Biuletyn dotyczący zabezpieczeń firmy Adobe

Data wydania: 21 września 2015

Ostatnia aktualizacja: 23 września 2015

Identyfikator luki: APSB15-23

Priorytet: Patrz tabela poniżej

Numer CVE: CVE-2015-5567, CVE-2015-5568, CVE-2015-5570, CVE-2015-5571, CVE-2015-5572, CVE-2015-5573, CVE-2015-5574, CVE-2015-5575, CVE-2015-5576, CVE-2015-5577, CVE-2015-5578, CVE-2015-5579, CVE-2015-5580, CVE-2015-5581, CVE-2015-5582, CVE-2015-5584, CVE-2015-5587, CVE-2015-5588, CVE-2015-6676, CVE-2015-6677, CVE-2015-6678, CVE-2015-6679, CVE-2015-6682

Platforma: wszystkie platformy

Firma Adobe wydała aktualizacje zabezpieczeń programu Adobe Flash Player. Te aktualizacje usuwają krytyczne luki w zabezpieczeniach mogące pozwolić osobie atakującej na przejęcie kontroli nad systemem, w którym występują.

• Aby sprawdzić numer wersji programu Adobe Flash Player zainstalowanego w systemie, przejdź na stronę informacji o programie Flash Player lub kliknij prawym przyciskiem myszy zawartość Flash w programie Flash Player i wybierz z menu polecenie „Adobe (lub Macromedia) Flash Player — informacje”. W przypadku korzystania z wielu przeglądarek należy sprawdzić wersję w każdej z przeglądarek zainstalowanych w systemie.  

• Aby sprawdzić numer wersji programu Adobe AIR zainstalowanej na komputerze, należy postępować zgodnie z instrukcjami w notatce technicznej na temat środowiska Adobe AIR. 

Firma Adobe dzieli te aktualizacje na kategorie, nadając im następujące oceny ważności, oraz zaleca użytkownikom zaktualizowanie zainstalowanego oprogramowania do najnowszej wersji:

• Firma Adobe zaleca użytkownikom środowiska Adobe Flash Player Desktop Runtime dla systemów Windows i Mac OS X aktualizację programu Adobe Flash Player do wersji 19.0.0.185. Plik aktualizacji można pobrać z Centrum pobierania programu Adobe Flash Player lub za pomocą zawartego w produkcie mechanizmu uaktualnień automatycznych po wyświetleniu monitu [1].
• Firma Adobe zaleca użytkownikom programu Adobe Flash Player Extended Support Release (wydania z przedłużoną pomocą techniczną) aktualizację do wersji 18.0.0.241 przez odwiedzenie strony http://helpx.adobe.com/pl/flash-player/kb/archived-flash-player-versions.html.
• Firma Adobe zaleca użytkownikom programu Adobe Flash Player dla systemu Linux aktualizację do programu Adobe Flash Player 11.2.202.521. Plik aktualizacji można pobrać z Centrum pobierania programu Adobe Flash Player. 
• Program Adobe Flash Player zainstalowany w przeglądarce Google Chrome zostanie automatycznie zaktualizowany do najnowszej wersji zawartej w tej przeglądarce, czyli do programu Adobe Flash Player 19.0.0.185 w systemie Windows, na komputerach Mac oraz w systemie Linux i Chrome OS.
• Program Adobe Flash Player zainstalowany w przeglądarce Microsoft Edge dla systemu Windows 10 zostanie zaktualizowany automatycznie do najnowszej wersji dostępnej w tej przeglądarce, czyli do programu Adobe Flash Player 19.0.0.185.
• Program Adobe Flash Player zainstalowany w przeglądarce Internet Explorer 10 i 11 dla systemu Windows 8.0 i 8.1 zostanie zaktualizowany automatycznie do najnowszej wersji dostępnej w tej przeglądarce, czyli do programu Adobe Flash Player 19.0.0.185.
  
• Firma Adobe zaleca użytkownikom środowiska desktop AIR, zestawu AIR SDK oraz zestawu SDK i kompilatora środowiska AIR aktualizację do wersji 19.0.0.190 za pośrednictwem Centrum pobierania środowiska AIR lub Centrum deweloperów środowiska AIR. 
• Firma Adobe zaleca użytkownikom środowiska Adobe AIR dla systemu Android aktualizację do wersji 19.0.0.190, która jest dostępna w sklepie Google Play.
• Pomoc dotyczącą instalacji programu Flash Player można znaleźć na stronie Pomocy programu Flash Player.

