Biuletyn dotyczący zabezpieczeń firmy Adobe

Data wydania: 11 listopada 2014 r.

Identyfikator luki: APSB14-24

Priorytet: Patrz tabela poniżej

Numery CVE: CVE-2014-0573, CVE-2014-0574, CVE-2014-0576, CVE-2014-0577, CVE-2014-0581, CVE-2014-0582, CVE-2014-0583, CVE-2014-0584, CVE-2014-0585, CVE-2014-0586, CVE-2014-0588, CVE-2014-0589, CVE-2014-0590, CVE-2014-8437, CVE-2014-8438, CVE-2014-8440, CVE-2014-8441, CVE-2014-8442

Platforma: Wszystkie platformy

Firma Adobe wydała aktualizacje zabezpieczeń dla programu Adobe Flash Player dla systemów Windows, Mac OS i Linux.   Te aktualizacje usuwają luki w zabezpieczeniach mogące pozwolić osobie atakującej na przejęcie kontroli nad systemem, w którym występują. Firma Adobe zaleca użytkownikom zaktualizowanie zainstalowanych produktów do najnowszych wersji:

• Użytkownicy środowiska desktop Adobe Flash Player dla systemu Windows i Mac OS powinni przeprowadzić aktualizację do wersji Adobe Flash Player 15.0.0.223.
• Użytkownicy programu Adobe Flash Player Extended Support Release (wydania z przedłużoną pomocą techniczną) powinni przeprowadzić aktualizację do wersji Adobe Flash Player 13.0.0.252.
• Użytkownicy programu Adobe Flash Player dla systemu Linux powinni przeprowadzić aktualizację do wersji Adobe Flash Player 11.2.202.418.
• Program Adobe Flash Player zainstalowany przy użyciu przeglądarki Google Chrome lub Internet Explorer w systemie Windows 8.x zostanie automatycznie zaktualizowany do najnowszej wersji.
• Użytkownicy środowiska desktop Adobe AIR powinni przeprowadzić aktualizację do wersji 15.0.0.356.
• Użytkownicy zestawu SDK oraz zestawu SDK i kompilatora środowiska desktop Adobe AIR powinni przeprowadzić aktualizację do wersji 15.0.0.356.
• Użytkownicy środowiska Adobe AIR dla systemu Android powinni przeprowadzić aktualizację do wersji Adobe AIR 15.0.0.356.

• Adobe Flash Player 15.0.0.189 i wcześniejsze wersje
• Adobe Flash Player 13.0.0.250 i wcześniejsze wersje 13.x
• Adobe Flash Player 11.2.202.411 i wcześniejsze wersje dla systemu Linux
• Środowisko desktop Adobe AIR 15.0.0.293 i wcześniejsze wersje
• Zestaw SDK środowiska Adobe AIR 15.0.0.302 i wcześniejsze wersje
• Zestaw SDK i kompilator środowiska Adobe AIR 15.0.0.302 i wcześniejsze wersje
• Program Adobe AIR 15.0.0.293 i starsze wersje dla systemu Android 

Aby sprawdzić numer wersji programu Adobe Flash Player zainstalowanego w systemie, przejdź na stronę informacji o programie Flash Player lub kliknij prawym przyciskiem myszy zawartość Flash w programie Flash Player i wybierz z menu polecenie „Adobe (lub Macromedia) Flash Player — informacje”. W przypadku korzystania z wielu przeglądarek należy sprawdzić wersję w każdej z przeglądarek zainstalowanych w systemie.

Aby sprawdzić numer wersji programu Adobe AIR zainstalowanej na komputerze, należy postępować zgodnie z instrukcjami w notatce technicznej na temat środowiska Adobe AIR.

Firma Adobe zaleca użytkownikom aktualizację posiadanych instalacji zgodnie z poniższymi instrukcjami:

• Firma Adobe zaleca użytkownikom środowiska desktop Adobe Flash Player dla systemów Windows i Mac OS aktualizację do programu Adobe Flash Player 15.0.0.223, którą można pobrać z Centrum pobierania programu Adobe Flash Player lub za pomocą zawartego w produkcie mechanizmu uaktualnień automatycznych po wyświetleniu monitu.
• Firma Adobe zaleca użytkownikom programu Adobe Flash Player Extended Support Release (wydania z przedłużoną pomocą techniczną) aktualizację do wersji 13.0.0.252 przez odwiedzenie strony http://helpx.adobe.com/pl/flash-player/kb/archived-flash-player-versions.html.
• Firma Adobe zaleca użytkownikom programu Adobe Flash Player dla systemu Linux aktualizację do programu Adobe Flash Player 11.2.202.418. Plik aktualizacji można pobrać z Centrum pobierania programu Adobe Flash Player.
• Program Adobe Flash Player zainstalowany w przeglądarce Google Chrome zostanie automatycznie zaktualizowany do najnowszej wersji dostępnej w tej przeglądarce, czyli do programu Adobe Flash Player 15.0.0.223.
• Program Adobe Flash Player zainstalowany w przeglądarce Internet Explorer dla systemu Windows 8.x zostanie zaktualizowany automatycznie do najnowszej wersji dostępnej w tej przeglądarce, czyli do programu Adobe Flash Player 15.0.0.223.
• Firma Adobe zaleca użytkownikom środowiska desktop Adobe AIR aktualizację do wersji 15.0.0.356 za pośrednictwem Centrum pobierania programu Adobe AIR.
• Firma Adobe zaleca użytkownikom zestawu SDK środowiska Adobe AIR aktualizację do wersji 15.0.0.356 za pośrednictwem Centrum pobierania programu Adobe AIR.
• Firma Adobe zaleca użytkownikom zestawu SDK i kompilatora środowiska Adobe AIR aktualizację do wersji 15.0.0.356 za pośrednictwem Centrum pobierania programu Adobe AIR.
• Firma Adobe zaleca użytkownikom środowiska Adobe AIR dla systemu Android aktualizację do wersji Adobe AIR 15.0.0.356, która jest dostępna w sklepie Google Play.

