Freigabedatum: 8. Februar 2011
Kennung der Sicherheitslücke: APSB11-01
CVE-Nummern: CVE-2010-2587, CVE-2010-2588, CVE-2010-2589, CVE-2010-4092,
CVE-2010-4093, CVE-2010-4187, CVE-2010-4188, CVE-2010-4189, CVE-2010-4190,
CVE-2010-4191, CVE-2010-4192, CVE-2010-4193, CVE-2010-4194, CVE-2010-4195,
CVE-2010-4196, CVE-2010-4306, CVE-2010-4307, CVE-2011-0555, CVE-2011-0556,
CVE-2011-0557, CVE-2011-0569
Plattform: Windows und Macintosh
In Adobe Shockwave Player 11.5.9.615 sowie früheren Versionen für Windows und Macintosh wurden kritische
Sicherheitslücken entdeckt. Diese Sicherheitslücken könnten es einem Angreifer ermöglichen,
schädlichen Code ins betroffene System
einzuschleusen. Adobe empfiehlt allen Anwendern von Shockwave Player 11.5.9.615 und früheren Versionen
die Aktualisierung auf Adobe Shockwave Player 11.5.9.620 wie im Folgenden beschrieben.
Shockwave Player 11.5.9.615 und frühere Versionen für Windows und Macintosh
Adobe empfiehlt allen Anwendern von Shockwave Player 11.5.9.615 und früher, das unter
http://get.adobe.com/shockwave erhältliche Update zu installieren.
Adobe stuft dieses Problem als kritisch ein. Allen Anwendern von Adobe Shockwave Player wird die Aktualisierung
anhand der unter „Lösung“ beschriebenen Schritte empfohlen.
In Adobe Shockwave Player 11.5.9.615 sowie früheren Versionen für Windows und Macintosh wurden kritische
Sicherheitslücken entdeckt. Diese Sicherheitslücken könnten es einem Angreifer ermöglichen,
schädlichen Code ins betroffene System
einzuschleusen. Adobe empfiehlt allen Anwendern von Shockwave Player 11.5.9.615 und früheren Versionen
die Aktualisierung auf Adobe Shockwave Player 11.5.9.620 wie oben beschrieben.
Das Update schließt eine Sicherheitslücke, die aufgrund eines beschädigten Speichers im dirapi.dll-Modul entstehen kann und
die Ausführung von Code ermöglicht (CVE-2010-2587).
Das Update schließt eine Sicherheitslücke, die aufgrund eines beschädigten Speichers im dirapi.dll-Modul entstehen kann und
die Ausführung von Code ermöglicht (CVE-2010-2588).
Dieses Update schließt eine Sicherheitslücke, die aufgrund eines Ganzzahlüberlaufs im dirapi.dll-Modul entstehen kann und
die Ausführung von Code ermöglicht (CVE-2010-2589).
Mit diesem Update wird ein Use-after-free-Fehler behoben, der die Ausführung von Code ermöglicht
(CVE-2010-4092).
Das Update schließt eine Sicherheitslücke, die aufgrund eines beschädigten Speichers entstehen kann und die Ausführung von Code ermöglicht
(CVE-2010-4093).
Das Update schließt eine Sicherheitslücke, die aufgrund eines beschädigten Speichers entstehen kann und die Ausführung von Code ermöglicht
(CVE-2010-4187).
Das Update schließt eine Sicherheitslücke, die aufgrund eines beschädigten Speichers im dirapi.dll-Modul entstehen kann und
die Ausführung von Code ermöglicht (CVE-2010-4188).
Das Update schließt eine Sicherheitslücke, die aufgrund eines beschädigten Speichers im IML32-Modul entstehen kann und
die Ausführung von Code ermöglicht (CVE-2010-4189).
Das Update schließt eine Sicherheitslücke, die aufgrund eines beschädigten Speichers entstehen kann und die Ausführung von Code ermöglicht
(CVE-2010-4190).
