Bulletin de sécurité Adobe

Date de publication : 11 août 2015

Dernière mise à jour : 2 septembre 2015

Identifiant de vulnérabilité : APSB15-19

Priorité : Voir le tableau ci-dessous

Références CVE : CVE-2015-5125, CVE-2015-5127, CVE-2015-5129, CVE-2015-5130, CVE-2015-5131, CVE-2015-5132, CVE-2015-5133, CVE-2015-5134, CVE-2015-5539, CVE-2015-5540, CVE-2015-5541, CVE-2015-5544, CVE-2015-5545, CVE-2015-5546, CVE-2015-5547, CVE-2015-5548, CVE-2015-5549, CVE-2015-5550, CVE-2015-5551, CVE-2015-5552, CVE-2015-5553, CVE-2015-5554, CVE-2015-5555, CVE-2015-5556, CVE-2015-5557, CVE-2015-5558, CVE-2015-5559, CVE-2015-5560, CVE-2015-5561, CVE-2015-5562, CVE-2015-5563, CVE-2015-5564, CVE-2015-5565, CVE-2015-5566, CVE-2015-6682

Plate-forme : toutes plates-formes

Adobe a publié des mises à jour de sécurité pour Adobe Flash Player.  Ces mises à jour corrigent des vulnérabilités critiques susceptibles de permettre à un pirate de prendre le contrôle du système concerné.

• Pour vérifier le numéro de version d'Adobe Flash Player installé sur votre système, accédez à la page À propos de Flash Player ou cliquez avec le bouton droit de la souris sur du contenu exécuté dans Flash Player et sélectionnez À propos d'Adobe (ou de Macromedia) Flash Player dans le menu contextuel. Effectuez cette vérification pour tous les navigateurs utilisés sur votre système.  

• Pour vérifier le numéro de la version d'Adobe AIR installée sur votre système, suivez les instructions de la note technique sur Adobe AIR. 

Adobe attribue à ces mises à jour les priorités suivantes et recommande aux utilisateurs concernés de mettre à jour leurs installations avec les dernières versions des logiciels :

• Adobe recommande aux utilisateurs des environnements d’exécution pour bureau d’Adobe Flash Player pour Windows et Macintosh d’effectuer une mise à jour vers la version 18.0.0.232, en consultant le Centre de téléchargement Adobe Flash Player ou en utilisant le processus de mise à jour s’ils y sont invités [1].
• Adobe recommande aux utilisateurs de la version de support approfondi d’Adobe Flash Player [2] d’effectuer une mise à jour vers la version 18.0.0.232, en consultant la page http://helpx.adobe.com/fr/flash-player/kb/archived-flash-player-versions.html. 
• Adobe recommande aux utilisateurs d’Adobe Flash Player pour Linux d’installer la version 11.2.202.508 en la téléchargeant depuis le Centre de téléchargement Adobe Flash Player. 
• La version d’Adobe Flash Player installée avec Google Chrome sera automatiquement mise à jour vers la dernière version de Google Chrome, qui inclut Adobe Flash Player 18.0.0.232 sur Windows et Macintosh, et 18.0.0.233 sur Linux et Chrome OS.
• La version d’Adobe Flash Player installée avec Microsoft Edge pour Windows 10 sera automatiquement mise à jour vers la dernière version, qui inclut Adobe Flash Player 18.0.0.232.
• La version d’Adobe Flash Player installée avec Internet Explorer 10 et 11 pour Windows 8.0 et 8.1.x sera automatiquement mise à jour vers la dernière version, qui inclut Adobe Flash Player 18.0.0.232.
  
• Adobe recommande aux utilisateurs des environnements d’exécution pour bureau AIR, du kit SDK AIR, et du compilateur et kit SDK AIR d’effectuer une mise à jour vers la version 18.0.0.199, en consultant le Centre de téléchargement AIR ou le Centre de développement AIR. 
• Rendez-vous sur la page d’assistance Flash Player pour être aidé lors de l’installation de Flash Player.

