Bulletin de sécurité Adobe

Mise à jour de sécurité disponible pour Adobe Connect

Date de publication : 9 février 2016

Identifiant de vulnérabilité : APSB16-07

Priorité : 3

Références CVE : CVE-2016-0948, CVE-2016-0949, CVE-2016-0950

Plate-forme : Windows

Synthèse

Adobe a publié une mise à jour de sécurité pour Adobe Connect. Cette version corrige des problèmes importants concernant les validations en entrée et l’appropriation illégale de contenu. Elle inclut une fonction permettant de protéger les utilisateurs contre les falsifications de requêtes multisites.

Versions concernées

Produit Versions concernées Plate-forme
Adobe Connect Versions 9.4.2 et antérieures Windows 

Solution

Adobe recommande aux utilisateurs sur site de mettre à jour leur installation vers la dernière version disponible, en suivant les instructions ci-dessous :

Produit Version mise à jour Priorité Disponibilité
Adobe Connect 9.5.2 3 Notes de mise à jour

Remarque : le programme d’installation d’Adobe Connect 9.5.2 pour les déploiements sur site des clients sera disponible à partir du 11 février 2016 (tous les paramètres régionaux pris en charge). Pour plus d’informations sur les nouvelles fonctionnalités de Connect 9.5.2, consultez les notes de version.

Détails concernant la vulnérabilité

  • Cette mise à jour inclut une fonction permettant de protéger les utilisateurs contre les falsifications de requêtes multisites (CVE-2016-0948).  
  • Cette mise à jour corrige un problème de validation en entrée dans un paramètre d’URL (CVE-2016-0949).
  • Cette mise à jour corrige une vulnérabilité pouvant être utilisée pour dénaturer les informations présentées dans l’interface utilisateur (appropriation illégale de contenu) (CVE-2016-0950).  

Remerciements

Adobe tient à remercier les personnes suivantes pour avoir signalé ces problèmes et joint leurs efforts aux nôtres pour assurer la sécurité de nos clients :

  • Eugene Dokukin et Francisco Correa (panchocosil) (CVE-2016-0948)
  • Francisco Correa (panchocosil) (CVE-2016-0949)
  • Lawrence Amer (CVE-2016-0950)