ou de provoquer un déni de service.
  • Vulnérabilité CVE CAN-2004-0630 et CAN-2004-0631 : deux vulnérabilités dans le décodage des chaînes "uuencodées" sur les plates-formes Unix permettent à un utilisateur d'exécuter du code arbitraire par le biais d'un document au format PDF malicieusement construit.

Contournement provisoire

  • Vulnérabilité CVE CAN-2004-0629 : ne pas ouvrir les documents au format PDF avec un navigateur.
  • Vulnérabilité CVE CAN-2004-0630 et CAN-2004-0631 :
    • n'ouvrir que les documents PDF provenant d'une source de confiance ;
    • ne pas ouvrir les documents PDF sur une plate-forme Unix.

Solution

  • La version 5.0.9 corrige les vulnérabilités CVE CAN-2004-0630 et CAN-2004-0631 ;
  • la version 6.0.2 corrige la vulnérabilité CVE CAN-2004-0629.

Adobe Acrobat Reader est téléchargeable à l'adresse suivante :

http://www.adobe.com/products/acrobat/alternate.html

Documentation

Gestion détaillée du document

    le 17 août 2004
    version initiale.
    le 27 août 2004
    ajout de la référence au bulletin de sécurité RedHat.
    le 30 août 2004
    ajout de la référence au bulletin de sécurité NetBSD et des liens vers les références CVE.
    le 02 septembre 2004
    ajout du lien Internet de téléchargement de Adobe Acrobat Reader.