Biuletyn dotyczący zabezpieczeń firmy Adobe

Data wydania: 14 kwietnia 2015

Ostatnia aktualizacja: 11 sierpnia 2015

Identyfikator luki: APSB15-06

Priorytet: Patrz tabela poniżej

Numer CVE: CVE-2015-0346, CVE-2015-0347, CVE-2015-0348, CVE-2015-0349, CVE-2015-0350, CVE-2015-0351, CVE-2015-0352, CVE-2015-0353, CVE-2015-0354, CVE-2015-0355, CVE-2015-0356, CVE-2015-0357, CVE-2015-0358, CVE-2015-0359, CVE-2015-0360, CVE-2015-3038, CVE-2015-3039, CVE-2015-3040, CVE-2015-3041, CVE-2015-3042, CVE-2015-3043, CVE-2015-3044 

Platforma: Wszystkie platformy

Firma Adobe wydała aktualizacje zabezpieczeń dla programu Adobe Flash Player dla systemów Windows, Mac OS i Linux.   Te aktualizacje usuwają luki w zabezpieczeniach mogące pozwolić osobie atakującej na przejęcie kontroli nad systemem, w którym występują.  

Firma Adobe wie o zgłoszeniu świadczącym o tym, że istnieje program wykorzystujący lukę CVE-2015-3043, i zaleca użytkownikom aktualizację posiadanych instalacji produktów do najnowszych wersji: 

• Użytkownicy środowiska desktop Adobe Flash Player dla systemów Windows i Macintosh powinni przeprowadzić aktualizację do wersji Adobe Flash Player 17.0.0.169. 
• Użytkownicy programu Adobe Flash Player Extended Support Release (wydania z przedłużoną pomocą techniczną) powinni przeprowadzić aktualizację do wersji Adobe Flash Player 13.0.0.281. 
• Użytkownicy programu Adobe Flash Player dla systemu Linux powinni przeprowadzić aktualizację do wersji Adobe Flash Player 11.2.202.457. 
• Program Adobe Flash Player zainstalowany w przeglądarce Google Chrome lub Internet Explorer w systemie Windows 8.x zostanie automatycznie zaktualizowany do wersji 17.0.0.169, kiedy będzie dostępna. 
• Użytkownicy środowiska desktop Adobe AIR powinni przeprowadzić aktualizację do wersji 17.0.0.172.
• Użytkownicy zestawu SDK oraz zestawu SDK i kompilatora środowiska desktop Adobe AIR powinni przeprowadzić aktualizację do wersji 17.0.0.172.

• Program Adobe Flash Player 17.0.0.134 i wcześniejsze wersje
• Adobe Flash Player 13.0.0.277 i starsze wersje 13.x
• Adobe Flash Player 11.2.202.451 i starsze wersje 11.x
• Środowisko desktop AIR 17.0.0.144 i starsze wersje
• Zestaw SDK środowiska AIR oraz zestaw SDK i kompilator 17.0.0.144 i starsze wersje

Aby sprawdzić numer wersji programu Adobe Flash Player zainstalowanego w systemie, należy przejść na stronę z informacjami o programie Flash Player lub kliknąć prawym przyciskiem myszy zawartość uruchomioną w programie Flash Player i wybrać z menu polecenie „About Adobe (or Macromedia) Flash Player” (Adobe (lub Macromedia) Flash Player — informacje). W przypadku korzystania z wielu przeglądarek należy sprawdzić wersję w każdej z przeglądarek zainstalowanych w systemie.

Aby sprawdzić numer wersji programu Adobe AIR zainstalowanej na komputerze, należy postępować zgodnie z instrukcjami w notatce technicznej na temat środowiska Adobe AIR.

Firma Adobe zaleca użytkownikom aktualizację posiadanych instalacji zgodnie z poniższymi instrukcjami: 

• Firma Adobe zaleca użytkownikom środowiska Adobe Flash Player Desktop Runtime dla systemów Windows i Mac OS X aktualizację programu Adobe Flash Player do wersji 17.0.0.169. Plik aktualizacji można pobrać z Centrum pobierania programu Adobe Flash Player lub za pomocą zawartego w produkcie mechanizmu uaktualnień automatycznych (po wyświetleniu monitu). 

• Firma Adobe zaleca użytkownikom programu Adobe Flash Player Extended Support Release (wydania z przedłużoną pomocą techniczną) aktualizację do wersji 13.0.0.281 przez odwiedzenie strony http://helpx.adobe.com/pl/flash-player/kb/archived-flash-player-versions.html. 

• Firma Adobe zaleca użytkownikom programu Adobe Flash Player dla systemu Linux aktualizację do wersji Adobe Flash Player 11.2.202.457, którą można pobrać z _plCentrum pobierania programu Adobe Flash Player.

• Program Adobe Flash Player zainstalowany w przeglądarce Google Chrome zostanie automatycznie zaktualizowany do najnowszej wersji dostępnej w tej przeglądarce, czyli do programu Adobe Flash Player 17.0.0.169. 

• Program Adobe Flash Player zainstalowany w przeglądarce Internet Explorer dla systemu Windows 8.x zostanie zaktualizowany automatycznie do najnowszej wersji Adobe Flash Player 17.0.0.169, kiedy będzie dostępna.

• Firma Adobe zaleca użytkownikom środowiska desktop Adobe AIR aktualizację do wersji 17.0.0.172 przez odwiedzenie Centrum pobierania programu Adobe AIR.  

• Firma Adobe zaleca użytkownikom zestawu SDK środowiska Adobe AIR aktualizację do wersji 17.0.0.172 przez odwiedzenie Centrum pobierania programu Adobe AIR.  

