Forum Debian Users Gang

Cześć. Adobe wydało kolejne atualizacje. Naprawiono wiele luk w zabezpieczeniach, między innymi tzw. use-after-free, heap buffer overflow, a stack overflow, czy an integer overflow vulnerability, które dotyczą produktu Adobe Flash Player w wersjach: 11.2.202.548, 19.0.0.245 oraz poprzednich wydań. Pakiet flashplugin, jest podatny na wiele problemów w tym, ale nie ograniczające się, do wykonania dowolnego kodu etc. A więc nowe wersje, to odpowiednio:

- NPAPI: 11.2.202.554
- PPAPI: 20.0.0.228

Szczegółowe informacje, znajdują się w oficjalnym biuletynie bezpieczeństwa Adobe: APSB15-32. (Warto zwrócić uwagę na ilość tzw. identyfikatorów CVE).

Pozdrawiam serdecznie.

EDYCJA: stylistyka oraz info dot. Biuletynu

Ostatnio edytowany przez remi (2015-12-12 14:26:46)

Serwus. Krótka informacja, dot. kolejnej aktualizacji bezpieczeństwa produktu Adobe Flash Player. W większości naprawiono luki związane z tzw. use-after-free vulnerabilities, co może doprowadzić do wykonania dowolnego kodu etc. Uaktualnienia wymagają wersje: 11.2.202.554, 20.0.0.228 oraz, oczywiście, wcześniejsze wydania.

╔══ INFO ═════════
║ - NPAPI: 11.2.202.559
║ - PPAPI: 20.0.0.267
╚═══════════════

Biuletyn Bezpieczeństwa, zawierający dokładne informacje (w tym identyfikatory CVE etc.), znajduje się w tym miejscu: APSB16-01. Adobe informuje, że istnieje exploit dot. zgłoszenia CVE-2015-8651, który jest używany do przeprowadzenia ograniczonych, ukierunkowanych ataków.

Pozdrawiam serdecznie.

EDYCJA: dodanie informacji odnośnie exploit'a

Ostatnio edytowany przez remi (2015-12-29 10:40:59)

Serwus. Dostępna jest kolejna aktualizacja Adobe Flash Player, zawierająca poprawki dla krytycznych luk bezpieczeństwa znalezionych w poprzednich wersjach, które potencjalnie mogą umożliwić osobie atakującej, przejęcie kontroli nad zaatakowanym systemem. Aktualizacja naprawia 23. luki w zabezpieczeniach (zob. indentyfikatory CVE).

New upstream release:
           * NPAPI: 11.2.202.577    (Vulnerable: 11.2.202.569)
           * PPAPI: 21.0.0.182    (Vulnerable: 20.0.0.306)
           - CVE-ID: CVE-2016-0960 CVE-2016-0961 CVE-2016-0962 CVE-2016-0963,
                            CVE-2016-0986 CVE-2016-0987 CVE-2016-0988 CVE-2016-0989,
                            CVE-2016-0990 CVE-2016-0991 CVE-2016-0992 CVE-2016-0993,
                            CVE-2016-0994 CVE-2016-0995 CVE-2016-0996 CVE-2016-0997,
                            CVE-2016-0998 CVE-2016-0999 CVE-2016-1000 CVE-2016-1001,
                            CVE-2016-1002 CVE-2016-1005 CVE-2016-1010.
           - debian/flashplugin-installer.{config,postinst},
             debian/post-download-hook: Updated version and sha256sum

Opis: aktualizacja, w większości przypadków, adresuje problemy tzw. Integer overflow vulnerabilities, które mogłyby prowadzić do wykonania dowolnego kodu (zob. CVE-2016-0987 — CVE-2016-1000). Rozwiązano również kwestie, odnoszące się m.in. do Use-after-free, Heap overflow oraz Memory corruption vulnerabilities. W każdym z przypadków, znalezione luki także umożliwiały zrealizowanie dowolnego kodu etc. Generalnie osoba atakująca, może spreparować specjalny plik flash, który jest w stanie doprowadzić do wykonania dowolnego kodu, za pośrednictwem wielu wektorów.

Adobe jest świadome istnienia raportu na temat exploit'a, dotyczącego zgłoszenia CVE-2016-1010, który jest używany do przeprowadzania ograniczonych, ukierunkowanych ataków. Więcej informacji, można jak zwykle znaleźć w opublikowanym przez Adobe, Biuletynie: APSB16-08.

Pozdrawiam serdecznie.

EDYCJA: dodanie informacji dotyczących identyfikatorów CVE oraz rozwiązanych problemów etc.

Ostatnio edytowany przez remi (2016-03-13 13:02:49)

Serwus. Krótki post dot. kolejnej aktualizacji pakietu flashplugin-nonfree. Ta aktualizacja rozwiązuje wiele luk w zabezpieczeniach programu Adobe Flash Player, znalezionych w poprzednich wersjach etc., które dotyczą m.in. use-after-free, a heap buffer overflow, czy memory corruption vulnerabilities.

