Biuletyn dotyczący zabezpieczeń firmy Adobe

Data udostępnienia: 11 sierpnia 2015

Ostatnia aktualizacja: 2 września 2015 r.

Identyfikator luki: APSB15-19

Priorytet: Patrz tabela poniżej

Numery CVE: CVE-2015-5125, CVE-2015-5127, CVE-2015-5129, CVE-2015-5130, CVE-2015-5131, CVE-2015-5132, CVE-2015-5133, CVE-2015-5134, CVE-2015-5539, CVE-2015-5540, CVE-2015-5541, CVE-2015-5544, CVE-2015-5545, CVE-2015-5546, CVE-2015-5547, CVE-2015-5548, CVE-2015-5549, CVE-2015-5550, CVE-2015-5551, CVE-2015-5552, CVE-2015-5553, CVE-2015-5554, CVE-2015-5555, CVE-2015-5556, CVE-2015-5557, CVE-2015-5558, CVE-2015-5559, CVE-2015-5560, CVE-2015-5561, CVE-2015-5562, CVE-2015-5563, CVE-2015-5564, CVE-2015-5565, CVE-2015-5566, CVE-2015-6682

Platforma: wszystkie platformy

Firma Adobe wydała aktualizacje zabezpieczeń programu Adobe Flash Player.  Te aktualizacje usuwają krytyczne luki w zabezpieczeniach mogące pozwolić osobie atakującej na przejęcie kontroli nad systemem, w którym występują.

• Aby sprawdzić numer wersji programu Adobe Flash Player zainstalowanego w systemie, przejdź na stronę informacji o programie Flash Player lub kliknij prawym przyciskiem myszy zawartość Flash w programie Flash Player i wybierz z menu polecenie „Adobe (lub Macromedia) Flash Player — informacje”. W przypadku korzystania z wielu przeglądarek należy sprawdzić wersję w każdej z przeglądarek zainstalowanych w systemie.  

• Aby sprawdzić numer wersji programu Adobe AIR zainstalowanej na komputerze, należy postępować zgodnie z instrukcjami w notatce technicznej na temat środowiska Adobe AIR. 

Firma Adobe dzieli te aktualizacje na kategorie, nadając im następujące oceny ważności, oraz zaleca użytkownikom zaktualizowanie zainstalowanego oprogramowania do najnowszej wersji:

• Firma Adobe zaleca użytkownikom środowiska Adobe Flash Player Desktop Runtime dla systemów Windows i Mac OS X aktualizację programu Adobe Flash Player do wersji 18.0.0.232. Plik aktualizacji można pobrać z Centrum pobierania programu Adobe Flash Player lub za pomocą zawartego w produkcie mechanizmu uaktualnień automatycznych po wyświetleniu monitu [1].
• Firma Adobe zaleca użytkownikom programu Adobe Flash Player Extended Support Release (wydania z przedłużoną pomocą techniczną) [2] aktualizację do wersji 18.0.0.232 przez odwiedzenie strony http://helpx.adobe.com/pl/flash-player/kb/archived-flash-player-versions.html.
• Firma Adobe zaleca użytkownikom programu Adobe Flash Player dla systemu Linux aktualizację do programu Adobe Flash Player 11.2.202.508. Plik aktualizacji można pobrać z Centrum pobierania programu Adobe Flash Player. 
• Program Adobe Flash Player zainstalowany w przeglądarce Google Chrome zostanie zaktualizowany automatycznie do najnowszej wersji dostępnej w tej przeglądarce, czyli do programu Adobe Flash Player 18.0.0.232 w systemach Windows i Mac OS oraz 18.0.0.233 w systemach Linux i Chrome OS.
• Program Adobe Flash Player zainstalowany w przeglądarce Microsoft Edge dla systemu Windows 10 zostanie zaktualizowany automatycznie do najnowszej wersji dostępnej w tej przeglądarce, czyli do programu Adobe Flash Player 18.0.0.232.
• Program Adobe Flash Player zainstalowany w przeglądarce Internet Explorer 10 i 11 dla systemu Windows 8.0 i 8.1 zostanie zaktualizowany automatycznie do najnowszej wersji dostępnej w tej przeglądarce, czyli do programu Adobe Flash Player 18.0.0.232.
  
• Firma Adobe zaleca użytkownikom środowiska desktop AIR, zestawu AIR SDK oraz zestawu SDK i kompilatora środowiska AIR aktualizację do wersji 18.0.0.199 za pośrednictwem Centrum pobierania środowiska AIR lub Centrum deweloperów środowiska AIR. 
• Pomoc dotyczącą instalacji programu Flash Player można znaleźć na stronie Pomocy programu Flash Player.

