Biuletyn dotyczący zabezpieczeń firmy Adobe

Data wydania: 12 maja 2015 r.

Ostatnia aktualizacja: 3 lipca 2015 r.

Identyfikator luki: APSB15-09

Priorytet: Patrz tabela poniżej

Numery CVE: CVE-2015-3044, CVE-2015-3077, CVE-2015-3078, CVE-2015-3079, CVE-2015-3080, CVE-2015-3081, CVE-2015-3082, CVE-2015-3083, CVE-2015-3084, CVE-2015-3085, CVE-2015-3086, CVE-2015-3087, CVE-2015-3088, CVE-2015-3089, CVE-2015-3090, CVE-2015-3091, CVE-2015-3092, CVE-2015-3093

Platforma: Wszystkie platformy

Firma Adobe wydała aktualizacje zabezpieczeń dla programu Adobe Flash Player dla systemów Windows, Mac OS i Linux. Te aktualizacje usuwają luki w zabezpieczeniach mogące pozwolić osobie atakującej na przejęcie kontroli nad systemem, w którym występują. Firma Adobe zaleca użytkownikom zaktualizowanie zainstalowanych produktów do najnowszych wersji:

• Użytkownicy środowiska desktop Adobe Flash Player dla systemów Windows i Macintosh powinni przeprowadzić aktualizację do wersji Adobe Flash Player 17.0.0.188.
• Użytkownicy programu Adobe Flash Player Extended Support Release (wydania z przedłużoną pomocą techniczną) powinni przeprowadzić aktualizację do wersji Adobe Flash Player 13.0.0.289.
• Użytkownicy programu Adobe Flash Player dla systemu Linux powinni przeprowadzić aktualizację do wersji Adobe Flash Player 11.2.202.460.
• Program Adobe Flash Player zainstalowany przy użyciu przeglądarki Google Chrome lub programu Internet Explorer w systemie Windows 8.x zostanie automatycznie zaktualizowany do wersji 17.0.0.188.
• Użytkownicy środowiska desktop Adobe AIR powinni przeprowadzić aktualizację do wersji 17.0.0.172.
• Użytkownicy zestawu SDK oraz zestawu SDK i kompilatora środowiska desktop Adobe AIR powinni przeprowadzić aktualizację do wersji 17.0.0.172.

• Adobe Flash Player 17.0.0.169 i starsze wersje
• Adobe Flash Player 13.0.0.281 i starsze wersje 13.x
• Adobe Flash Player 11.2.202.457 i starsze wersje 11.x
• Środowisko desktop AIR 17.0.0.144 i starsze wersje
• Zestaw SDK środowiska AIR oraz zestaw SDK i kompilator 17.0.0.144 i starsze wersje

Aby sprawdzić numer wersji programu Adobe Flash Player zainstalowanego w systemie, przejdź na stronę informacji o programie Flash Player lub kliknij prawym przyciskiem myszy zawartość Flash w programie Flash Player i wybierz z menu polecenie „Adobe (lub Macromedia) Flash Player — informacje”. W przypadku korzystania z wielu przeglądarek należy sprawdzić wersję w każdej z przeglądarek zainstalowanych w systemie.

Aby sprawdzić numer wersji programu Adobe AIR zainstalowanej na komputerze, należy postępować zgodnie z instrukcjami w notatce technicznej na temat środowiska Adobe AIR.

Firma Adobe zaleca użytkownikom aktualizację posiadanych instalacji zgodnie z poniższymi instrukcjami: 

• Firma Adobe zaleca użytkownikom środowiska Adobe Flash Player Desktop Runtime dla systemów Windows i Mac OS X aktualizację programu Adobe Flash Player do wersji 17.0.0.188. Plik aktualizacji można pobrać z Centrum pobierania programu Adobe Flash Player lub za pomocą zawartego w produkcie mechanizmu uaktualnień automatycznych (po wyświetleniu monitu). 

• Firma Adobe zaleca użytkownikom programu Adobe Flash Player Extended Support Release (wydania z przedłużoną pomocą techniczną) aktualizację do wersji 13.0.0.289 przez odwiedzenie strony http://helpx.adobe.com/pl/flash-player/kb/archived-flash-player-versions.html. 

• Firma Adobe zaleca użytkownikom programu Adobe Flash Player dla systemu Linux aktualizację do wersji Adobe Flash Player 11.2.202.460, którą można pobrać z _plCentrum pobierania programu Adobe Flash Player.

• Program Adobe Flash Player zainstalowany w przeglądarce Google Chrome zostanie automatycznie zaktualizowany do najnowszej wersji dostępnej w tej przeglądarce, czyli do programu Adobe Flash Player 17.0.0.188. 

• Program Adobe Flash Player zainstalowany w przeglądarce Internet Explorer dla systemu Windows 8.x zostanie zaktualizowany automatycznie do najnowszej wersji dostępnej w tej przeglądarce, czyli do programu Adobe Flash Player 17.0.0.188. 

• Firma Adobe zaleca użytkownikom środowiska desktop Adobe AIR aktualizację do wersji 17.0.0.172 przez odwiedzenie Centrum pobierania programu Adobe AIR.  

• Firma Adobe zaleca użytkownikom zestawu SDK środowiska Adobe AIR aktualizację do wersji 17.0.0.172 przez odwiedzenie Centrum pobierania programu Adobe AIR.  

