Adobe – sikkerhetsbulletin

Utgivelsesdato: 28. desember 2015

Oppdateringsdato: 23. juni 2016

Sikkerhetsproblem-ID: APSB16-01

Prioritet: Se tabellen nedenfor

CVE-numre: CVE-2015-8459, CVE-2015-8460, CVE-2015-8634, CVE-2015-8635, CVE-2015-8636, CVE-2015-8638, CVE-2015-8639, CVE-2015-8640, CVE-2015-8641, CVE-2015-8642, CVE-2015-8643, CVE-2015-8644, CVE-2015-8645, CVE-2015-8646, CVE-2015-8647, CVE-2015-8648, CVE-2015-8649, CVE-2015-8650, CVE-2015-8651, CVE-2016-0959

Plattform: Alle plattformer

Sammendrag

Adobe har lansert sikkerhetsoppdateringer for Adobe Flash Player.  Disse oppdateringene løser kritiske sikkerhetsproblemer som kan gjøre det mulig for en angriper å ta kontroll over det berørte systemet.

Adobe er klar over en rapport om at CVE-2015-8651 utnyttes i begrensede og målrettede angrep.

Berørte versjoner

• Du kan sjekke hvilken versjon av Adobe Flash Player som er installert på systemet ditt, ved å gå til siden Om Flash Player, eller ved å høyreklikke på det aktuelle innholdet som kjører i Flash Player, og velge Om Adobe (eller Macromedia) Flash Player i menyen. Hvis du bruker flere nettlesere, må du utføre denne kontrollen i alle nettleserne du har installert i systemet.  
• Kontroller hvilken Adobe AIR-versjon som er installert på systemet, ved å følge instruksjonene i Adobe AIR TechNote.

Løsning

Adobe kategoriserer disse oppdateringene etter følgende prioritetsklassifiseringer og anbefaler at brukerne oppdaterer installasjonen til den nyeste versjonen:

• Adobe anbefaler at brukere av  Adobe Flash Player Desktop Runtime for Windows and Macintosh oppdaterer til versjon 20.0.0.267 ved å gå til nedlastingssenteret for Adobe Flash Player eller via oppdateringsmekanismen i produktet når de blir bedt om det [1].
• Adobe anbefaler at brukere av Adobe Flash Player Extended Support Release oppdaterer til versjon 18.0.0.324 ved å gå til http://helpx.adobe.com/no/flash-player/kb/archived-flash-player-versions.html.
• Adobe anbefaler at rukere av Adobe Flash Player for Linux oppdaterer til Adobe Flash Player 11.2.202.559 ved å gå til nedlastingssenteret for Adobe Flash Player.
• Adobe Flash Player som er installert sammen med Google Chrome, oppdateres automatisk til den nyeste Google Chrome-versjonen, som omfattee Adobe Flash Player 20.0.0.267 for Windows, Macintosh, Linux og Chrome OS.
• Adobe Flash Player som er installert sammen med Microsoft Edge og Internet Explorer for Windows 10, blir automatisk oppdatert til den nyeste versjonen, som omfatter Adobe Flash Player 20.0.0.267. 
• Adobe Flash Player som er installert sammen med Internet Explorer 8, blir automatisk oppdatert til den nyeste Internet Explorer-versjonen, som omfatter Adobe Flash Player 20.0.0.267.
• Adobe anbefaler at brukere av AIR for skrivebordsprogrammer, AIR SDK og AIR SDK & Compiler oppdaterer til versjon 20.0.0.233 ved å gå til nedlastingssenteret for AIR eller utviklingssenteret for AIR.
• Gå til siden Hjelp for Flash Player for hjelp til installasjon av Flash Player.

Informasjon om sikkerhetsproblemet

• Disse oppdateringene løser et sikkerhetsproblem som kan føre til kjøring av kode (CVE-2015-8644).
• Disse oppdateringene løser et problem med heltallsoverflyt som kan føre til kjøring av kode (CVE-2015-8651).
• Disse oppdateringene løser problemer med sikkerhetsproblemer knyttet til «bruk etter kostnadsfri versjon», som kan føre til kjøring av kode (CVE-2016-8634, CVE-2015-8635, CVE-2015-8638, CVE-2015-8639, CVE-2015-8640, CVE-2015-8641, CVE-2015-8642, CVE-2015-8643, CVE-2015-8646, CVE-2015-8647, CVE-2015-8648, CVE-2015-8649, CVE-2015-8650, CVE-2015-0959).
• Disse oppdateringene løser sikkerhetsproblemer i forbindelse med minneskade, som kan føre til kjøring av kode (CVE-2015-8459, CVE-2015-8460, CVE-2015-8636, CVE-2015-8645).

Anerkjennelser

• Natalie Silvanovich fra Google Project Zero (CVE-2015-8644)
• Anonymous i samarbeid med HPs Zero Day Initiative (CVE-2015-8638, CVE-2015-8639, CVE-2015-8647, CVE-2015-8648, CVE-2015-8649, CVE-2015-8650)
• Yuki Chen fra Qihoo 360 Vulcan Team (CVE-2015-8640, CVE-2015-8641, CVE-2015-8642, CVE-2015-8643, CVE-2015-8646)
• Jie Zeng fra Qihoo 360 (CVE-2015-8460)
• Ben Hawkes, Mateusz Jurczyk og Natalie Silvanovich fra Google Project Zero (CVE-2015-8634, CVE-2015-8635, CVE-2015-8636)
• Kai Kang fra Tencents Xuanwu LAB (CVE-2015-8459)
• Jaehun Jeong (@n3sk) fra WINS, WSEC Analysis Team i samarbeid med Chromium Vulnerability Reward Program (CVE-2015-8645)
  
• Nicolas Joly fra Microsoft Vulnerability Research (CVE-2016-0959)

Revisjoner

29. desember 2015: Fjernet anerkjennelse for CVE-2015-8651. 

23. juni 2016: Vi har lagt til referanse for CVE-2016-0959, som ble løst i disse oppdateringene, men som utilsiktet ble utelatt fra bulletinen.