• Te aktualizacje usuwają luki w zabezpieczeniach dotyczące błędnego rozpoznania typu obiektu, które mogą prowadzić do wykonania kodu (CVE-2015-5554, CVE-2015-5555, CVE-2015-5558, CVE-2015-5562).
• Te aktualizacje zawierają dodatkowe obostrzenia poprawek wprowadzonych w wersji 18.0.0.209 w celu ochrony przed uszkodzeniem długości wektorów (CVE-2015-5125).
• Te aktualizacje usuwają luki typu „use-after-free”, które mogą pozwolić na uruchomienie kodu (CVE-2015-5550, CVE-2015-5551, CVE-2015-5556, CVE-2015-5130, CVE-2015-5134, CVE-2015-5539, CVE-2015-5540, CVE-2015-5557, CVE-2015-5559, CVE-2015-5127, CVE-2015-5563, CVE-2015-5561, CVE-2015-5564, CVE-2015-5565, CVE-2015-5566, CVE-2015-6682).
• Te aktualizacje usuwają luki w zabezpieczeniach polegające na przepełnieniu bufora sterty, które mogą prowadzić do wykonania kodu (-5129, CVE-2015-, CVE-2015-5541).
• Te aktualizacje usuwają luki w zabezpieczeniach polegające na przepełnieniu bufora, które mogą prowadzić do wykonania kodu (CVE-2015-5131, CVE-2015-5132, CVE-2015-5133).
• Te aktualizacje usuwają luki w zabezpieczeniach powodujące uszkodzenie zawartości pamięci, które mogą pozwolić na uruchomienie kodu (CVE-2015-5544, CVE-2015-5545, CVE-2015-5546, CVE-2015-5547, CVE-2015-5548, CVE-2015-5549, CVE-2015-5552, CVE-2015-5553).
• Te aktualizacje usuwają lukę w zabezpieczeniach związaną z przekroczeniem zakresu liczb całkowitych, która może prowadzić do wykonania kodu (CVE-2015-5560).

Firma Adobe składa podziękowania następującym osobom i organizacjom za zgłoszenie luk w zabezpieczeniach oraz za współpracę z firmą Adobe w celu ochrony naszych klientów: 

• Kai Lu z laboratorium FortiGuard firmy Fortinet (CVE-2015-5129)
• Chris Evans, Ben Hawkes i Mateusz Jurczyk z zespołu Google Project Zero (CVE-2015-5131, CVE-2015-5132, CVE-2015-5133, CVE-2015-5544, CVE-2015-5545, CVE-2015-5546, CVE-2015-5547, CVE-2015-5548)
• Wu Ha z zespołu Alibaba Security Research Team (CVE-2015-5566)
• Natalie Silvanovich z zespołu Google Project Zero (CVE-2015-5550, CVE-2015-5551, CVE-2015-5554, CVE-2015-5555, CVE-2015-5556, CVE-2015-5134, CVE-2015-5539, CVE-2015-5540, CVE-2015-5557, CVE-2015-5558, CVE-2015-5562, CVE-2015-5560, CVE-2015-5564, CVE-2015-5565)
• Chris Evans z projektu Google Project Zero (CVE-2015-5549, CVE-2015-5125)
• bilou, pracujący w ramach programu Chromium Vulnerability Reward Program (CVE-2015-5563, CVE-2015-5561, CVE-2015-5130, CVE-2015-5127)
• Yuki Chen z zespołu Qihoo 360 Vulcan (CVE-2015-5552, CVE-2015-5553, CVE-2015-5559)
• instruder z zespołu Alibaba Security Research Team (CVE-2015-5541)
• Peter Pi z TrendMicro (CVE-2015-6682)

11 sierpnia 2015: zaktualizowano tabelę zagrożonych wersji o program Adobe Flash Player dla Microsoft Edge i Internet Explorer 11 w systemie Windows 10.  Dodano też odniesienie do CVE-2015-5564, które zostało przypadkowo pominięte w biuletynie.     

12 sierpnia 2015: dodano odniesienie do poprawki CVE-2015-5565, która dotyczyła luki typu „use-after-free” podobnej do błędu CVE-2015-3107.  Błąd CVE-2015-3107 został rozwiązany w poprawce APSB15-11, obostrzonej w poprawce APSB15-19.  Usunięto też błąd CVE-2015-5128, który został wcześniej sklasyfikowany jako problem dotyczący błędnego rozpoznania typu obiektu. Obecna klasyfikacja to niepodatna na złośliwe wykorzystanie awaria wynikająca z wyjątku wskaźnika null.

20 sierpnia 2015 r.: Problem o numerze CVE-2015-5124 został zastąpiony przez CVE-2015-5566. Problem o numerze CVE-2015-5124 został rozwiązany w biuletynie APSB15-16 i nieumyślnie użyty ponownie w biuletynie APSB15-19. 

2 września 2015 r.: Dodano odwołanie do poprawki o numerze CVE-2015-6682 dotyczącej luki typu „use-after-free”, która została rozwiązana w tej wersji, ale przypadkowo pominięta w tym biuletynie.