Das Update schließt eine Sicherheitslücke, die aufgrund eines beschädigten Speichers entstehen kann und die Ausführung von Code ermöglicht
(CVE-2010-4191).
Das Update schließt eine Sicherheitslücke, die aufgrund eines beschädigten Speichers entstehen kann und die Ausführung von Code ermöglicht
(CVE-2010-4192).
Durch dieses Update werden Fehler bei der Eingabevalidierung behoben, die die Ausführung von Code ermöglichen
(CVE-2010-4193).
Durch dieses Update werden Fehler bei der Eingabevalidierung im dirapi.dll-Modul behoben, die
die Ausführung von Code ermöglichen (CVE-2010-4194).
Durch dieses Update werden Fehler bei der Eingabevalidierung im TextXtra-Modul behoben, die
die Ausführung von Code ermöglichen (CVE-2010-4195).
Durch dieses Update werden Fehler bei der Eingabevalidierung im Shockwave 3D Asset-Modul behoben, die
die Ausführung von Code ermöglichen (CVE-2010-4196).
Das Update schließt eine Sicherheitslücke, die aufgrund eines beschädigten Speichers entstehen kann und die Ausführung von Code ermöglicht
(CVE-2010-4306).
Dieses Update schließt eine Sicherheitslücke, die aufgrund eines Pufferüberlaufs entsteht und die Ausführung von Code ermöglicht
(CVE-2010-4307).
Das Update schließt eine Sicherheitslücke, die aufgrund eines beschädigten Speichers entstehen kann und die Ausführung von Code ermöglicht
(CVE-2011-0555).
Das Update schließt eine Sicherheitslücke, die aufgrund eines beschädigten Speichers im Font Xtra.x32-Modul entstehen kann und
die Ausführung von Code ermöglicht (CVE-2011-0556).
Dieses Update schließt eine Sicherheitslücke, die aufgrund eines Ganzzahlüberlaufs entsteht und die Ausführung von Code ermöglicht
(CVE-2011-0557).
Das Update schließt eine Sicherheitslücke, die aufgrund eines beschädigten Speichers im Font Xtra.x32-Modul entstehen kann und
die Ausführung von Code ermöglicht (CVE-2011-0569).
Adobe bedankt sich bei den folgenden Personen für das Melden dieser
Schwachstellen und den Beitrag zum Schutz der Sicherheit unserer Kunden:
• Carsten Eiram von Secunia Research (CVE-2010-2587, CVE-2010-2588, CVE-2010-2589)
• Krystian Kloskowski (h07) in Zusammenarbeit mit Secunia Research (CVE-2010-4092)
• Will Dormann von CERT/CC (CVE-2010-4093, CVE-2010-4193, CVE-2010-4194,
CVE-2010-4195, CVE-2010-4196)
• Andrzej Dyjak von iDefense Labs (CVE-2010-4187)
• Aaron Portnoy und Logan Brown von TippingPoint DVLabs (CVE-2010-4188)
• Aaron Portnoy und Logan Brown von TippingPoint DVLabs(CVE-2011-0555,
CVE-2011-0556)
• Aaron Portnoy und Logan Brown von TippingPoint DVLabs (CVE-2010-4189)
• Aniway und Luigi Auriemma, gemeldet im Rahmen der Zero Day Initiative von Tipping Point
(CVE-2010-4190)
• Anonymer Anwender, gemeldet im Rahmen der Zero Day Initiative von TippingPoint (CVE-2010-4191)
• Aniway, gemeldet im Rahmen der Zero Day Initiative von Tipping Point (CVE-2010-4192)
• IBM X-Force (CVE-2010-4306, CVE-2010-4307)
• Anonymer Anwender, gemeldet im Rahmen der Zero Day Initiative von TippingPoint (CVE-2011-0557)
• Logan Brown und Aaron Portnoy von TippingPoint DVLabs und Luigi Auriemma, gemeldet im Rahmen der Zero Day Initiative von
Tipping Point (CVE-2011-0569)
