Zdjęcie: © Ilya Pavlov / Unsplash
Źródło: unsplash.com/photos/OqtafYT5kTw
Adobe opublikowało 10 nowych komunikatów bezpieczeństwa dotyczących około 140 podatności w swoich produktach. Zakres aktualizacji obejmuje między innymi Commerce, Photoshop, ColdFusion, Content Credentials SDK, Substance 3D, Dimension, FrameMaker i Bridge. Wśród opisanych problemów są błędy o wysokim i krytycznym poziomie zagrożenia, które mogą prowadzić do wykonania dowolnego kodu, eskalacji uprawnień, obejścia funkcji bezpieczeństwa albo odmowy usługi. Firma zaznacza, że nie ma informacji o wykorzystaniu tych luk w rzeczywistych atakach.
W aktualizacji dla Adobe ColdFusion naprawiono 32 podatności. Wśród nich znalazły się krytyczne błędy, które mogą umożliwić wykonanie dowolnego kodu lub eskalację uprawnień. W praktyce oznacza to, że wykorzystanie luki mogłoby pozwolić na uruchomienie kodu w kontekście podatnej aplikacji albo na uzyskanie dostępu szerszego niż przewidziany dla użytkownika lub procesu. Adobe nie podało informacji o atakach wykorzystujących te problemy, ale ich charakter sprawia, że aktualizacja jest istotna dla organizacji korzystających z ColdFusion.
Content Credentials SDK otrzymał poprawki dla 30 podatności. Wiele z nich zaklasyfikowano jako błędy o wysokim poziomie zagrożenia, mogące prowadzić do obejścia funkcji bezpieczeństwa. Część luk może również doprowadzić do odmowy usługi, czyli sytuacji, w której program przestaje działać prawidłowo lub staje się niedostępny. Adobe naprawiło także 18 podatności w Photoshopie. Niemal wszystkie z nich mogą prowadzić do wykonania dowolnego kodu.
Słownik artykułu
Krótkie objaśnienia terminów występujących w tekście. Każde hasło prowadzi do szerszej definicji i przykładów użycia.
Możliwość uruchomienia własnych instrukcji w podatnym systemie lub aplikacji. Taki skutek może pozwolić na przejęcie kontroli nad działaniem części oprogramowania.
Uzyskanie przez użytkownika lub proces wyższych uprawnień niż te, które przydzielono mu początkowo, często wskutek luki w zabezpieczeniach.
Większość opublikowanych komunikatów ma priorytet 3. Według Adobe oznacza to, że firma nie spodziewa się wykorzystania tych podatności w atakach. Wyjątkiem jest Commerce, któremu przyznano priorytet 2. Adobe uzasadnia to faktem, że podmioty atakujące w przeszłości kierowały działania przeciwko temu produktowi. Sam priorytet nie jest potwierdzeniem aktywnych ataków, ale wskazuje, że użytkownicy Commerce powinni zwrócić szczególną uwagę na dostępność i wdrożenie poprawek.
Znaczenie aktualizacji wykracza poza pojedyncze aplikacje. W przypadku produktów wykorzystywanych do obsługi handlu internetowego, tworzenia materiałów graficznych, pracy z dokumentami lub zarządzania treściami podatność może dotyczyć zarówno serwerów, jak i komputerów użytkowników. Administratorzy powinni sprawdzić, które produkty Adobe są używane w ich środowisku, a następnie zastosować dostępne poprawki zgodnie z procedurami organizacji. Szczególnej uwagi wymagają instalacje Commerce i ColdFusion, ponieważ opisane w nich błędy obejmują wykonanie kodu oraz podniesienie uprawnień.
Adobe poinformowało, że do wyszukiwania podatności we własnym kodzie wykorzystuje zaawansowane modele AI. Firma wiąże z tym większą liczbę wykrywanych i naprawianych błędów. Nie oznacza to jednak pełnej automatyzacji procesu. Inżynierowie nadal przeglądają, sprawdzają i zatwierdzają wszystkie zmiany w kodzie powstałe przy wsparciu AI przed ich wdrożeniem. W komunikatach dotyczących najnowszych poprawek Adobe przypisało również wykrycie wielu podatności zewnętrznym badaczom bezpieczeństwa.
Zwiększenie liczby odkrywanych problemów wpłynęło także na sposób publikowania informacji o poprawkach. Adobe zrezygnowało z comiesięcznego harmonogramu biuletynów i przeszło na cykl dwa razy w miesiącu, w drugi i czwarty wtorek miesiąca. Dla użytkowników i administratorów oznacza to potrzebę regularnego śledzenia komunikatów bezpieczeństwa oraz weryfikowania, czy nowe poprawki dotyczą wykorzystywanych produktów. Najnowsza seria aktualizacji obejmuje szeroki zestaw aplikacji, ale dostępne informacje nie wskazują, aby opisane luki były już używane przez napastników.
Brak komentarzy. Bądź pierwszy!