Bulletin de sécurité
Mise à disposition de mises à niveau de sécurité pour Adobe Flash Player
Date de publication : 7 février 2013
Dernière mise à jour : 12 février 2013
Identifiant de vulnérabilité : APSB13-04
Priorité : voir le tableau ci-dessous
Références CVE : CVE-2013-0633, CVE-2013-0634
Plate-forme : toutes plates-formes
Synthèse
Adobe a publié des mises à niveau de sécurité d'Adobe Flash Player versions 11.5.502.146 et antérieures pour Windows et Macintosh, d'Adobe Flash Player versions 11.2.202.261 et antérieures pour Linux, d'Adobe Flash Player versions 11.1.115.36 et antérieures pour Android 4.x et d'Adobe Flash Player versions 11.1.111.31 et antérieures pour Android 3.x et 2.x. Ces mises à niveau corrigent une vulnérabilité susceptible de provoquer un dysfonctionnement de l'application et de permettre à un pirate de prendre le contrôle du système concerné.
Adobe sait que des pirates ont réussi à tirer parti d'une vulnérabilité, CVE-2013-0633, par des attaques ciblées amenant l'utilisateur à ouvrir un document Microsoft Word joint à un e-mail et dans lequel figure du contenu Flash (SWF) malveillant. L'exploitation de cette vulnérabilité concerne la version ActiveX de Flash Player sous Windows.
Adobe sait également que des pirates ont réussi à tirer parti d'une autre vulnérabilité, CVE-2013-0634, par des attaques transmises par du contenu Flash (SWF) malveillant hébergé sur des sites web ciblant Flash Player dans Firefox ou Safari sur la plate-forme Macintosh, ainsi que par des attaques amenant les utilisateurs Windows à ouvrir un document Microsoft Word joint à un e-mail et dans lequel figure du contenu Flash (SWF) malveillant.
Adobe recommande aux utilisateurs de mettre à niveau leurs installations vers la dernière version :
- Les utilisateurs d'Adobe Flash Player versions 11.5.502.146 et antérieures pour Windows et Macintosh doivent passer à Adobe Flash Player 11.5.502.149.
- Les utilisateurs d'Adobe Flash Player versions 11.2.202.261 et antérieures pour Linux doivent passer à Adobe Flash Player 11.2.202.262.
- Les installations de Flash Player effectuées avec Google Chrome seront automatiquement mises à niveau vers la dernière version de Google Chrome, qui inclut Adobe Flash Player 11.5.31.139 pour Windows, Macintosh et Linux.
- Les installations de Flash Player effectuées avec Internet Explorer 10 pour Windows 8 seront automatiquement mises à niveau vers la dernière version d'Internet Explorer 10, qui inclut Adobe Flash Player 11.3.379.14 pour Windows.
- Les utilisateurs d'Adobe Flash Player versions 11.1.115.36 et antérieures pour terminaux Android 4.x doivent passer à Adobe Flash Player 11.1.115.37.
- Les utilisateurs d'Adobe Flash Player versions 11.1.111.31 et antérieures pour Android versions 3.x et antérieures doivent passer à Flash Player 11.1.111.32.
- Les utilisateurs d'Adobe AIR versions 3.5.0.1060 et antérieures doivent installer Adobe AIR 3.6.0.597.
- Les utilisateurs du kit SDK Adobe AIR 3.5.0.1060 (comprenant AIR pour iOS) et versions antérieures doivent passer au nouveau kit SDK Adobe AIR 3.6.0.599 avec compilateur.
Versions logicielles concernées
- Adobe Flash Player versions 11.5.502.146 et antérieures pour Windows et Macintosh
- Adobe Flash Player versions 11.2.202.261 et antérieures pour Linux
- Adobe Flash Player versions 11.1.115.36 et antérieures pour Android 4.x
- Adobe Flash Player versions 11.1.111.31 et antérieures pour Android 3.x et 2.x
- Adobe AIR versions 3.5.0.1060 et antérieures
- Kit SDK Adobe AIR versions 3.5.0.1060 et antérieures
Pour vérifier le numéro de version d'Adobe Flash Player installé sur votre système, accédez à la page À propos de Flash Player ou cliquez avec le bouton droit de la souris sur du contenu exécuté dans Flash Player et sélectionnez À propos d'Adobe (ou de Macromedia) Flash Player dans le menu contextuel. Effectuez cette vérification pour tous les navigateurs utilisés sur votre système.
Pour vérifier le numéro de votre version Adobe Flash Player pour Android, sélectionnez, dans le menu, Paramètres > Applications > Gérer les applications > Adobe Flash Player x.x.
Pour vérifier le numéro de la version d'Adobe AIR installée sur votre système, suivez les instructions de la note technique sur Adobe AIR.
