低危 Adobe Flash Player MPEG4 Data UAF漏洞

CVE编号

CVE-2015-8822

利用情况

暂无

补丁情况

官方补丁

披露时间

2016-03-05

漏洞描述

Adobe FlashPlayer是多媒体程序播放器。 Adobe Flash 在MPEG-4解析中存在安全漏洞，可强制重新使用已经释放的悬挂指针。攻击者利用此漏洞可在当前进程上下文中执行任意代码。

解决建议

目前厂商已经发布了升级补丁以修复此安全问题，补丁获取链接：https://helpx.adobe.com/security/products/flash-player/apsb15-32.html

参考链接
http://www.zerodayinitiative.com/advisories/ZDI-15-664
https://helpx.adobe.com/security/products/flash-player/apsb15-32.html

受影响软件情况

#	类型	厂商	产品	版本	影响面
1
	运行在以下环境
	应用	adobe	air	*		Up to (including) 19.0.0.241
	运行在以下环境
	应用	adobe	air_sdk	*		Up to (including) 19.0.0.241
	运行在以下环境
	应用	adobe	air_sdk_&_compiler	*		Up to (including) 19.0.0.241
	运行在以下环境
	应用	adobe	flash_player	*		Up to (including) 11.2.202.548
	运行在以下环境
	应用	adobe	flash_player	*		Up to (including) 18.0.0.261
	运行在以下环境
	应用	adobe	flash_player	19.0.0.185	-
	运行在以下环境
	应用	adobe	flash_player	19.0.0.207	-
	运行在以下环境
	应用	adobe	flash_player	19.0.0.226	-
	运行在以下环境
	应用	adobe	flash_player	19.0.0.245	-
	运行在以下环境
	应用	adobe	flash_player	20.0.0.228	-
	运行在以下环境
	应用	adobe	flash_player	20.0.0.235	-
	运行在以下环境
	应用	adobe	flash_player	20.0.0.286	-
	运行在以下环境
	系统	redhat_6	flash-plugin	*		Up to (excluding) 0:11.2.202.554-1.el5
	运行在以下环境
	系统	ubuntu_12.04.5_lts	adobe-flashplugin	*		Up to (excluding) 1:20160209.1-0ubuntu0.12.04.1
	运行在以下环境
	系统	ubuntu_14.04.6_lts	adobe-flashplugin	*		Up to (excluding) 1:20160209.1-0ubuntu0.14.04.1

阿里云评分 3.1

• 攻击路径 远程
• 攻击复杂度 复杂
• 权限要求 无需权限
• 影响范围 有限影响
• EXP成熟度 未验证
• 补丁情况 官方补丁
• 数据保密性 无影响
• 数据完整性 无影响
• 服务器危害 无影响
• 全网数量 100

CWE-ID	漏洞类型
CWE-416	释放后使用
NVD-CWE-Other

Exp相关链接

- avd.aliyun.com