Adobe – sikkerhetsbulletin

Utgivelsesdato: 13. oktober 2015

Sist oppdatert: 7. januar 2016

Sikkerhetsproblemidentifikator: APSB15-25

Prioritet: Se tabellen nedenfor

CVE-numre: CVE-2015-5569, CVE-2015-7625, CVE-2015-7626, CVE-2015-7627, CVE-2015-7628, CVE-2015-7629, CVE-2015-7630, CVE-2015-7631, CVE-2015-7632, CVE-2015-7633, CVE-2015-7635, CVE-2015-7636, CVE-2015-7637, CVE-2015-7638, CVE-2015-7639, CVE-2015-7640, CVE-2015-7641, CVE-2015-7642, CVE-2015-7643, CVE-2015-7644

Plattform: Alle plattformer

Adobe har lansert sikkerhetsoppdateringer for Adobe Flash Player.  Disse oppdateringene løser kritiskesikkerhetsproblemer som kan gjøre det mulig for en angriper å ta kontroll over det berørte systemet.

• Du sjekker Adobe Flash Player-versjonsnummeret ved å gå til siden About Flash Player eller høyreklikke på det aktuelle innholdet i Flash Player og velge "About Adobe (eller Macromedia) Flash Player" i menyen. Hvis du bruker flere nettlesere, må du utføre denne kontrollen i alle nettleserne du har installert i systemet.  

• Kontroller hvilken Adobe AIR-versjon som er installert på systemet, ved å følge instruksjonene i Adobe AIR TechNote. 

Adobe kategoriserer disse oppdateringene med følgende prioritetsklassifiseringer og anbefaler at brukerne oppdaterer installasjonen til den nyeste versjonen:

• Adobe anbefaler brukere av Adobe Flash Player Desktop Runtime for Windows og Macintosh å oppdatere til Adobe Flash Player 19.0.0.207, ved å gå til nedlastingssenteret for Adobe Flash Player, eller via oppdateringsmekanismen i produktet når det blir bedt om det [1].
• Adobe anbefaler brukere av Adobe Flash Player Extended Support Release å oppdatere til versjon 18.0.0.252 ved å gå til http://helpx.adobe.com/no/flash-player/kb/archived-flash-player-versions.html.
• Adobe anbefaler brukere av Adobe Flash Player for Linux å oppdatere til Adobe Flash Player 11.2.202.535 ved å gå til nedlastingssenteret for Adobe Flash Player. 
• Adobe Flash Player som er installert sammen med Google Chrome, oppdateres automatisk til den nyeste Google Chrome-versjonen, som vil omfatte Adobe Flash Player 19.0.0.207 på Windows, Macintosh, Linux og Chrome OS.
• Adobe Flash Player som er installert sammen med Microsoft Edge, blir automatisk oppdatert til den nyeste versjonen, som vil omfatte Adobe Flash Player 19.0.0.207.
• Adobe Flash Player som er installert sammen med Internet Explorer 10 og 11 for Windows 8.0 og 8.1, blir automatisk oppdatert til den nyeste Internet Explorer-versjonen, som vil omfatte Adobe Flash Player 19.0.0.207.
  
• Adobe anbefaler brukere av AIR desktop runtime, AIR SDK og AIR SDK & Compiler, å oppdatere til versjon 19.0.0.213 ved å gå til nedlastingssenteret for AIR eller utviklingssenteret for AIR. 
• Gå til siden Hjelp for Flash Player for hjelp til installasjon av Flash Player.

• Disse oppdateringene løser et sikkerhetsproblem som kan utnyttes til å omgå policyen for samme opprinnelse føre til avsløring av informasjon (CVE-2015-7628).
• Disse oppdateringene omfatter en defense-in-depth-funksjon i API-et for Flash-mekleren (CVE-2015-5569).
• Disse oppdateringene løser use-after-free-sikkerhetsproblemer som kan føre til kjøring av kode (CVE-2015-7629, CVE-2015-7631, CVE-2015-7635, CVE-2015-7636, CVE-2015-7637, CVE-2015-7638, CVE-2015-7639, CVE-2015-7640, CVE-2015-7641, CVE-2015-7642, CVE-2015-7643, CVE-2015-7644).
• Disse oppdateringene løser et problem med bufferoverflyt som kan føre til kjøring av kode (CVE-2015-7632).
• Disse oppdateringene løser sikkerhetsproblemer med minneødeleggelse som kan føre til kjøring av kode (CVE-2015-7625, CVE-2015-7626, CVE-2015-7627, CVE-2015-7630, CVE-2015-7633).
  

Adobe takker følgende personer og firmaer for at de rapporterte disse sikkerhetsproblemene og samarbeider med oss for å hjelpe oss med å beskytte våre kunders sikkerhet: 

• Dave "dwizzzle" Weston (CVE-2015-5569)
• bee13oy i samarbeid med Chromium Vulnerability Rewards program (CVE-2015-7633)
• instruder fra Alibaba Security Threat Information Center i samarbeid med HPs Zero Day Initiative (CVE-2015-7629)
• Anonymous i samarbeid med HPs Zero Day Initiative (CVE-2015-7632)
• Nicolas Joly og Natalie Silvanovich fra Google Project Zero (CVE-2015-7644)
• bilou i samarbeid med HPs Zero Day Initiative (CVE-2015-7631)
• bilou i samarbeid med HPs Zero Day Initiative og Yuki Chen fra Qihoo 360 Vulcan Team (CVE-2015-7643)
• instruder fra Alibaba Security Threat Information Center (CVE-2015-7630)
• Jincheng Liu og Lijun Cheng fra Alibaba Security Research Team (CVE-2015-7625, CVE-2015-7626)
• Kai Kang fra Tencent's Xuanwu LAB (CVE-2015-7627)
• Yuki Chen fra Qihoo 360 Vulcan Team (CVE-2015-7635, CVE-2015-7636, CVE-2015-7637, CVE-2015-7638, CVE-2015-7639, CVE-2015-7640, CVE-2015-7641, CVE-2015-7642, CVE-2015-7643)
  
• Mr. Tokuji Akamine (CVE-2015-7628)
  

14. oktober 2015: Lagt til CVE-er for anerkjennelse av Yuki Chen fra Qihoo 360 Vulcan Team

5. november 2015: Fjernet CVE-2015-7634 fra bulletinen.  Denne CVE-en var opprinnelig klassifisert som problem med minneødeleggelse, men er senere omklassifisert som et et ikke-utnyttbart dereferanseproblem med nullpeker.

7. januar 2016: Lagt til anerkjennelse av Mr. Tokuji Akamine for avsløring av CVE-2015-7628