Firma Adobe dzieli te aktualizacje na kategorie, nadając im następujące oceny priorytetu, oraz zaleca użytkownikom aktualizację posiadanych instalacji do najnowszej wersji:

Te aktualizacje usuwają krytyczne luki w zabezpieczeniach oprogramowania.

Firma Adobe wydała aktualizacje zabezpieczeń dla programu Adobe Flash Player dla systemów Windows, Mac OS i Linux.   Te aktualizacje usuwają luki w zabezpieczeniach mogące pozwolić osobie atakującej na przejęcie kontroli nad systemem, w którym występują. Firma Adobe zaleca użytkownikom zaktualizowanie zainstalowanych produktów do najnowszych wersji:

• Użytkownicy środowiska desktop Adobe Flash Player dla systemu Windows i Mac OS powinni przeprowadzić aktualizację do wersji Adobe Flash Player 15.0.0.223.
• Użytkownicy programu Adobe Flash Player Extended Support Release (wydania z przedłużoną pomocą techniczną) powinni przeprowadzić aktualizację do wersji Adobe Flash Player 13.0.0.252.
• Użytkownicy programu Adobe Flash Player dla systemu Linux powinni przeprowadzić aktualizację do wersji Adobe Flash Player 11.2.202.418.
• Program Adobe Flash Player zainstalowany przy użyciu przeglądarki Google Chrome lub Internet Explorer w systemie Windows 8.x zostanie automatycznie zaktualizowany do najnowszej wersji.
• Użytkownicy środowiska desktop Adobe AIR powinni przeprowadzić aktualizację do wersji 15.0.0.356.
• Użytkownicy zestawu SDK oraz zestawu SDK i kompilatora środowiska desktop Adobe AIR powinni przeprowadzić aktualizację do wersji 15.0.0.356.
• Użytkownicy środowiska Adobe AIR dla systemu Android powinni przeprowadzić aktualizację do wersji Adobe AIR 15.0.0.356.

Te aktualizacje usuwają luki w zabezpieczeniach polegające na uszkadzaniu zawartości pamięci, które mogą prowadzić do wykonania kodu (CVE-2014-0576, CVE-2014-0581, CVE-2014-8440, CVE-2014-8441).

Te aktualizacje usuwają lukę w zabezpieczeniach dotyczącą używania zasobów po ich zwolnieniu, która może spowodować wykonanie kodu (CVE-2014-0573, CVE-2014-0588, CVE-2014-8438).

Te aktualizacje usuwają lukę w zabezpieczeniach polegającą na dwukrotnym zwolnieniu pamięci, która może spowodować wykonanie kodu (CVE-2014-0574).

Te aktualizacje usuwają luki w zabezpieczeniach polegające na fałszowaniu tożsamości, które mogą prowadzić do wykonania kodu (CVE-2014-0577, CVE-2014-0584, CVE-2014-0585, CVE-2014-0586, CVE-2014-0590).

Te aktualizacje usuwają luki w zabezpieczeniach polegające na przepełnieniu bufora sterty, które mogą prowadzić do wykonania kodu (-0582, CVE-2014-, CVE-2014-0589).

Te aktualizacje usuwają lukę pozwalającą na ujawnienie informacji, które mogą posłużyć do przechwycenia tokenów sesji (CVE-2014-8437).

Te aktualizacje usuwają luki w zabezpieczeniach polegające na przepełnieniu bufora sterty, które mogą posłużyć do podniesienia poziomu uprawnień z niskiego do średniego (CVE-2014-0583).

Te aktualizacje usuwają problem z zezwoleniami, który może umożliwić podniesienie poziomu uprawnień z niskiego do średniego (CVE-2014-8442).

Firma Adobe składa podziękowania następującym osobom i organizacjom za zgłoszenie luk w zabezpieczeniach oraz za współpracę z firmą Adobe w celu ochrony naszych klientów:

• Ian Beer z projektu Google Project Zero (CVE-2014-0584, CVE-2014-0585, CVE-2014-0586, CVE-2014-0589, CVE-2014-0590)
• bilou pracujący w ramach programu nagród Chromium (CVE-2014-0574)
• bilou w ramach inicjatywy iDefense Vulnerability Contributor Program firmy Verisign (CVE-2014-0588, CVE-2014-8440)
• Behrang Fouladi Azarnaminy i Axel Souchet w ramach programu Microsoft Vulnerability Research (CVE-2014-8442)
• Haifei Li z zespołu McAfee Labs IPS (CVE-2014-0583)
• Liu Jincheng i Wen Guanxing z firmy Venustech ADLAB (CVE-2014-8438)
• Nicolas Joly (CVE-2014-0582)
• Lucas Leong z firmy TrendMicro (CVE-2014-0581)
• Tavis Ormandy i Chris Evans z projektu Google Project Zero (CVE-2014-0573, CVE-2014-0576)
• Natalie Silvanovich pracująca w ramach projektu Google Project Zero (CVE-2014-0577)
• SuperHei z firmy KnownSec (CVE-2014-8441)
• Anonimowy użytkownik (CVE-2014-8437)