Bollettino sulla sicurezza di Adobe

Data di pubblicazione: 14 aprile 2015

Ultimo aggiornamento: 11 agosto 2015

Identificatore di vulnerabilità: APSB15-06

Priorità: consultare la tabella riportata di seguito

Codice CVE: CVE-2015-0346, CVE-2015-0347, CVE-2015-0348, CVE-2015-0349, CVE-2015-0350, CVE-2015-0351, CVE-2015-0352, CVE-2015-0353, CVE-2015-0354, CVE-2015-0355, CVE-2015-0356, CVE-2015-0357, CVE-2015-0358, CVE-2015-0359, CVE-2015-0360, CVE-2015-3038, CVE-2015-3039, CVE-2015-3040, CVE-2015-3041, CVE-2015-3042, CVE-2015-3043, CVE-2015-3044 

Piattaforme: tutte

Adobe ha rilasciato aggiornamenti di sicurezza per Adobe Flash Player per Windows, Macintosh e Linux.  Questi aggiornamenti risolvono vulnerabilità che possono consentire a eventuali aggressori di assumere il controllo del sistema interessato.  

Adobe è a conoscenza di una segnalazione relativa al tentativo di sfruttare la vulnerabilità CVE-2015-3043 e consiglia agli utenti di aggiornare le proprie installazioni dei prodotti alle versioni più recenti: 

• Gli utenti di runtime desktop di Adobe Flash Player per Windows e Macintosh devono eseguire l'aggiornamento ad Adobe Flash Player 17.0.0.169. 
• Gli utenti di Adobe Flash Player Extended Support Release devono eseguire l'aggiornamento ad Adobe Flash Player 13.0.0.281. 
• Gli utenti di Adobe Flash Player per Linux devono eseguire l'aggiornamento ad Adobe Flash Player 11.2.202.457. 
• Se Adobe Flash Player è stato installato con Google Chrome e Internet Explorer per Windows 8.x, verrà aggiornato automaticamente alla versione 17.0.0.169 quando disponibile. 
• Gli utenti di runtime desktop di Adobe AIR devono eseguire l'aggiornamento alla versione 17.0.0.172.
• Gli utenti di Adobe AIR SDK e AIR SDK & Compiler devono eseguire l'aggiornamento alla versione 17.0.0.172.

• Adobe Flash Player 17.0.0.134 e versioni precedenti
• Adobe Flash Player 13.0.0.277 e versioni 13.x precedenti
• Adobe Flash Player 11.2.202.451 e versioni 11.x precedenti
• Runtime desktop di AIR 17.0.0.144 e versioni precedenti
• AIR SDK & Compiler 17.0.0.144 e versioni precedenti

Per verificare il numero di versione di Adobe Flash Player installato sul vostro sistema, accedete alla pagina Informazioni su Flash Player oppure fate clic con il pulsante destro del mouse sul contenuto in esecuzione in Flash Player e selezionate "Informazioni su Adobe (o Macromedia) Flash Player" dal menu. Se si utilizzano più browser, eseguire la verifica per ogni browser installato sul sistema in uso.

Per verificare il numero di versione di Adobe AIR installato sul vostro sistema, seguite le istruzioni indicate nella Nota tecnica di Adobe AIR.

Adobe consiglia agli utenti di aggiornare le installazioni dei prodotti in uso attenendosi alle istruzioni fornite di seguito. 

• Adobe consiglia agli utenti di runtime desktop di Adobe Flash Player per Windows e Macintosh di eseguire l'aggiornamento ad Adobe Flash Player 17.0.0.169, scaricabile dal Centro di download di Adobe Flash Player oppure utilizzando, quando richiesto, il meccanismo di aggiornamento automatico integrato nel prodotto. 

• Adobe consiglia agli utenti di Adobe Flash Player Extended Support Release di eseguire l'aggiornamento alla versione 13.0.0.281, disponibile alla pagina http://helpx.adobe.com/it/flash-player/kb/archived-flash-player-versions.html. 

• Adobe consiglia a tutti gli utenti di Adobe Flash Player per Linux di eseguire l'aggiornamento ad Adobe Flash Player 11.2.202.457, scaricabile dal _itCentro di download di Adobe Flash Player. 

• Se Adobe Flash Player è stato installato con Google Chrome, verrà aggiornato automaticamente alla versione più recente di Google Chrome, che include Adobe Flash Player 17.0.0.169. 

• Se Adobe Flash Player è stato installato con Internet Explorer per Windows 8.x, verrà aggiornato automaticamente alla versione più recente di Internet Explorer (quando disponibile) che include Adobe Flash Player 17.0.0.169.

• Adobe consiglia agli utenti di runtime desktop di Adobe AIR di eseguire l'aggiornamento alla versione 17.0.0.172, scaricabile dal Centro di download di Adobe AIR.  

• Adobe consiglia agli utenti di Adobe AIR SDK di eseguire l'aggiornamento alla versione 17.0.0.172, scaricabile dal Centro di download di Adobe AIR.  

• Adobe consiglia agli utenti di Adobe AIR SDK & Compiler di eseguire l'aggiornamento alla versione 17.0.0.172, scaricabile dal Centro di download di Adobe AIR.

