Adobe Substance 3D Painter содержит две уязвимости памяти. Первая - переполнение буфера в стеке, она позволяет выполнить произвольный код с правами текущего пользователя. Вторая - чтение за границами буфера, через неё раскрывается содержимое памяти процесса. Затронуты версии 12.1.5 и более ранние на всех платформах, исправление вышло в версии 12.2.
Механика двух уязвимостей памяти и оценка CVSS
Обе проблемы связаны с обработкой памяти, но устроены по-разному. Первая - переполнение буфера в стеке, ей присвоен идентификатор CVE-2026-48379. Стек хранит служебные значения, с которыми процесс работает при вызове функций. Буфер - заранее выделенный участок памяти фиксированного размера. Когда программа записывает туда больше данных, чем предусмотрено, запись выходит за границы и затирает соседние значения.
В результате атакующий получает возможность направить выполнение в свой код. Adobe оценила уязвимость в 7.8 из 10 по шкале CVSS (общая система оценки серьёзности уязвимостей). Уровень - High. Атака идёт локально: нужен доступ к рабочей станции либо файл, который пользователю пришлют. Привилегии не требуются, сложность низкая, но жертва должна открыть подготовленный файл.
Вторая уязвимость - чтение за границами буфера, CVE-2026-48380. Программа читает память за пределами выделенной области и возвращает содержимое чужих структур. Оценка - 5.5 из 10, уровень Medium. Условия те же: локальный доступ, низкая сложность, отсутствие требований к привилегиям и открытие вредоносного файла.
Последствия у проблем разные. Первая даёт выполнение кода с правами пользователя, который открыл файл. Вторая только раскрывает память: целостность и доступность не страдают, меняется лишь конфиденциальность. В обоих случаях успех зависит от того, откроет ли жертва подготовленный файл.
Исправление вышло 27 октября 2026 года вместе с уведомлением APSB26-178. Adobe выпустила версию 12.2 и предлагает обновляться через механизм обновлений приложения Creative Cloud для настольных систем. В управляемых средах приложение разворачивают через Admin Console, консоль администратора для продуктов Adobe. Сборка доступна в центре загрузок. Версия 12.2 относится к продукту, а не к номеру уведомления.
Обновлению Adobe присвоила приоритет 3 по своей внутренней шкале. Это отдельная от CVSS величина: приоритет относится к обновлению, а не к отдельной уязвимости. Сведений об эксплуатации в реальных атаках нет, вендор не знает ни об одном случае. Записи CVE опубликованы 27 октября 2026 года, значит технические детали уже доступны. Публичное раскрытие деталей не означает, что уязвимость используют.
Обходных мер Adobe не приводит. Закрыть обе уязвимости можно только обновлением до 12.2, другого способа вендор не называет. Приложение выпускают для всех платформ, поэтому парк машин может быть неоднородным. Инвентаризация покажет, где ещё стоит 12.1.5 и более ранние сборки. Централизованное обновление через Admin Console закрывает такие рабочие места без ручной установки.
Обе уязвимости требуют локального доступа и действия пользователя. Специальные права не нужны, сложность атаки низкая, поэтому одного открытого файла достаточно для срабатывания обеих. Обновление до 12.2 остаётся основной мерой, а отслеживание уведомления - дополнением к ней. Подтверждённых случаев компрометации на момент публикации нет.
Ссылки