Solution
Adobe recommande aux utilisateurs d'effectuer la mise à niveau de leurs installations en procédant comme suit :
- Adobe recommande aux utilisateurs d'Adobe Flash Player versions 11.5.502.146 et antérieures pour Windows et Macintosh d'installer la version 11.5.502.149 en la téléchargeant depuis le Centre de téléchargement Adobe Flash Player. Les utilisateurs de Flash Player versions 11.2.x et ultérieures pour Windows et les utilisateurs de Flash Player 11.3.x pour Macintosh qui ont sélectionné l'option autorisant Adobe à installer les mises à niveau recevront automatiquement la mise à niveau. Les utilisateurs qui n'ont pas activé l'option de mise à niveau automatique pourront installer la mise à niveau par le mécanisme de mise à niveau automatique du produit, lorsqu'ils y seront invités.
- Pour les utilisateurs de Flash Player versions 10.3.183.50 et antérieures pour Windows et Macintosh qui ne peuvent pas effectuer la mise à niveau vers Flash Player 11.5.502.149, Adobe met à disposition la mise à niveau Flash Player 10.3.183.51, téléchargeable ici.
- Adobe recommande aux utilisateurs d'Adobe Flash Player versions 11.2.202.261 et antérieures pour Linux d'installer la version 11.2.202.262 en la téléchargeant depuis le Centre de téléchargement Adobe Flash Player.
- Pour les utilisateurs de Flash Player versions 10.3.183.50 et antérieures pour Linux qui ne peuvent pas effectuer la mise à niveau vers Flash Player 11.2.202.262, Adobe met à disposition la mise à niveau Flash Player 10.3.183.51, téléchargeable ici.
- Les installations de Flash Player effectuées avec Google Chrome seront automatiquement mises à niveau vers la dernière version de Google Chrome, qui inclut Adobe Flash Player 11.5.31.139 pour Windows, Macintosh et Linux.
- Les installations de Flash Player effectuées avec Internet Explorer 10 pour Windows 8 seront automatiquement mises à niveau vers la dernière version d'Internet Explorer 10, qui inclut Adobe Flash Player 11.3.379.14.
- Les utilisateurs d'Adobe Flash Player versions 11.1.115.36 et antérieures pour terminaux Android 4.x doivent passer à Adobe Flash Player 11.1.115.37*.
*Remarque : valable uniquement pour les terminaux Android 4.x sur lesquels Flash Player a été installé avant le 15 août 2012.
- Les utilisateurs d'Adobe Flash Player versions 11.1.111.31 et antérieures pour Android versions 3.x et antérieures doivent passer à Flash Player 11.1.111.32*.
* Remarque : valable uniquement pour les terminaux Android versions 3.x et antérieures sur lesquels Flash Player a été installé avant le 15 août 2012.
- Les utilisateurs d'Adobe AIR version 3.5.0.1060 doivent passer à Adobe AIR 3.6.0.597.
- Les utilisateurs du kit SDK Adobe AIR 3.5.0.1060 (comprenant AIR pour iOS) et versions antérieures doivent passer au nouveau kit SDK Adobe AIR 3.6.0.599 avec compilateur.
- Pour les utilisateurs du kit SDK Adobe AIR 3.5.0.1060 (comprenant AIR pour iOS) et versions antérieures qui ne peuvent pas effectuer la mise à niveau vers le kit SDK Adobe AIR 3.6.0.599 avec compilateur, Adobe met à disposition le kit SDK Adobe AIR 3.6.0.597, téléchargeable ici.
- Les utilisateurs d'Adobe AIR versions 3.5.0.1060 et antérieures pour Android doivent effectuer la mise à niveau vers Adobe AIR 3.6.0.597 en accédant à Google Play ou Amazon Marketplace depuis leur terminal Android.
Priorité et degré de gravité
Adobe attribue à ces mises à niveau les priorités ci-après et recommande aux utilisateurs concernés de mettre à niveau leurs installations avec les dernières versions des logiciels :
| Produit |
Mise à niveau |
Plate-forme |
Priorité |
| Adobe Flash Player |
11.5.502.149 |
Windows et Macintosh |
1 |
| |
11.2.202.262 |
Linux |
3 |
| |
11.1.115.37 |
Android 4.x |
3 |
| |
11.1.111.32 |
Android 3.x et 2.x |
3 |
| Adobe AIR |
3.6.0.597 |
Windows, Macintosh et Android |
3 |
| Kit SDK Adobe AIR |
3.6.0.599 |
Windows, Macintosh et Android |
3 |
Ces mises à niveau corrigent des vulnérabilités critiques du logiciel.
Détails
Adobe a publié des mises à niveau de sécurité d'Adobe Flash Player versions 11.5.502.146 et antérieures pour Windows et Macintosh, d'Adobe Flash Player versions 11.2.202.261 et antérieures pour Linux, d'Adobe Flash Player versions 11.1.115.36 et antérieures pour Android 4.x et d'Adobe Flash Player versions 11.1.111.31 et antérieures pour Android 3.x et 2.x. Ces mises à niveau corrigent une vulnérabilité susceptible de provoquer un dysfonctionnement de l'application et de permettre à un pirate de prendre le contrôle du système concerné.