• Ces mises à jour corrigent des vulnérabilités de confusion de type susceptibles d’entraîner l’exécution de code (CVE-2015-5554, CVE-2015-5555, CVE-2015-5558, CVE-2015-5562).
• Ces mises à jour renforcent davantage une limitation introduite dans la version 18.0.0.209, en vue de prévenir les corruptions associées aux longueurs de vecteur (CVE-2015-5125).
• Ces mises à jour corrigent des vulnérabilités de type « utilisation de zone désallouée » susceptibles d’entraîner l’exécution de code (CVE-2015-5550, CVE-2015-5551, CVE-2015-5556, CVE-2015-5130, CVE-2015-5134, CVE-2015-5539, CVE-2015-5540, CVE-2015-5557, CVE-2015-5559, CVE-2015-5127, CVE-2015-5563, CVE-2015-5561, CVE-2015-5564, CVE-2015-5565, CVE-2015-5566, CVE-2015-6682).
• Ces mises à jour corrigent des vulnérabilités de type « débordement de la mémoire tampon au niveau du tas » susceptibles d’entraîner l’exécution de code (-5129, CVE-2015-, CVE-2015-5541).
• Ces mises à jour corrigent des vulnérabilités de type « débordement de la mémoire tampon » susceptibles d’entraîner l’exécution de code (CVE-2015-5131, CVE-2015-5132, CVE-2015-5133).
• Ces mises à jour corrigent des vulnérabilités de type corruption de mémoire susceptibles d’entraîner l’exécution de code (CVE-2015-5544, CVE-2015-5545, CVE-2015-5546, CVE-2015-5547, CVE-2015-5548, CVE-2015-5549, CVE-2015-5552, CVE-2015-5553).
• Ces mises à jour corrigent une vulnérabilité de type « débordement d’entier » susceptible d’entraîner l’exécution de code (CVE-2015-5560).

Adobe tient à remercier les personnes et sociétés suivantes pour avoir signalé ces problèmes et joint leurs efforts aux nôtres pour protéger nos clients : 

• Kai Lu de Fortinet's FortiGuard Labs (CVE-2015-5129)
• Chris Evans, Ben Hawkes et Mateusz Jurczyk du projet Google Project Zero (CVE-2015-5131, CVE-2015-5132, CVE-2015-5133, CVE-2015-5544, CVE-2015-5545, CVE-2015-5546, CVE-2015-5547, CVE-2015-5548).
• Wang Wei de l’équipe de recherche de sécurité d’Alibaba (CVE-2015-5566)
• Natalie Silvanovich du projet Google Project Zero (CVE-2015-5550, CVE-2015-5551, CVE-2015-5554, CVE-2015-5555, CVE-2015-5556, CVE-2015-5134, CVE-2015-5539, CVE-2015-5540, CVE-2015-5557, CVE-2015-5558, CVE-2015-5562, CVE-2015-5560, CVE-2015-5564, CVE-2015-5565)
• Chris Evans du projet Google Project Zero (CVE-2015-5549, CVE-2015-5125)
• bilou pour sa contribution au Chromium Vulnerability Rewards Program (CVE-2015-5563, CVE-2015-5561, CVE-2015-5130, CVE-2015-5127)
• Yuki Chen de Qihoo 360 Vulcan Team (CVE-2015-5552, CVE-2015-5553, CVE-2015-5559)
• instruder de l’équipe de recherche de sécurité d’Alibaba (CVE-2015-5541)
• Peter Pi de TrendMicro (CVE-2015-6682)

11 août 2015 : mise à jour du tableau des versions concernées en vue d’inclure Adobe Flash Player pour Microsoft Edge et Internet Explorer 11 sous Windows 10  Ajout d’une référence à la vulnérabilité CVE-2015-5564, involontairement omise du bulletin d’information     

12 août 2015 : ajout d’une référence à la vulnérabilité CVE-2015-5565 (problème de type « utilisation de zone désallouée » similaire à la vulnérabilité CVE-2015-3107)  Un correctif pour la vulnérabilité CVE-2015-3107 a été introduit dans le bulletin de sécurité APSB15-11 et a été renforcé dans le bulletin de sécurité APSB15-19.  Suppression de la vulnérabilité CVE-2015-5128, précédemment qualifiée de problème de confusion de type et reclassée en tant que plantage non exploitable dû à une exception de pointeur Null.

20 août 2015 : remplacement de la référence CVE-2015-5124 par CVE-2015-5566.  La référence CVE-2015-5124 a été mentionnée dans le bulletin de sécurité APSB15-16 et réutilisée par erreur dans le bulletin de sécurité APSB15-19. 

2 septembre 2015 : ajout d’une référence concernant la vulnérabilité CVE-2015-6682 de type « utilisation de zone désallouée » qui a été corrigée dans cette version. Cette information avait été omise par inadvertance du bulletin.