• Firma Adobe zaleca użytkownikom zestawu SDK i kompilatora środowiska Adobe AIR aktualizację do wersji 17.0.0.172 poprzez odwiedzenie Centrum pobierania programu Adobe AIR.

Firma Adobe dzieli te aktualizacje na kategorie, nadając im następujące oceny priorytetu, oraz zaleca użytkownikom aktualizację posiadanych instalacji do najnowszej wersji:

Te aktualizacje usuwają krytyczne luki w zabezpieczeniach oprogramowania.

Firma Adobe wydała aktualizacje zabezpieczeń dla programu Adobe Flash Player dla systemów Windows, Mac OS i Linux.   Te aktualizacje usuwają luki w zabezpieczeniach mogące pozwolić osobie atakującej na przejęcie kontroli nad systemem, w którym występują.  Firma Adobe zaleca użytkownikom zaktualizowanie zainstalowanych produktów do najnowszych wersji:

• Użytkownicy środowiska desktop Adobe Flash Player dla systemów Windows i Macintosh powinni przeprowadzić aktualizację do wersji Adobe Flash Player 17.0.0.188.

• Użytkownicy programu Adobe Flash Player Extended Support Release (wydania z przedłużoną pomocą techniczną) powinni przeprowadzić aktualizację do wersji Adobe Flash Player 13.0.0.289.

• Użytkownicy programu Adobe Flash Player dla systemu Linux powinni przeprowadzić aktualizację do wersji Adobe Flash Player 11.2.202.460.

• Program Adobe Flash Player zainstalowany przy użyciu przeglądarki Google Chrome lub programu Internet Explorer w systemie Windows 8.x zostanie automatycznie zaktualizowany do wersji 17.0.0.188.

• Użytkownicy środowiska desktop Adobe AIR powinni przeprowadzić aktualizację do wersji 17.0.0.172.

• Użytkownicy zestawu SDK oraz zestawu SDK i kompilatora środowiska desktop Adobe AIR powinni przeprowadzić aktualizację do wersji 17.0.0.172.

Te aktualizacje usuwają luki w zabezpieczeniach powodujące uszkodzenie zawartości pamięci, które mogą prowadzić do wykonania kodu (-3078, -3089, -3090, -3093, CVE-2015-, CVE-2015-, CVE-2015-, CVE-2015).

Te aktualizacje usuwają lukę w zabezpieczeniach polegającą na przepełnieniu sterty, która może spowodować wykonanie kodu (CVE-2015-3088). 

Te aktualizacje usuwają problem znany jako TOCTOU (ang. time-of-check time-of-use) dotyczący warunków wykonania operacji, który może spowodować ominięcie trybu chronionego w programie Internet Explorer (CVE-2015-3081). 

Te aktualizacje usuwają problem z omijaniem weryfikacji, który może zostać wykorzystany do zapisania dowolnych danych w systemie plików na prawach użytkownika (CVE-2015-3082, CVE-2015-3083, CVE-2015-3085).  

Te aktualizacje usuwają lukę w zabezpieczeniach polegającą na przekroczeniu zakresu liczb całkowitych, która może spowodować wykonanie kodu (CVE-2015-3087). 

Te aktualizacje usuwają lukę w zabezpieczeniach polegającą na fałszowaniu typu, która może prowadzić do wykonania kodu (CVE-2015-3077, CVE-2015-3084, CVE-2015-3086).

Te aktualizacje usuwają lukę w zabezpieczeniach dotyczącą używania zasobu po zwolnieniu, która może spowodować wykonanie kodu (CVE-2015-3080).

Te aktualizacje usuwają luki w zabezpieczeniach dotyczące wycieków pamięci, które mogą zostać użyte do obejścia techniki ASLR (CVE-2015-3091, CVE-2015-3092). 

Te aktualizacje usuwają lukę w zabezpieczeniach umożliwiającą ominięcie zabezpieczeń, która może prowadzić do ujawnienia informacji (CVE-2015-3079), oraz zapewniają dodatkową ochronę przed luką CVE-2015-3044. 

Firma Adobe składa podziękowania następującym osobom i organizacjom za zgłoszenie luk w zabezpieczeniach oraz za współpracę z firmą Adobe w celu ochrony naszych klientów:

• bilou, pracujący w ramach programu Chromium Vulnerability Reward Program (CVE-2015-3080, CVE-2015-3093, CVE-2015-3089, CVE-2015-3087, CVE-2015-3088)   

• Chris Evans z projektu Google Project Zero (CVE-2015-3078, CVE-2015-3090, CVE-2015-3091, CVE-2015-3092)

• Jietao Yang i Jihui Lu z zespołu KeenTeam (@K33nTeam) (CVE-2015-3083)

• Jietao Yang z zespołu KeenTeam (@K33nTeam) (CVE-2015-3082) 

• Jihui Lu z zespołu KeenTeam (@K33nTeam) (CVE-2015-3081) 

• Jouko Pynnönen z Klikki Oy i Bas Venis (CVE-2015-3044, CVE-2015-3079)

• Natalie Silvanovich z projektu Google Project Zero (CVE-2015-3077, CVE-2015-3084, CVE-2015-3086) 

• Nicolas Joly pracujący w ramach programu Zero Day Initiative firmy HP (CVE-2015-3085)

3 lipca 2015 r.: Dodano uznanie dla Basa Venisa za niezależne zgłoszenie problemów CVE-2015-3044 i CVE-2015-3079.