Adobe classifica questi aggiornamenti in base ai seguenti livelli di priorità e consiglia agli utenti di aggiornare le proprie installazioni alle versioni più recenti:

Questi aggiornamenti risolvono vulnerabilità critiche del software.

Adobe ha rilasciato aggiornamenti di sicurezza per Adobe Flash Player per Windows, Macintosh e Linux.  Questi aggiornamenti risolvono vulnerabilità che possono consentire a eventuali aggressori di assumere il controllo del sistema interessato. 

Adobe è a conoscenza di una segnalazione relativa al tentativo di sfruttare la vulnerabilità CVE-2015-3043 e consiglia agli utenti di aggiornare le proprie installazioni dei prodotti alle versioni più recenti: 

• Gli utenti di runtime desktop di Adobe Flash Player per Windows e Macintosh devono eseguire l'aggiornamento ad Adobe Flash Player 17.0.0.169.

• Gli utenti di Adobe Flash Player Extended Support Release devono eseguire l'aggiornamento ad Adobe Flash Player 13.0.0.281.

• Gli utenti di Adobe Flash Player per Linux devono eseguire l'aggiornamento ad Adobe Flash Player 11.2.202.457.

• Se Adobe Flash Player è stato installato con Google Chrome e Internet Explorer su Windows 8.x, verrà aggiornato automaticamente alla versione 17.0.0.169, quando disponibile.

• Gli utenti di runtime desktop di Adobe AIR devono eseguire l'aggiornamento alla versione 17.0.0.172.

• Gli utenti di Adobe AIR SDK e AIR SDK & Compiler devono eseguire l'aggiornamento alla versione 17.0.0.172.

Questi aggiornamenti risolvono vulnerabilità di corruzione della memoria che potrebbero provocare l'esecuzione di codice (CVE-2015-0347, CVE-2015-0350, CVE-2015-0352, CVE-2015-0353, CVE-2015-0354, CVE-2015-0355, CVE-2015-0360, CVE-2015-3038, CVE-2015-3041, CVE-2015-3042, CVE-2015-3043). 

Questi aggiornamenti risolvono una vulnerabilità legata alla confusione dei tipi di oggetto che potrebbe provocare l'esecuzione di codice (CVE-2015-0356). 

Questi aggiornamenti risolvono una vulnerabilità di sovraccarico del buffer che potrebbe provocare l'esecuzione di codice (CVE-2015-0348). 

Questi aggiornamenti risolvono vulnerabilità di tipo use-after-free che potrebbero provocare l'esecuzione di codice (CVE-2015-0349, CVE-2015-0351, CVE-2015-0358, CVE-2015-3039). 

Questi aggiornamenti risolvono vulnerabilità di tipo double-free che potrebbero provocare l'esecuzione di codice (CVE-2015-0346, CVE-2015-0359). 

Questi aggiornamenti risolvono vulnerabilità di perdita di memoria che potrebbero essere utilizzate per aggirare ASLR (CVE-2015-0357, CVE-2015-3040).  

Questi aggiornamenti risolvono una vulnerabilità di aggiramento della protezione che potrebbe provocare la divulgazione di informazioni (CVE-2015-3044). 

Adobe desidera ringraziare i singoli e le organizzazioni seguenti per la collaborazione e per aver segnalato i problemi specifici, contribuendo così a proteggere la sicurezza dei nostri clienti:

• Utente anonimo (CVE-2015-3043)

• bilou, in collaborazione con il Chromium Vulnerability Reward Program (CVE-2015-0357, CVE-2015-0358, CVE-2015-0359)  

• Chris Evans di Google Project Zero (CVE-2015-0348, CVE-2015-0352, CVE-2015-0353, CVE-2015-0354, CVE-2015-0355, CVE-2015-0360)

• instruder di Alibaba Security Research Team (CVE-2015-3038)

• Jihui Lu di KeenTeam (@K33nTeam), in collaborazione con il Chromium Vulnerability Reward Program (CVE-2015-0351, CVE-2015-3040, CVE-2015-3041)

• Jouko Pynnönen di Klikki Oy (CVE-2015-0346, CVE-2015-3044)

• Michele Spagnuolo de Google Security Team e Mark Brand di Google Project Zero (CVE-2015-3042)

• Natalie Silvanovich, in collaborazione con Google Project Zero (CVE-2015-0356)

• Natalie Silvanovich, in collaborazione con Google Project Zero, e bilou, in collaborazione con Zero Day Initiative di HP (CVE-2015-3039)

• Nicolas Joly, in collaborazione con Zero Day Initiative di HP (CVE-2015-0349)

• Steven Vittitoe di Google Project Zero (CVE-2015-0350)

• s3tm3m, in collaborazione con Zero Day Initiative di HP (CVE-2015-0347)

12 maggio 2015: sono state aggiunte versioni di Adobe AIR che risolvono le vulnerabilità elencate in questo bollettino. 

3 luglio 2015: è stato aggiunto un ringraziamento a bilou, che ha collaborato con Zero Day Initiative di HP, per aver segnalato separamente la vulnerabilità del CVE-2015-3039.