Adobe sait que des pirates ont réussi à tirer parti d'une vulnérabilité, CVE-2013-0633, par des attaques ciblées amenant l'utilisateur à ouvrir un document Microsoft Word joint à un e-mail et dans lequel figure du contenu Flash (SWF) malveillant. L'exploitation de cette vulnérabilité concerne la version ActiveX de Flash Player sous Windows.
Adobe sait également que des pirates ont réussi à tirer parti d'une autre vulnérabilité, CVE-2013-0634, par des attaques transmises par du contenu Flash (SWF) malveillant hébergé sur des sites web ciblant Flash Player dans Firefox ou Safari sur la plate-forme Macintosh, ainsi que par des attaques amenant les utilisateurs Windows à ouvrir un document Microsoft Word joint à un e-mail et dans lequel figure du contenu Flash (SWF) malveillant.
Adobe recommande aux utilisateurs de mettre à niveau leurs installations vers la dernière version :
- Les utilisateurs d'Adobe Flash Player versions 11.5.502.146 et antérieures pour Windows et Macintosh doivent passer à Adobe Flash Player 11.5.502.149.
- Les utilisateurs d'Adobe Flash Player versions 11.2.202.261 et antérieures pour Linux doivent passer à Adobe Flash Player 11.2.202.262.
- Les installations de Flash Player effectuées avec Google Chrome seront automatiquement mises à niveau vers la dernière version de Google Chrome, qui inclut Adobe Flash Player 11.5.31.139 pour Windows, Macintosh et Linux.
- Les installations de Flash Player effectuées avec Internet Explorer 10 pour Windows 8 seront automatiquement mises à niveau vers la dernière version d'Internet Explorer 10, qui inclut Adobe Flash Player 11.3.379.14 pour Windows.
- Les utilisateurs d'Adobe Flash Player versions 11.1.115.36 et antérieures pour terminaux Android 4.x doivent passer à Adobe Flash Player 11.1.115.37.
- Les utilisateurs d'Adobe Flash Player versions 11.1.111.31 et antérieures pour Android versions 3.x et antérieures doivent passer à Flash Player 11.1.111.32.
- Les utilisateurs d'Adobe AIR versions 3.5.0.1060 et antérieures doivent installer Adobe AIR 3.6.0.597.
- Les utilisateurs du kit SDK Adobe AIR 3.5.0.1060 (comprenant AIR pour iOS) et versions antérieures doivent passer au nouveau kit SDK Adobe AIR 3.6.0.599 avec compilateur.
Cette mise à niveau corrige une vulnérabilité de type débordement de mémoire tampon susceptible d'entraîner l'exécution de code (CVE-2013-0633).
Cette mise à niveau corrige une vulnérabilité de type corruption de mémoire susceptible d'entraîner l'exécution de code (CVE-2013-0634).
| Logiciels concernés |
Mise à niveau recommandée |
Disponibilité |
| Flash Player versions 11.5.502.146 et antérieures pour Windows et Macintosh |
11.5.502.149 |
Centre de téléchargement Flash Player |
| Flash Player versions 11.5.502.146 et antérieures pour Windows et Macintosh - diffusion en réseau |
11.5.502.149 |
Distribution d'Adobe Flash Player |
| Flash Player versions 11.2.202.261 et antérieures pour Linux |
11.2.202.262 |
Centre de téléchargement Flash Player |
| Flash Player versions 11.1.115.36 et antérieures pour Android 4.x |
11.1.115.37 |
Concerne les terminaux Android 4.x sur lesquels Flash Player était déjà installé avant le 15 août 2012. |
| Flash Player versions 11.1.111.31 et antérieures pour Android 3.x et 2.x |
11.1.111.32 |
Concerne les équipements sur lesquels Flash Player était déjà installé avant le 15 août 2012. |
| Flash Player versions 11.5.31.137 et antérieures pour Chrome (Windows, Macintosh et Linux) |
11.5.31.139 |
Versions Google Chrome |
| Flash Player versions 11.3.378.5 et antérieures installées avec Internet Explorer 10 pour Windows 8 |
11.3.379.14 |
Centre de téléchargement Windows |
| AIR versions 3.5.0.1060 et antérieures pour Windows et Macintosh |
3.6.0.597 |
Centre de téléchargement AIR |
| Kit SDK d'AIR 3.5.0.1060 |
3.6.0.599 |
Téléchargement du kit SDK AIR |
| AIR versions 3.5.0.1060 et antérieures pour Android |
3.6.0.597 |
Google play
(accessible depuis un appareil Android)
Amazon Marketplace
(accessible depuis un appareil Android) |
Remerciements
Adobe tient à remercier les personnes et sociétés suivantes d'avoir signalé ces problèmes et de joindre leurs efforts aux siens pour assurer la sécurité de ses clients :
- CVE-2013-0633 :
- CVE-2013-0634 :
- Steven Adair de la Shadowserver Foundation
- W de la Shadowserver Foundation
- MITRE
- L'équipe de résolution des incidents informatiques de Lockheed Martin
Révisions
12 février 2013 : actualisation du bulletin concernant les mises à niveau AIR.
7 février 2013 : bulletin publié.
