Multiples Vulnerabilités de Adobe Reader, Acrobat, Flash Player et Air

Numéro : AV10-007
Date : 16 février 2010

Objet

Cet avis a pour objet d'attirer votre attention sur de multiples vulnérabilités critiques décelées dans Adobe Reader et Acrobat.

Évaluation

On a relevé une vulnérabilité critique d'Adobe Flash Player et Adobe Air qui pourrait corrompre le « bac à sable des domaines » et permettre l'exécution de requêtes non autorisées entre domaines.

Versions touchées :

• Adobe Flash Player 10.0.42.34 et versions antérieures
• Adobe AIR version 1.5.3.9120 et versions antérieures

Adobe recommande les mesures suivantes :

• Faire la mise à jour à Adobe Flash Player 10.0.45.2
• Faire la mise à jour à Adobe AIR 1.5.3.9130.

On a relevé une vulnérabilité critique d'Adobe Reader et Adobe Acrobat. Comme il est indiqué dans le bulletin de sécurité APSB10-06, cette vulnérabilité (CVE-2010-0186) pourrait corrompre le « bac à sable des domaines » et permettre l'exécution de requêtes non autorisées entre domaines. De plus, une vulnérabilité critique qui a été relevée (CVE-2010-0188) pourrait entraîner le plantage de l'application et donner à un attaquant le contrôle d'un système touché.

Versions touchées :

• Adobe Reader 9.3 pour Windows, Macintosh et UNIX
• Adobe Acrobat 9.3 pour Windows et Macintosh
• Adobe Reader 8.2 et Acrobat 8.2 pour Windows et Macintosh.

Adobe recommande les mesures suivantes :

• Faire la mise à jour à Adobe Reader 9.3.1.
  Note : Pour les utilisateurs d'Adobe Reader pour Windows et Macintosh qui ne peuvent pas faire la mise à jour à Adobe Reader 9.3.1, Adobe a publié la mise à jour Adobe Reader 8.2.1.
• Si on utilise Acrobat 9.3 ou une version antérieure, faire la mise à jour à Adobe Acrobat 9.3.1.
• Si on utilise Acrobat 8.2 ou une version antérieure, faire la mise à jour à Acrobat 8.2.1.

Références CVE :
CVE-2010-0186, CVE-2010-0187, CVE-2010-0188

Mesure recommandée

Le CCRIC recommmande que les administrateurs identifient les produits touchés, puis testent et installent ces mises à jour en suivant leur pratiques de gestion des versions dès que possible.

Références :
http://www.adobe.com/support/security/bulletins/apsb10-06.html
http://www.adobe.com/support/security/bulletins/apsb10-07.html

Note aux lecteurs

Le Centre canadien de réponse aux incidents cybernétiques (CCRIC) constitue le point de convergence au Canada pour les avertissements et l'analyse concernant les menaces et les vulnérabilités cybernétiques, ainsi que pour la coordination de la réponse aux incidents. Le CCRIC est chargé d'assurer la résilience de l'infrastructure essentielle nationale en surveillant les menaces et en coordonnant la réponse du gouvernement fédéral aux incidents de cybersécurité d'intérêt national. Le CCRIC, qui travaille conjointement avec le Centre des opérations du gouvernement (COG) de Sécurité publique Canada, constitue un élément clé de l'approche « tous risques » du gouvernement en regard de la gestion des urgences et de la sécurité nationale.

Pour obtenir des renseignements généraux, veuillez communiquer avec la division des Affaires publiques de Sécurité publique Canada:

Téléphone: 613-944-4875 ou 1-800-830-3118
Télécopieur: 613-998-9589
Courriel: communications@ps-sp.gc.ca