• Te aktualizacje usuwają lukę w zabezpieczeniach dotyczącą błędnego rozpoznania typu obiektu, która mogłaby pozwolić na wykonanie kodu (CVE-2015-5573). 
• Te aktualizacje usuwają luki typu „use-after-free”, które mogą pozwolić na uruchomienie kodu (CVE-2015-5570, CVE-2015-5574, CVE-2015-5581, CVE-2015-5584, CVE-2015-6682). 
• Te aktualizacje usuwają luki w zabezpieczeniach polegające na przepełnieniu bufora, które mogłyby pozwolić na wykonanie kodu (CVE-2015-6676, CVE-2015-6678). 
• Te aktualizacje usuwają luki w zabezpieczeniach polegające na uszkadzaniu zawartości pamięci, które mogą prowadzić do wykonania kodu (CVE-2015-5575, CVE-2015-5577, CVE-2015-5578, CVE-2015-5580, CVE-2015-5582, CVE-2015-5588, CVE-2015-6677). 
• Aktualizacje te zawierają dodatkowe mechanizmy kontrolne, które pozwalają upewnić się, że program Flash Player odrzuca złośliwe treści z podatnych na lukę interfejsów API obsługujących dane zwrotne z JSONP (CVE-2015-5571). 
• Te aktualizacje usuwają lukę powodującą przeciek pamięci (CVE-2015-5576). 
• Te aktualizacje zawierają dodatkowe obostrzenia poprawek w celu ochrony przed uszkodzeniem długości wektorów (CVE-2015-5568). 
• Te aktualizacje usuwają luki w zabezpieczeniach związane z uszkodzeniem zawartości stosu, które mogą prowadzić do wykonania kodu (CVE-2015-5567, CVE-2015-5579). 
• Te aktualizacje usuwają lukę w zabezpieczeniach polegającą na przepełnieniu stosu, która może prowadzić do wykonania kodu (CVE-2015-5587). 
• Te aktualizacje usuwają lukę w zabezpieczeniach umożliwiającą ominięcie zabezpieczeń, która może prowadzić do ujawnienia informacji (CVE-2015-5572). 
• Te aktualizacje usuwają lukę w zabezpieczeniach, która może posłużyć do obejścia zasady tego samego źródła, stwarzając zagrożenie ujawnienia informacji (CVE-2015-6679).

Firma Adobe pragnie złożyć podziękowania dla Wena Guanxinga z firmy Venustech ADLAB, pracującego w ramach programu Chromium Vulnerability Rewards Program, za zgłoszenie kilku luk w zabezpieczeniach programu Flash Player 19 beta.  Firma Adobe składa również podziękowania następującym osobom i organizacjom za zgłoszenie luk w zabezpieczeniach oraz za współpracę z firmą Adobe nad bezpieczeństwem naszych klientów: 

• Ben Hayak (CVE -2015-5571) 
• Jing Cheng Liu z zespołu Alibaba Security Research Team (CVE-2015-5587)
• Malte Batram (CVE-2015-6679)
• Natalie Silvanovich z projektu Google Project Zero (CVE-2015-5574) 
• Chris Evans, Ben Hawkes i Mateusz Jurczyk z zespołu Google Project Zero (CVE-2015-5575, CVE-2015-5576, CVE-2015-5577, CVE-2015-5578, CVE-2015-5579, CVE-2015-5580, CVE-2015-5584)
• Użytkownik instruder z zespołu Alibaba Security Threat intelligence centers (CVE-2015-5573, CVE-2015-6677)
• Zespół Keen Team pracujący w ramach programu HP Zero Day Initiative (CVE-2015-6678) 
• bilou pracujący w ramach programu Zero Day Initiative firmy HP (CVE-2015-5570) 
• Użytkownik bilou (CVE-2015-5567)
• James Forshaw z zespołu Google Project Zero (CVE-2015-5568) 
• Kai Kang z zespołu Xuanwu Lab firmy Tencent (CVE-2015-5581)
• Alexey Rekish z firmy AddReality (CVE-2015-5572)
• Użytkownik LMX z firmy Qihoo 360 (CVE-2015-5582, CVE-2015-5588, CVE-2015-6676)
• Yuki Chen z zespołu Qihoo 360 Vulcan Team w ramach programu Google Chrome Rewards Program (CVE-2015-6682)
  

21 września 2015 r.: Zaktualizowano uznanie dotyczące problemu CVE-2015-6682 z Chris Evans na Yuki Chen z Qihoo 360 Vulcan Team. 

23 września 2015 r.: Dodano podziękowanie dla Wena Guanxinga za ujawnienie luk w zabezpieczeniach programu Flash Player 19 beta w ramach programu Chromium Vulnerability Rewards Program.