Adobe Flash - Vulnérabilité Action Script 3 opaqueBackground Use-After-Free

Numéro : AL15-009
Date : Le 11 juillet 2015

Objet

Le but de cette alerte est d'attirer l'attention sur une vulnérabilité récemment découverte dans la propriété d'Adobe Flash Player Actionscript 3 opaqueBackground. L'exploitation de cette vulnérabilité pourrait permettre à un attaquant d'exécuter du code arbitraire sur le système.

Évaluation

Les versions Adobe Flash Player 9.0 jusqu'à 18.0.0.203 contiennent une vulnérabilité d'utilisation ultérieure libre dans la propriété opaqueBackground AS3. Les attaquants exploitant cette faille de mémoire peuvent provoquer une interruption des programmes ou de l'exécution de code arbitraire avec des privilèges système. Les vecteurs d'attaque peuvent inclure appâter les utilisateurs à visiter des sites contenant du contenu Flash malicieux ou par l'utilisation de spécialement conçus documents Microsoft Office.

Mesure suggérée

Le CCRIC recommande que les propriétaires / exploitants de réseau utilisent la trousse à outils (EMET) de Microsoft pour prévenir l'exploitation de cette vulnérabilité. En particulier, la réduction de la surface d'attaque (ASR) peut être configurée pour limiter le chargement par Microsoft Office et Internet Explorer des contrôles ActiveX Flash.

Références

Note aux lecteurs

En appui à la mission de Sécurité publique Canada de bâtir un Canada sécuritaire et résilient, le mandat du CCRIC est d'aider à assurer la sécurité et la résilience des cybersystèmes essentiels non gouvernementaux à la base de la sécurité nationale, de la sécurité publique et de la prospérité économique du pays. À titre d'équipe d'intervention en cas d'incident lié à la sécurité informatique du Canada, le CCRIC agit comme centre national de coordination pour la prévention, l'atténuation, l'intervention et le rétablissement liés aux incidents cybernétiques commis contre des systèmes non fédéraux. Pour ce faire, il formule des conseils éclairés, offre du soutien et coordonne l'échange de renseignements ainsi que l'intervention.

S'il vous plaît noter que la clé PGP du CCRIC a récemment été mise à jour.
http://www.securitepublique.gc.ca/cnt/ntnl-scrt/cbr-scrt/_fl/CCIRCPublicPGPKey.txt

Pour obtenir des renseignements de nature générale, veuillez communiquer avec la division des Affaires publiques de l'organisme :

Téléphone : 613-944-4875 ou 1-800-830-3118  
Télécopieur : 613-998-9589 
Courriel : ps.communications-communications.sp@canada.ca

Date de modification :