Bulletin de sécurité Adobe

Date de publication : 13 décembre 2016

Dernière mise à jour : 14 décembre 2016

Identifiant de vulnérabilité : APSB16-39

Priorité : Voir le tableau ci-dessous

Références CVE :CVE-2016-7867, CVE-2016-7868, CVE-2016-7869, CVE-2016-7870, CVE-2016-7871, CVE-2016-7872, CVE-2016-7873, CVE-2016-7874, CVE-2016-7875, CVE-2016-7876, CVE-2016-7877, CVE-2016-7878, CVE-2016-7879, CVE-2016-7880, CVE-2016-7881, CVE-2016-7890, CVE-2016-7892

Plates-formes : Windows, Macintosh, Linux et Chrome OS

Adobe a publié des mises à jour de sécurité pour Adobe Flash Player pour Windows, Macintosh, Linux et Chrome OS.  Ces mises à jour corrigent des vulnérabilités critiques susceptibles de permettre à un pirate de prendre le contrôle du système concerné.  

Adobe est conscient du fait que la vulnérabilité CVE-2016-7892 est présente sur Internet et est actuellement exploitée lors d’attaques ciblées et limitées contre les utilisateurs d’Internet Explorer (32 bits) sous Windows.

• Pour vérifier le numéro de version d'Adobe Flash Player installé sur votre système, accédez à la page À propos de Flash Player ou cliquez avec le bouton droit de la souris sur du contenu exécuté dans Flash Player et sélectionnez À propos d'Adobe (ou de Macromedia) Flash Player dans le menu contextuel. Effectuez cette vérification pour tous les navigateurs utilisés sur votre système.  

• Adobe recommande aux utilisateurs des environnements d’exécution pour bureau Adobe Flash Player pour Windows et Macintosh de passer à la version 24.0.0.186. Il leur suffit de suivre le processus de mise à jour dans le produit [1] ou de se rendre dans le Centre de téléchargement Adobe Flash Player.
• Adobe recommande aux utilisateurs d’Adobe Flash Player pour Linux d’installer la version 24.0.0.186 en la téléchargeant depuis le Centre de téléchargement Adobe Flash Player.
• La version d’Adobe Flash Player installée avec Google Chrome sera automatiquement mise à jour avec la dernière version de Google Chrome, qui inclut Adobe Flash Player 24.0.0.186 pour Windows, Macintosh, Linux et Chrome OS.
• La version d’Adobe Flash Player installée avec Microsoft Edge et Internet Explorer sous Windows 10 et 8.1 sera automatiquement mise à jour vers la dernière version, qui inclut Adobe Flash Player 24.0.0.186. 
• Rendez-vous sur la page d’assistance Flash Player pour être aidé lors de l’installation de Flash Player.

[1] Les utilisateurs de Flash Player versions 11.2.x et ultérieures pour Windows ou de Flash Player versions 11.3.x et ultérieures pour Macintosh qui ont sélectionné l’option autorisant Adobe à installer les mises à jour recevront automatiquement la mise à jour. Les utilisateurs qui n'ont pas activé l'option de mise à jour automatique pourront installer la mise à jour par le mécanisme de mise à jour automatique du produit, lorsqu'ils y seront invités.

• Ces mises à jour corrigent des vulnérabilités de type « utilisation de zone désallouée » susceptibles d’entraîner l’exécution de code (CVE-2016-7872, CVE-2016-7877, CVE-2016-7878, CVE-2016-7879, CVE-2016-7880, CVE-2016-7881, CVE-2016-7892). 
• Ces mises à jour corrigent des vulnérabilités de type « débordement de mémoire tampon » susceptibles d’entraîner l’exécution de code (CVE-2016-7867, CVE-2016-7868, CVE-2016-7869, CVE-2016-7870). 
• Ces mises à jour corrigent des vulnérabilités de type « corruption de mémoire » susceptibles d’entraîner l’exécution de code (CVE-2016-7871, CVE-2016-7873, CVE-2016-7874, CVE-2016-7875, CVE-2016-7876). 
• Ces mises à niveau corrigent une vulnérabilité de type contournement de la sécurité (CVE-2016-7890).

• Nicolas Joly de Microsoft Vulnerability Research (CVE-2016-7877)
• Wen Guanxing de Pangu LAB pour sa contribution au projet Zero Day Initiative de Trend Micro (CVE-2016-7867, CVE-2016-7868)
• willJ de Tencent PC Manager (CVE-2016-7876)
• Saber pour sa contribution au projet Zero Day Initiative de Trend Micro (CVE-2016-7872)
• JieZeng de Tencent Zhanlu Lab pour sa contribution au Chromium Vulnerability Rewards Program (CVE-2016-7881)
• kurusu nono pour sa contribution au projet Zero Day Initiative de Trend Micro (CVE-2016-7879)
• Tao Yan(@Ga1ois) de Palo Alto Networks (CVE-2016-7873, CVE-2016-7874)
• bo13oy de CloverSec Labs pour sa contribution au projet Zero Day Initiative de Trend Micro (-7875, CVE-2016-, CVE-2016-7878)
• bo13oy de CloverSec Labs pour sa contribution au projet Zero Day Initiative de Trend Micro et Tao Yan(@Ga1ois) de Palo Alto Networks (CVE-2016-7871)
• Yuki Chen de 360 Vulcan Team (CVE-2016-7880)
• WanderingGlitch pour sa contribution au projet Zero Day Initiative de Trend Micro (CVE-2016-7869, CVE-2016-7870)
• Paulos Yibelo (CVE-2016-7890)
  
• Un chercheur anonyme travaillant avec JPCERT/CC (CVE-2016-7892)

14 décembre 2016 : remerciements modifiés pour CVE-2016-7892