New upstream release:
           * Release date: May 12, 2016
           * NPAPI: 11.2.202.621    (Vulnerable: 11.2.202.616)
           * PPAPI: 21.0.0.242    (Vulnerable: 21.0.0.213)
           - CVE-ID: CVE-2016-1096 CVE-2016-1097 CVE-2016-1098 CVE-2016-1099
                            CVE-2016-1100 CVE-2016-1101 CVE-2016-1102 CVE-2016-1103
                            CVE-2016-1104 CVE-2016-1105 CVE-2016-1106 CVE-2016-1107
                            CVE-2016-1108 CVE-2016-1109 CVE-2016-1110 CVE-2016-4108
                            CVE-2016-4109 CVE-2016-4110 CVE-2016-4111 CVE-2016-4112
                            CVE-2016-4113 CVE-2016-4114 CVE-2016-4115 CVE-2016-4116
                            CVE-2016-4117
          - debian/flashplugin-installer.{config,postinst},
          - debian/post-download-hook: Updated version and sha256sum

Powyższe problemy wyszczególnione zostały w Biuletynie Bezpieczeństwa Adobe: APSB16-15. Adobe informuje, że istnieje exploit odnoszący się do zgłoszenia CVE-2016-4117. Wersję programu Adobe Flash Player zainstalowaną w systemie, można sprawdzić np. na stronie: About Flash Player page.

Pozdrawiam serdecznie.

Cześć. Przepraszam za zwłokę, ale ostatnio brakuje mi czasu. Kilka dni temu Adobe wydało kolejną aktualizację bezpieczeństwa dot. pakietu flash-plugin. Jak zwykle rozwiązano wiele luk w zabezpieczeniach programu etc. Luki te, wyszczególnione zostały w Biuletynie Bezpieczeństwa Adobe: APSB16-29.

New upstream release:
           * Release date: 13. Wrzesień, 2016
           * NPAPI: 11.2.202.635    (Vulnerable: 11.2.202.632)
           * PPAPI: 23.0.0.162    (Vulnerable: 22.0.0.209)
           - CVE-ID: CVE-2016-4271 CVE-2016-4272 CVE-2016-4274 CVE-2016-4275
                            CVE-2016-4276 CVE-2016-4277 CVE-2016-4278 CVE-2016-4279
                            CVE-2016-4280 CVE-2016-4281 CVE-2016-4282 CVE-2016-4283
                            CVE-2016-4284 CVE-2016-4285 CVE-2016-4287 CVE-2016-6921
                            CVE-2016-6922 CVE-2016-6923 CVE-2016-6924 CVE-2016-6925
                            CVE-2016-6926 CVE-2016-6927 CVE-2016-6929 CVE-2016-6930
                            CVE-2016-6931 CVE-2016-6932
           - debian/flashplugin-installer.{config,postinst},
           - debian/post-download-hook: Updated version and sha256sum

W przeważającej większości naprawiono problemy związane z memory corruption vulnerabilities. Poza tym aktualizacja adresuje tzw. use-after-free oraz an integer overflow vulnerability.

Pozdrawiam serdecznie i raz jeszcze przepraszam za opóźnienie.

Cześć. Krótka notka informacyjna dot. nowych wersji wtyczki flash-plugin oraz jednego rozwiązanego problemu, szczegółowo opisanego w the Adobe Security Bulletin - a use-after-free vulnerability (zob. CVE-2016-7855 [w:] Biuletyn Adobe APSB-16-36):

- NPAPI: 11.2.202.643   (Vulnerable: 11.2.202.637)   
- PPAPI: 23.0.0.205   (Vulnerable: 23.0.0.185)

Więcej informacji znajduje się w Biuletynie Adobe: APSB-16-36.

Pozdrawiam.

3249

Ostatnio edytowany przez uzytkownikubunt (2016-12-01 01:46:43)

Flash jest potrzebny, można dzięki niemu więcej reklam pooglądać. xD

W Windows dodatkowo pomaga  w utrzymaniu systemu w dobrym stanie przez częste reinstalacje po różnych  wirusach. xD

Witam serdecznie. Myślę, że Hepita ma rację. Od kilku miesięcy testuję internet via Firefox z wtyczką flash, ale z opcją [Nigdy nie aktywuj]. W około 1. % przypadków, musiałem zmienić owe ustawienie, dlatego myślę nad całkowitym odinstalowaniem pakietu flashplugin-nonfree, pozbywając się jednocześnie profilu AppArmor.

Pozdrawiam.

A wam ten speedtest bez flasha dobrze działa? U mnie raz na 10 może jakiś test puści, reszta się wiesza. Poza tym, nie wszystkie pokemony jeszcze przeszły na html5 i trzeba flashem jechać. xD

3250

Ostatnio edytowany przez uzytkownikubunt (2016-12-01 01:46:44)

Serwus. Biorąc pod uwagę powyższe opinie uzytkowników Hepita, Jacekalex oraz moje własne doświadczenia myślę, że dodawanie kolejnych postów dot. nowych wersji wtyczki flash-plugin, jest bezzasadne. Nie trzeba być specjalnie przenikliwym, by przewidzieć, że kolejne aktualizacje będą się pojawiać. Dotychczasowe wiadomości, to skwapliwie potwierdzają a ta opinia, i sam wątek w ogóle, są symptomatyczne. Przypomina mi się to zawsze, ilekroć czytam nowy Biuletyn Adobe :- )

Dlatego użytkownicy, którzy w dalszym ciągu korzystają z Flash Player'a mogą tak, jak radzi przyzwyczajenie, instynkt etc., uruchamiać, co jakiś czas polecenie aktualizujące wtyczkę (# update-flashplugin-nonfree --install), bądź wykorzystać w tym celu cron(8) - będący demonem systemowym, którego zadaniem jest cykliczne uruchamianie programów, poleceń itd. Być może istnieje jeszcze jakiś inny, prosty sposób? Jak widać te sprawy uprościły się. Ale, nie mogę pisać powieści... dlatego kończę.

Pozdrawiam serdecznie.