Vulnérabilités multiples dans Adobe Flash Player et AIR

Numéro : AV10-030
Date : 11 août 2010   

Objet

Le présent avis a pour objet d'attirer votre attention sur plusieurs vulnérabilités critiques qui touchent Adobe Flash Player et Adobe Integrated Runtime (AIR

Évaluation

Les six vulnérabilités suivantes ont été relevées dans Adobe Flash et AIR; des attaquants peuvent les exploiter afin d'obtenir des renseignements de nature délicate ou compromettre un système vulnérable.

* Trois erreurs non précisées de corruption de mémoire, qui peuvent être exploitées par un attaquant pour entraîner l'exécution de code arbitraire à partir d'une page Web spécialement conçue.
* Une erreur de corruption de mémoire dans la machine virtuelle ActionScript 1 (AVM1), au traitement de la commande ActionPush.
* Une erreur de corruption de mémoire dans la méthode Connect, exposée par l'objet ActionScript natif No 2200.
* Une erreur non précisée, qui permet une attaque par détournement de clic.

Références CVE : CVE-2010-0209, CVE-2010-2188, CVE-2010-2213, CVE-2010-2214, CVE-2010-2215, CVE-2010-2216

Les utilisateurs peuvent mettre à jour leur version d'Adobe Flash Player à l'aide du mécanisme interne de mise à jour, ou télécharger une version corrigée à partir de l'adresse suivante :
http://get.adobe.com/flashplayer/

Adobe a créé une version corrigée de Flash Player 9 à l'intention des utilisateurs ne pouvant pas mettre à jour leur poste à Flash Player 10.1.82.76. On peut la télécharger à partir de l'adresse suivante :
http://kb2.adobe.com/cps/406/kb406791.html

On peut télécharger une version mise à jour de Adobe AIR à partir de l'adresse suivante :
http://get.adobe.com/air/

Produits touchés
----------------
Adobe Flash Player 10.1.53.64 et versions précédentes
Adobe AIR 2.0.2.12610 et versions précédentes

Références
----------
http://www.vupen.com/english/advisories/2010/2064

Mesure suggérée

Le CCRIC recommande aux organismes d'entrer en contact avec les administrateurs ou les responsables des produits touchés afin d'évaluer leur vulnérabilité et de mettre en œuvre les correctifs appropriés recommandés par le fabricant.

Note aux lecteurs

Le Centre canadien de réponse aux incidents cybernétiques (CCRIC) constitue le point de convergence au Canada pour les avertissements et l'analyse concernant les menaces et les vulnérabilités cybernétiques, ainsi que pour la coordination de la réponse aux incidents. Le CCRIC est chargé d'assurer la résilience de l'infrastructure essentielle nationale en surveillant les menaces et en coordonnant la réponse du gouvernement fédéral aux incidents de cybersécurité d'intérêt national. Le CCRIC, qui travaille conjointement avec le Centre des opérations du gouvernement (COG) de Sécurité publique Canada, constitue un élément clé de l'approche « tous risques » du gouvernement en regard de la gestion des urgences et de la sécurité nationale.

Pour obtenir des renseignements généraux, veuillez communiquer avec la division des Affaires publiques de Sécurité publique Canada:

Téléphone: 613-944-4875 ou 1-800-830-3118
Télécopieur: 613-998-9589
Courriel: communications@ps-sp.gc.ca