Avis du CERT-FR
Objet : Vulnérabilité dans Adobe Flash Player
Gestion du document
Une gestion de version détaillée se trouve à la fin de ce document.
Risque
- Exécution de code arbitraire à distance
Systèmes affectés
Adobe Flash Player versions 8.0.24 et antérieures.
Description
Plusieurs vulnérabilités ont été identifiées dans le lecteur Adobe Flash Player. Elles permettraient à un utilisateur mal intentionné de contourner les restrictions du paramètre de sécurité allowScriptAccess, et d'exécuter du code arbitraire à distance par le biais d'un fichier au format .swf construit de façon particulière. Une dernière vulnérabilité concernerait une mauvaise manipulation de chaînes de caractères dynamiques, et de longueur excessive. Elle pourrait provoquer un débordement de mémoire.
Adobe Flash Player es parfois utilisé indirectement, par le biais d'un navigateur Internet, afin de visualiser des contenus animés au format Flash sur un site web.
Solution
Se référer au bulletin de sécurité de l'éditeur pour l'obtention des correctifs (cf. section Documentation).
Documentation
-
Bulletin de sécurité Adobe du 12 septembre 2006
http://www.adobe.com/support/security/bulletins/apsb06-11.html -
Bulletin de sécurité Microsoft MS06-069 du 14 novembre 2006 :
http://www.microsoft.com/technet/security/Bulletin/MS06-069.mspx -
Bulletin de sécurité Microsoft MS06-069 du 14 novembre 2006 :
http://www.microsoft.com/france/technet/security/Bulletin/MS06-069.mspx -
Référence CVE CVE-2006-3014 :
http://cve.mitre.org/cgi-bin/cvename.cgi?CVE-2006-3014 -
Référence CVE CVE-2006-3311 :
http://cve.mitre.org/cgi-bin/cvename.cgi?CVE-2006-3311 -
Référence CVE CVE-2006-3587 :
http://cve.mitre.org/cgi-bin/cvename.cgi?CVE-2006-3587 -
Référence CVE CVE-2006-3588 :
http://cve.mitre.org/cgi-bin/cvename.cgi?CVE-2006-3588 -
Référence CVE CVE-2006-4640 :
http://cve.mitre.org/cgi-bin/cvename.cgi?CVE-2006-4640 -
Référence CVE CVE-2006-3014
https://www.cve.org/CVERecord?id=CVE-2006-3014 -
Référence CVE CVE-2006-3311
https://www.cve.org/CVERecord?id=CVE-2006-3311 -
Référence CVE CVE-2006-3587
https://www.cve.org/CVERecord?id=CVE-2006-3587 -
Référence CVE CVE-2006-3588
https://www.cve.org/CVERecord?id=CVE-2006-3588 -
Référence CVE CVE-2006-4640
https://www.cve.org/CVERecord?id=CVE-2006-4640
Gestion détaillée du document
| Date | Description |
|---|---|
| 14 septembre 2006 | version initiale. |
| 03 octobre 2006 | ajout des références CVE. |
| 15 novembre 2006 | ajout de la référence au bulletin Microsoft MS06-069. |