Bulletin de sécurité Adobe

Date de publication : 12 mai 2016

Dernière mise à jour : 3 juin 2016

Identifiant de vulnérabilité : APSB16-15

Priorité : Voir le tableau ci-dessous

Références CVE : CVE-2016-1096, CVE-2016-1097, CVE-2016-1098, CVE-2016-1099, CVE-2016-1100, CVE-2016-1101, CVE-2016-1102, CVE-2016-1103, CVE-2016-1104, CVE-2016-1105, CVE-2016-1106, CVE-2016-1107, CVE-2016-1108, CVE-2016-1109, CVE-2016-1110, CVE-2016-4108, CVE-2016-4109, CVE-2016-4110, CVE-2016-4111, CVE-2016-4112, CVE-2016-4113, CVE-2016-4114, CVE-2016-4115, CVE-2016-4116, CVE-2016-4117, CVE-2016-4120, CVE-2016-4121, CVE-2016-4160, CVE-2016-4161, CVE-2016-4162, CVE-2016-4163

Plate-forme : Windows, Macintosh, Linux et ChromeOS

Adobe a publié des mises à jour de sécurité pour Adobe Flash Player pour Windows, Macintosh, Linux et ChromeOS.  Ces mises à jour corrigent des vulnérabilités critiques susceptibles de permettre à un pirate de prendre le contrôle du système concerné. Adobe est conscient qu’un code malveillant exploitant une faille de sécurité est présent sur Internet (CVE-2016-4117). Consultez l’avis APSA16-02 pour plus d’informations.

• Pour vérifier le numéro de version d'Adobe Flash Player installé sur votre système, accédez à la page À propos de Flash Player ou cliquez avec le bouton droit de la souris sur du contenu exécuté dans Flash Player et sélectionnez À propos d'Adobe (ou de Macromedia) Flash Player dans le menu contextuel. Effectuez cette vérification pour tous les navigateurs utilisés sur votre système.  
• Pour vérifier le numéro de la version d’Adobe AIR installée sur votre système, suivez les instructions de la note technique d’Adobe AIR (en anglais).
  

Adobe attribue à ces mises à jour les priorités suivantes et recommande aux utilisateurs concernés de mettre à jour leurs installations avec les dernières versions des logiciels :

• Adobe recommande aux utilisateurs des environnements d’exécution pour bureau Adobe Flash Player pour Windows et Macintosh d’effectuer une mise à jour vers la version 21.0.0.242. Il leur suffit de suivre la procédure prévue à cet effet dans le produit s’ils y sont invités [1] ou de se rendre dans le Centre de téléchargement Adobe Flash Player.
• Adobe recommande aux utilisateurs de la version de support approfondi d’Adobe Flash Player d’effectuer une mise à jour vers la version 18.0.0.352, en consultant la page http://helpx.adobe.com/fr/flash-player/kb/archived-flash-player-versions.html.
• Adobe recommande aux utilisateurs d’Adobe Flash Player pour Linux d’installer la version 11.2.202.621 en la téléchargeant depuis le Centre de téléchargement Adobe Flash Player.
• La version d’Adobe Flash Player installée avec Google Chrome sera automatiquement mise à jour avec la dernière version de Google Chrome, qui inclut Adobe Flash Player 21.0.0.242 pour Windows, Macintosh, Linux et Chrome OS.
• La version d’Adobe Flash Player installée avec Microsoft Edge et Internet Explorer sous Windows 10 et 8.1 sera automatiquement mise à jour vers la dernière version, qui inclut Adobe Flash Player 21.0.0.242. 
• Adobe recommande aux utilisateurs des environnements d’exécution pour bureau AIR, du kit SDK AIR, et du compilateur et kit SDK AIR d’effectuer une mise à jour vers la version 21.0.0.215, en consultant le Centre de téléchargement AIR ou le Centre de développement AIR.
  
• Rendez-vous sur la page d’assistance Flash Player pour être aidé lors de l’installation de Flash Player.