• Firma Adobe zaleca użytkownikom zestawu SDK i kompilatora środowiska Adobe AIR aktualizację do wersji 17.0.0.172 poprzez odwiedzenie Centrum pobierania programu Adobe AIR.

Firma Adobe dzieli te aktualizacje na kategorie, nadając im następujące oceny priorytetu, oraz zaleca użytkownikom aktualizację posiadanych instalacji do najnowszej wersji:

Te aktualizacje usuwają krytyczne luki w zabezpieczeniach oprogramowania.

Firma Adobe wydała aktualizacje zabezpieczeń dla programu Adobe Flash Player dla systemów Windows, Mac OS i Linux.   Te aktualizacje usuwają luki w zabezpieczeniach mogące pozwolić osobie atakującej na przejęcie kontroli nad systemem, w którym występują. 

Firma Adobe wie o zgłoszeniu świadczącym o tym, że istnieje program wykorzystujący lukę CVE-2015-3043, i zaleca użytkownikom aktualizację posiadanych instalacji produktów do najnowszych wersji: 

• Użytkownicy środowiska desktop Adobe Flash Player dla systemów Windows i Macintosh powinni przeprowadzić aktualizację do wersji Adobe Flash Player 17.0.0.169.

• Użytkownicy programu Adobe Flash Player Extended Support Release (wydania z przedłużoną pomocą techniczną) powinni przeprowadzić aktualizację do wersji Adobe Flash Player 13.0.0.281.

• Użytkownicy programu Adobe Flash Player dla systemu Linux powinni przeprowadzić aktualizację do wersji Adobe Flash Player 11.2.202.457.

• Program Adobe Flash Player zainstalowany w przeglądarce Google Chrome lub Internet Explorer w systemie Windows 8.x zostanie automatycznie zaktualizowany do wersji 17.0.0.169, kiedy będzie dostępna.

• Użytkownicy środowiska desktop Adobe AIR powinni przeprowadzić aktualizację do wersji 17.0.0.172.

• Użytkownicy zestawu SDK oraz zestawu SDK i kompilatora środowiska desktop Adobe AIR powinni przeprowadzić aktualizację do wersji 17.0.0.172.

Te aktualizacje usuwają luki w zabezpieczeniach powodujące uszkodzenie zawartości pamięci, które mogą prowadzić do wykonania kodu (CVE-2015-0347, CVE-2015-0350, CVE-2015-0352, CVE-2015-0353, CVE-2015-0354, CVE-2015-0355, CVE-2015-0360, CVE-2015-3038, CVE-2015-3041, CVE-2015-3042, CVE-2015-3043). 

Te aktualizacje usuwają lukę w zabezpieczeniach polegającą na fałszowaniu typu, która może prowadzić do wykonania kodu (CVE-2015-0356). 

Te aktualizacje usuwają lukę w zabezpieczeniach polegającą na przepełnieniu bufora, która może prowadzić do wykonania kodu (CVE-2015-0348). 

Te aktualizacje usuwają luki w zabezpieczeniach dotyczące używania zasobów po ich zwolnieniu, które mogą prowadzić do wykonania kodu (CVE-2015-0349, CVE-2015-0351, CVE-2015-0358, CVE-2015-3039). 

Te aktualizacje usuwają luki w zabezpieczeniach dotyczące dwukrotnego zwalniania zasobów, które mogą prowadzić do wykonania kodu (CVE-2015-0346, CVE-2015-0359). 

Te aktualizacje usuwają luki w zabezpieczeniach dotyczące wycieków pamięci, które mogą zostać użyte do obejścia techniki ASLR (CVE-2015-0357, CVE-2015-3040).  

Te aktualizacje usuwają lukę w zabezpieczeniach umożliwiającą ominięcie zabezpieczeń, która może prowadzić do ujawnienia informacji (CVE-2015-3044). 

Firma Adobe składa podziękowania następującym osobom i organizacjom za zgłoszenie luk w zabezpieczeniach oraz za współpracę z firmą Adobe w celu ochrony naszych klientów:

• Anonimowy (CVE-2015-3043)

• bilou, pracujący w ramach programu Chromium Vulnerability Reward Program (CVE-2015-0357, CVE-2015-0358, CVE-2015-0359)  

• Chris Evans z projektu Google Project Zero (CVE-2015-0348, CVE-2015-0352, CVE-2015-0353, CVE-2015-0354, CVE-2015-0355, CVE-2015-0360)

• instruder z zespołu Alibaba Security Research Team (CVE-2015-3038)

• Jihui Lu z zespołu KeenTeam (@K33nTeam), pracujący w ramach programu Chromium Vulnerability Reward Program (CVE-2015-0351, CVE-2015-3040, CVE-2015-3041)

• Jouko Pynnönen z Klikki Oy (CVE-2015-0346, CVE-2015-3044)

• Michele Spagnoulo z zespołu Google Security Team i Mark Brand z projektu Google Project Zero (CVE-2015-3042)

• Natalie Silvanovich pracująca w ramach projektu Google Project Zero (CVE-2015-0356)

• Natalie Silvanovich pracująca w ramach programu Google Project Zero oraz bilou pracujący w ramach programu Zero Day Initiative firmy HP (CVE-2015-3039)

• Nicolas Joly pracujący w ramach programu Zero Day Initiative firmy HP (CVE-2015-0349)

• Steven Vittitoe z projektu Google Project Zero (CVE-2015-0350)

• s3tm3m pracujący w ramach programu Zero Day Initiative firmy HP (CVE-2015-0347)

12 maja 2015 r.: Dodano wersje środowiska Adobe AIR, w których rozwiązano problemy o numerach CVE zawartych w niniejszym biuletynie. 

3 lipca 2015 r.: Dodano uznanie dla bilou pracującego w ramach programu Zero Day Initiative firmy HP za niezależne zgłoszenie problemu CVE-2015-3039.