Bollettino sulla sicurezza di Adobe

Data di pubblicazione: 11 novembre 2014

Identificatore di vulnerabilità: APSB14-24

Priorità: consultare la tabella riportata di seguito

Codici CVE: CVE-2014-0573, CVE-2014-0574, CVE-2014-0576, CVE-2014-0577, CVE-2014-0581, CVE-2014-0582, CVE-2014-0583, CVE-2014-0584, CVE-2014-0585, CVE-2014-0586, CVE-2014-0588, CVE-2014-0589, CVE-2014-0590, CVE-2014-8437, CVE-2014-8438, CVE-2014-8440, CVE-2014-8441, CVE-2014-8442

Piattaforme: tutte

Adobe ha rilasciato aggiornamenti di sicurezza per Adobe Flash Player per Windows, Macintosh e Linux.  Questi aggiornamenti risolvono vulnerabilità che possono consentire a eventuali aggressori di assumere il controllo del sistema interessato. Adobe consiglia agli utenti di aggiornare le installazioni dei prodotti in uso alle versioni più recenti:

• Gli utenti di runtime desktop di Adobe Flash Player per Windows e Macintosh devono eseguire l'aggiornamento ad Adobe Flash Player 15.0.0.223.
• Gli utenti di Adobe Flash Player Extended Support Release devono eseguire l'aggiornamento ad Adobe Flash Player 13.0.0.252.
• Gli utenti di Adobe Flash Player per Linux devono eseguire l'aggiornamento ad Adobe Flash Player 11.2.202.418.
• Se Adobe Flash Player è stato installato con Google Chrome e Internet Explorer per Windows 8.x verrà aggiornato automaticamente alla versione più recente.
• Gli utenti di runtime desktop di Adobe AIR devono eseguire l'aggiornamento alla versione 15.0.0.356.
• Gli utenti di Adobe AIR SDK e AIR SDK & Compiler devono eseguire l'aggiornamento alla versione 15.0.0.356.
• Gli utenti di Adobe AIR per Android devono eseguire l'aggiornamento ad Adobe AIR 15.0.0.356.

• Adobe Flash Player 15.0.0.189 e versioni precedenti
• Adobe Flash Player 13.0.0.250 e versioni 13.x precedenti
• Adobe Flash Player 11.2.202.411 e versioni precedenti per Linux
• Runtime desktop di Adobe AIR 15.0.0.293 e versioni precedenti
• Adobe AIR SDK 15.0.0.302 e versioni precedenti
• Adobe AIR SDK & Compiler 15.0.0.302 e versioni precedenti
• Adobe AIR 15.0.0.293 e versioni precedenti per Android 

Per verificare il numero di versione di Adobe Flash Player installato sul proprio sistema, accedere alla pagina Informazioni su Flash Player, oppure fare clic con il pulsante destro del mouse sul contenuto eseguito in Flash Player e selezionare "Informazioni su Adobe (o Macromedia) Flash Player" dal menu. Se si utilizzano più browser, eseguire la verifica per ogni browser installato sul sistema in uso.

Per verificare il numero di versione di Adobe AIR installato sul proprio sistema, seguire le istruzioni indicate nella Nota tecnica di Adobe AIR.

Adobe consiglia agli utenti di aggiornare le installazioni dei prodotti in uso attenendosi alle istruzioni fornite di seguito.

• Adobe consiglia agli utenti di runtime desktop di Adobe Flash Player per Windows e Macintosh di eseguire l'aggiornamento ad Adobe Flash Player 15.0.0.223, scaricabile dal Centro di download di Adobe Flash Player oppure utilizzando, quando richiesto, il meccanismo di aggiornamento automatico integrato nel prodotto.
• Adobe consiglia agli utenti di Adobe Flash Player Extended Support Release di eseguire l'aggiornamento alla versione 13.0.0.252, disponibile alla pagina http://helpx.adobe.com/it/flash-player/kb/archived-flash-player-versions.html.
• Adobe consiglia agli utenti di Adobe Flash Player per Linux di eseguire l'aggiornamento ad Adobe Flash Player 11.2.202.418, disponibile nel Centro di download di Adobe Flash Player.
• Se Adobe Flash Player è stato installato con Google Chrome, verrà aggiornato automaticamente alla versione più recente di Google Chrome, che includerà Adobe Flash Player 15.0.0.223.
• Se installato con Internet Explorer per Windows 8.x, Adobe Flash Player verrà aggiornato automaticamente alla versione più recente, che include Adobe Flash Player 15.0.0.223.
• Adobe consiglia agli utenti di runtime desktop di Adobe AIR di eseguire l'aggiornamento alla versione 15.0.0.356, scaricabile dal Centro di download di Adobe AIR.
• Adobe consiglia agli utenti di Adobe AIR SDK di eseguire l'aggiornamento alla versione 15.0.0.356, scaricabile dal Centro di download di Adobe AIR.
• Adobe consiglia agli utenti di Adobe AIR SDK & Compiler di eseguire l'aggiornamento alla versione 15.0.0.356, scaricabile dal Centro di download di Adobe AIR.
• Adobe consiglia agli utenti di Adobe AIR per Android di eseguire l'aggiornamento ad Adobe AIR 15.0.0.356; la nuova versione è scaricabile dallo store di Google Play.