[1] Les utilisateurs de Flash Player versions 11.2.x et ultérieures pour Windows ou de Flash Player versions 11.3.x et ultérieures pour Macintosh qui ont sélectionné l’option autorisant Adobe à installer les mises à jour recevront automatiquement la mise à jour. Les utilisateurs qui n'ont pas activé l'option de mise à jour automatique pourront installer la mise à jour par le mécanisme de mise à jour automatique du produit, lorsqu'ils y seront invités.

• Ces mises à jour corrigent des vulnérabilités de confusion de type susceptibles d’entraîner l’exécution de code (CVE-2016-1105, CVE-2016-4117).
• Ces mises à jour corrigent des vulnérabilités de type « utilisation de zone désallouée » susceptibles d’entraîner l’exécution de code (CVE-2016-1097, CVE-2016-1106, CVE-2016-1107, CVE-2016-1108, CVE-2016-1109, CVE-2016-1110, CVE-2016-4108, CVE-2016-4110, CVE-2016-4121).
• Ces mises à jour corrigent une vulnérabilité de type débordement de la mémoire tampon au niveau du tas susceptible d’entraîner une exécution de code (CVE-2016-1101).
• Ces mises à niveau corrigent une vulnérabilité de type débordement de mémoire tampon susceptible d’entraîner l’exécution de code (CVE-2016-1103).
• Ces mises à jour corrigent des vulnérabilités de type corruption de mémoire susceptibles d’entraîner l’exécution de code (-2016-, CVE-1096, CVE-2016-1098, CVE-2016-1099, CVE-2016-1100, CVE-2016-1102, CVE-2016-1104, CVE-2016-4109, CVE-2016-4111, CVE-2016-4112, CVE-2016-4113, CVE-2016-4114, CVE-2016-4115, CVE-2016-4120, CVE-2016-4160, CVE-2016-4161, CVE-2016-4162, CVE-2016-4163).
• Ces mises à jour corrigent une vulnérabilité dans le chemin de recherche du répertoire utilisé pour identifier des ressources, qui est susceptible d’entraîner l’exécution de code (CVE-2016-4116).

• Nicolas Joly de Microsoft Vulnerability Research (CVE-2016-1108, CVE-2016-1109, CVE-2016-1110)
• Wen Guanxing de Pangu LAB pour sa contribution au Chromium Vulnerability Rewards Program (CVE-2016-1097)
• Mateusz Jurczyk et Natalie Silvanovich du projet Google Project Zero (CVE-2016-1096, CVE-2016-1101, CVE-2016-1102, CVE-2016-1103, CVE-2016-1104)
• Wen Guanxing de Pangu LAB (CVE-2016-1098, CVE-2016-1099, CVE-2016-1100)
• willJ de Tencent PC Manager (CVE-2016-4109, CVE-2016-4110, CVE-2016-4111, CVE-2016-4112, CVE-2016-4113, CVE-2016-4114, CVE-2016-4115)
• Ladislav Baco de CSIRT.SK (CVE-2016-4116)
• Natalie Silvanovich du projet Google Project Zero (CVE-2016-1105, CVE-2016-1106, CVE-2016-4108)
• L’équipe sécurité de NSFOCUS (CVE-2016-1107)
• Genwei Jiang de FireEye, Inc. (CVE-2016-4117)
• bee13oy de CloverSec Labs (CVE-2016-4121)
  
• Yuki Chen de l’équipe Qihoo 360 Vulcan (CVE-2016-4120, CVE-2016-4160, CVE-2016-4161, CVE-2016-4162, CVE-2016-4163)
  

13 mai 2016 : modification des versions Flash Player concernées pour Microsoft Edge et Internet Explorer 11 sous Windows 10 et 8.1, de 21.0.0.213 et versions antérieures à 21.0.0.241 et versions antérieures.  

19 mai 2016 : ajout des références CVE-2016-4120 et CVE-2016-4121, qui ont été omises par inadvertance dans la version originale du bulletin, alors qu’elles étaient corrigées dans cette version. 

3 juin 2016 : ajout des références CVE-2016-4160, CVE-2016-4161, CVE-2016-4162 et CVE-2016-4163, qui ont été omises par inadvertance dans la version originale du bulletin, alors qu’elles étaient corrigées dans cette version.