La Agencia de Seguridad de Infraestructura y Ciberseguridad de EE. UU. (CISA) el martes agregado una falla de alta gravedad en Adobe Acrobat Reader a sus vulnerabilidades explotadas conocidas (KEV) catálogo, citando evidencia de explotación activa.
Seguimiento como CVE-2023-21608 (Puntuación CVSS: 7,8), la vulnerabilidad se ha descrito como un error de uso después de la liberación que puede explotarse para lograr la ejecución remota de código (RCE) con los privilegios del usuario actual.
Adobe lanzó un parche para la falla en enero de 2023. Los investigadores de seguridad de HackSys Ashfaq Ansari y Krishnakant Patil fueron acreditado con descubrir e informar la falla.
El siguientes versiones del software se ven afectados –
- Acrobat DC: 22.003.20282 (Win), 22.003.20281 (Mac) y versiones anteriores (corregidas en 22.003.20310)
- Acrobat Reader DC: 22.003.20282 (Win), 22.003.20281 (Mac) y versiones anteriores (corregidas en 22.003.20310)
- Acrobat 2020 – 20.005.30418 y versiones anteriores (corregido en 20.005.30436)
- Acrobat Reader 2020 – 20.005.30418 y versiones anteriores (corregido en 20.005.30436)
Actualmente se desconocen los detalles sobre la naturaleza de la explotación y los actores de amenazas que pueden estar abusando de CVE-2023-21608. Se realizó una prueba de concepto (PoC) para la falla. Hecho disponible a finales de enero de 2023.
CVE-2023-21608 es también la segunda vulnerabilidad de Adobe Acrobat y Reader que ha sido explotada en estado salvaje después de CVE-2023-26369, un problema de escritura fuera de límites que podría resultar en la ejecución de código al abrir un PDF especialmente diseñado. documento.
Las agencias del Poder Ejecutivo Civil Federal (FCEB) deben aplicar los parches proporcionados por los proveedores antes del 31 de octubre de 2023 para proteger sus redes contra posibles amenazas.