Adobe classifica questi aggiornamenti in base ai seguenti livelli di priorità e consiglia agli utenti di aggiornare le proprie installazioni alle versioni più recenti:

Questi aggiornamenti risolvono vulnerabilità critiche del software.

Adobe ha rilasciato aggiornamenti di sicurezza per Adobe Flash Player per Windows, Macintosh e Linux.  Questi aggiornamenti risolvono vulnerabilità che possono consentire a eventuali aggressori di assumere il controllo del sistema interessato. Adobe consiglia agli utenti di aggiornare le installazioni dei prodotti in uso alle versioni più recenti:

• Gli utenti di runtime desktop di Adobe Flash Player per Windows e Macintosh devono eseguire l'aggiornamento ad Adobe Flash Player 15.0.0.223.
• Gli utenti di Adobe Flash Player Extended Support Release devono eseguire l'aggiornamento ad Adobe Flash Player 13.0.0.252.
• Gli utenti di Adobe Flash Player per Linux devono eseguire l'aggiornamento ad Adobe Flash Player 11.2.202.418.
• Se Adobe Flash Player è stato installato con Google Chrome e Internet Explorer per Windows 8.x verrà aggiornato automaticamente alla versione più recente.
• Gli utenti di runtime desktop di Adobe AIR devono eseguire l'aggiornamento alla versione 15.0.0.356.
• Gli utenti di Adobe AIR SDK e AIR SDK & Compiler devono eseguire l'aggiornamento alla versione 15.0.0.356.
• Gli utenti di Adobe AIR per Android devono eseguire l'aggiornamento ad Adobe AIR 15.0.0.356.

Questi aggiornamenti risolvono vulnerabilità di corruzione della memoria che potrebbero provocare l'esecuzione di codice (CVE-2014-0576, CVE-2014-0581, CVE-2014-8440, CVE-2014-8441).

Questi aggiornamenti risolvono vulnerabilità di tipo use-after-free che potrebbero provocare l'esecuzione di codice (CVE-2014-0573, CVE-2014-0588, CVE-2014-8438).

Questi aggiornamenti risolvono una vulnerabilità di tipo double-free che potrebbe provocare l'esecuzione di codice (CVE-2014-0574).

Questi aggiornamenti risolvono vulnerabilità legate alla confusione dei tipi di oggetto che potrebbero provocare l'esecuzione di codice (CVE-2014-0577, CVE-2014-0584, CVE-2014-0585, CVE-2014-0586, CVE-2014-0590).

Questi aggiornamenti risolvono vulnerabilità di overflow del buffer heap che potrebbero provocare l'esecuzione di codice (-0582, CVE-2014-, CVE-2014-0589).

Questi aggiornamenti risolvono una vulnerabilità di divulgazione delle informazioni che potrebbe essere sfruttata per rivelare i token di sessione (CVE-2014-8437).

Questi aggiornamenti risolvono una vulnerabilità di sovraccarico del buffer (heap) che potrebbe essere sfruttata per eseguire l'acquisizione illecita di privilegi da un livello di integrità basso a uno intermedio (CVE-2014-0583). 

Questi aggiornamenti risolvono un problema di autorizzazione che potrebbe essere sfruttato per eseguire l'acquisizione illecita di privilegi da un livello di integrità basso a uno intermedio (CVE-2014-8442).

Adobe desidera ringraziare i singoli e le organizzazioni seguenti per la collaborazione e per aver segnalato i problemi specifici, contribuendo così a proteggere la sicurezza dei nostri clienti:

• Ian Beer di Google Project Zero (CVE-2014-0584, CVE-2014-0585, CVE-2014-0586, CVE-2014-0589, CVE-2014-0590)
• bilou in collaborazione con il programma di riconoscimento Chromium (CVE-2014-0574)
• bilou tramite iDefense Vulnerability Contributor Program di Verisign (CVE-2014-0588, CVE-2014-8440)
• Behrang Fouladi Azarnaminy e Axel Souchet di Microsoft Vulnerability Research (CVE-2014-8442)
• Haifei Li del team IPS McAfee Labs (CVE-2014-0583)
• Liu Jincheng e Wen Guanxing di Venustech ADLAB (CVE-2014-8438)
• Nicolas Joly (CVE-2014-0582)
• Lucas Leong di TrendMicro (CVE-2014-0581)
• Tavis Ormandy e Chris Evans di Google Project Zero (CVE-2014-0573, CVE-2014-0576)
• Natalie Silvanovich, in collaborazione con Google Project Zero (CVE-2014-0577)
• SuperHei di KnownSec (CVE-2014-8441)
• Segnalazione anonima (CVE-2014-8437)