信息來源:新浪新聞
眾所周知,F(xiàn)lash是網(wǎng)絡攻擊的首選目標。值得注意的是,Adobe在2017年7月宣布計劃將Flash推入使用壽命終止狀態(tài),這意味著它將在今年年底不再更新或分發(fā)Flash Player。不過仍然在使用Adobe的用戶需要警惕,因為Adobe 在今年5月被爆出了多個嚴重漏洞,好在Adobe于6月9日發(fā)布了安全更新,修復了漏洞。
Adobe 被爆出的漏洞:
兩個嚴重的越界寫入漏洞(代號分別為:CVE-2020-9634,CVE-2020-9635),一個內(nèi)存損壞而導致的嚴重漏洞(代號:CVE-2020-9636).
對于CVE-2020-9634,特定的漏洞存在于GIF文件的解析中,該問題是由于缺乏對用戶提供的數(shù)據(jù)的正確驗證而導致的,這可能導致寫操作超出了分配對象的末尾。
對于CVE-2020-9635,PDF文件的解析中存在特定漏洞。問題是由于缺乏對用戶提供的數(shù)據(jù)的正確驗證而導致的,這可能導致在分配的對象開始之前進行寫操作。
攻擊者可以利用CVE-2020-9634,CVE-2020-9635兩個漏洞在當前進程的上下文中執(zhí)行代碼,誘使用戶打開特定文件或訪問惡意頁面。
對于CVE-2020-9636,該漏洞是在釋放內(nèi)存后嘗試訪問的。這可能導致一系列惡意影響,從導致程序崩潰到潛在地導致執(zhí)行任意代碼-甚至啟用完整的遠程代碼執(zhí)行功能。
受影響的產(chǎn)品版本
1.包括Adobe Flash Player桌面運行時(Windows,macOS和Linux),適用于Google Chrome的Adobe Flash Player(適用于Windows,macOS,Linux和Chrome OS)以及適用于Microsoft Edge / Internet Explorer 11(適用于Windows 10和8.1)的Adobe Flash Player,均適用于32.0版.0.330及更早版本
2.適用于Windows的Adobe Framemaker版本2019.0.5及更低版本
升級修復版本
Adobe Flash Player更新到32.0.0.387版本,加強安全性。該版本除了修復最近爆出的漏洞,還可以解決歷史上風險較高的產(chǎn)品中的漏洞。
Adobe Framemaker版本升級到2019.0.6版本或最新版本
其他漏洞
Adobe還修補了與Experience Manager(其用于構(gòu)建網(wǎng)站,移動應用程序和表格的內(nèi)容管理平臺)中的六個重要級別的漏洞。這些包括可能允許敏感信息泄露的服務器端請求偽造故障(CVE-2020-9643和CVE-2020-9645)和跨站點腳本漏洞(CVE-2020-9647,CVE-2020-9648,CVE-2020 -9651和CVE-2020-9644),可以在瀏覽器中啟用任意JavaScript執(zhí)行。
受影響的產(chǎn)品版本
Adobe Experience Manager (AEM)所有平臺6.5版本
升級修復版本
建議所有用戶迅速更新到AEM 最新版本(目前最新版本為:6.5.5.0),加強安全性。