Risque
- Exécution de code arbitraire à distance
Systèmes affectés
- Adobe Flash Player 10.1.85.3 et les versions antérieures sur les systèmes Windows, Macintosh, Linux et Solaris ;
- Adobe Flash Player 10.1.95.2 et les versions antérieures sur les systèmes Android ;
- le composant authplay.dll contenu dans les versions 9.4 et antérieures de Adobe Acrobat et Reader.
Résumé
Une vulnérabilité permettant l'exécution de code arbitraire à distance affecte des produits Adobe. L'éditeur a émis les correctifs pour les lecteurs PDF.
Description
Une vulnérabilité critique affecte des produits Adobe. Elle permet à une personne malintentionnée d'exécuter du code arbitraire à distance. Elle est actuellement exploitée sur l'Internet dans des attaques ciblant les logiciels Adobe Acrobat et au moyen de documents PDF ayant du contenu Flash.
Contournement provisoire
Il est possible de supprimer ou interdire l'accès au composant authplay.dll. Cela empêchera l'exécution du contenu Flash et provoquera une erreur lors de l'ouverture de documents PDF ayant un tel contenu.
Il est aussi possible d'utiliser un logiciel alternatif en attendant la publication d'un correctif.
Le 04 novembre 2010, Adobe a publié une mise à jour de son lecteur Adobe Flash Player corrigeant cette vulnérabilité. Les applications Adobe Reader et Adobe Acrobat restaient vulnérables.
Solution
Le 04 novembre 2010, Adobe a publié une mise à jour de son lecteur Adobe Flash Player corrigeant cette vulnérabilité.
Les versions 9.4.1 d'Adobe Reader et d'Acrobat, publiées le 16 novembre 2010, résolvent ce problème.
La publication du correctif d'Acrobat sur plateforme Unix est annoncée pour le 30 novembre 2010.
Se référer au bulletin de sécurité de l'éditeur pour l'obtention des correctifs (cf. section Documentation).
Documentation
- Alerte de sécurité Adobe APSA10-05 du 28 octobre 2010 : http://www.adobe.com/support/security/advisories/apsa10-05.html
- Bulletin de sécurité Adobe APSB10-26 du 04 novembre 2010 : http://www.adobe.com/support/security/bulletins/apsb10-26.html
- Bulletin de sécurité Adobe APSB10-28 du 16 novembre 2010 : http://www.adobe.com/support/security/bulletins/apsb10-28.html
- Document du CERTA CERTA-2010-AVI-551 du 17 novembre 2010 : http://www.certa.ssi.gouv.fr/site/CERTA-2010-AVI-551/index.html
- Référence CVE CVE-2010-3654 https://www.cve.org/CVERecord?id=CVE-2010-3654
