CERT-FI haavoittuvuustiedote 135/2008

6.11.2008

Haavoittuvuuksia Adobe Flash Playerissä


Kohde:	- työasemat ja loppukäyttäjäsovellukset	Lisätietoja
Hyökkäystapa:	- paikallisesti	Lisätietoja
Hyväksikäyttö:	- käyttövaltuuksien laajentaminen - tietojen muokkaaminen - luottamuksellisen tiedon hankkiminen	Lisätietoja
Ratkaisu:	- korjaava ohjelmistopäivitys	Lisätietoja

Adobe Flash Playeristä on löytynyt kuusi haavoittuvuutta.

CVE-2008-4818 Päivitys muuttaa Flash Playerin tapaa tulkita HTTP-vastausotsikoita estääkseen mahdollisen cross-site scripting hyökkäyksen.

CVE-2008-4819 Päivitys rajoittaa ongelmaa, jonka avulla hyökkääjä voisi suorittaa ns. DNS rebinding -hyökkäyksen.

CVE-2008-4820 Päivityksellä korjataan Flash Playerin Windows-version ActiveX-komponentissa oleva ongelma jonka avulla hyökkääjä voi saada tietoja käyttäjän järjestelmästä.

CVE-2008-4821 korjaa ongelman Flash Playerin tavassa tulkita jar: protokollaa Mozilla-selaimilla. Muodostamalla tietyllä tavalla jar: -URLin ja houkuttelemalla käyttäjän tähän osoitteeseen, hyökkääjä voi saada tietoja käyttäjän järjestelmästä.

CVE-2008-4822 Päivityksellä korjataan ongelma, jonka avulla hyökkääjä voi ohittaa ei-juuritason domain policyn houkuttelemalla käyttäjän avaamaan tietyllä tavalla muotoillun Flash-tiedoston.

CVE-2008-4823 rajoittaa Actionscriptin ominaisuuksien tulkintaa ratkaistakseen ongelman, jota hyväksikäyttämällä voidaan toteuttaa hyökkäys HTML-ruiskeen avulla.