[Advisory] Schwachstellen im Adobe Flash Player und AIR

—–BEGIN PGP SIGNED MESSAGE—–
Hash: SHA1

Liebe Kolleginnen und Kollegen,

soeben erreichte uns das nachfolgende Advisory des CERT Coordination
Centers. Wir geben diese Informationen unveraendert an Sie weiter.

CVE-2009-3796 – Data Injection Schwachstelle im Adobe Flash Player

Im Adobe Flash Player befindet sich eine nicht naeher beschriebene
Schwachstelle im Zusammenhang mit “Data Injection”, die Angreifer dazu
ausnutzen koennen, beliebigen Code mit den Rechten des Benutzers
auszufuehren.

CVE-2009-3800 – Memory Corruption Schwachstelle im Adobe Flash Player

Im Adobe Flash Player befindet sich eine nicht naeher beschriebene
Schwachstelle im Zusammenhang mit “Memory Corruption”, die Angreifer
dazu ausnutzen koennen, beliebigen Code mit den Rechten des Benutzers
auszufuehren.

CVE-2009-3799 – Integer Overflow in der Adobe Flash Player Funktion
Verifier::parseExceptionHandlers()

Die Funktion Verifier::parseExceptionHandlers() des Adobe Flash
Players bzw. der Adobe Integrated Runtime (AIR) ueberprueft den Wert des
Parameters “exception_count” nicht, wodurch ein Integer Overflow
ausgeloest werden kann. Angreifer koennen diese Schwachstelle dazu
ausnutzen, beliebigen Code mit den Rechten des Benutzers auszufuehren,
indem Sie ihn dazu bringen, eine entsprechend aufgebaute Flash Datei
zu oeffnen.

CVE-2009-3794 – Heap Overflow im Adobe Flash Player beim Parsen von JPEG
Bilddaten

Der Adobe Flash Player ueberprueft die Groessenangaben eines JPEG-Bilds
das sich in einer Flash Datei (.swf) befindet nicht ausreichend.
Infolge dessen kann ein Heap Overflow ausgeloest werden. Angreifer
koennen diese Schwachstelle dazu ausnutzen, beliebigen Code mit den
Rechten des Benutzers auszufuehren, indem Sie ihn dazu bringen, eine
entsprechend aufgebaute Flash Datei zu oeffnen, z.B. als Teil einer
Webseite.

CVE-2009-3951 – Schwachstelle in der Adobe Flash Player ActiveX Control

In der Adobe Flash Player ActiveX Control befindet sich eine nicht
naeher beschriebene Schwachstelle im Zusammenhang mit lokalen
Dateinamen (local file name access), durch die entfernte Angreifer
Zugriff auf evtl. vertrauliche Informationen des Benutzers erlangen
koennen.

Die Schwachstelle ist ein Update der Schwachstelle CVE-2008-4820 und
betrifft nur Windows Betriebssysteme.

CVE-2009-3798 – Schwachstelle in der Adobe Flash Player Funktion
Class.Switch()

In der Adobe Flash Player Funktion Getproperty() befindet sich eine
nicht naeher beschriebene Schwachstelle, durch die Datenstrukturen im
Hauptspeicher ueberschrieben werden koennen (Memory Corruption).
Angreifer koennen diese Schwachstelle dazu ausnutzen, beliebigen Code
mit den Rechten des Benutzers auszufuehren, indem Sie ihn dazu bringen,
eine entsprechend aufgebaute Flash Datei zu oeffnen.

CVE-2009-3797 – Schwachstelle in der Adobe Flash Player Funktion
Getproperty()

Betroffen sind die folgenden Software Pakete und Plattformen:

Flash Player 10.0.12.36 und aelter fuer Windows und MacOS X
Flash Player 10.0.15.3 und aelter fuer Linux
AIR 1.5 vor Version 1.5.3
Flash CS4 Professional vor Version 10.0.42.34
Flash CS3 Professional vor Version 9.0.260
Flex 3 vor Version 10.0.42.34

Windows
Linux
MacOS X
Sun Solaris

Vom Hersteller werden ueberarbeitete Pakete zur Verfuegung gestellt.

Hersteller Advisory:
http://www.adobe.com/support/security/bulletins/apsb09-19.html
http://www.us-cert.gov/cas/techalerts/TA09-343A.html

(c) der deutschen Zusammenfassung bei DFN-CERT Services GmbH; die
Verbreitung, auch auszugsweise, ist nur unter Hinweis auf den Urheber,
DFN-CERT Services GmbH, und nur zu nicht kommerziellen Zwecken
gestattet.

Mit freundlichen Gruessen,
Torsten Voss

– —

Dipl.-Ing.(FH) Torsten Voss (Incident Response Team)

DFN-CERT Services GmbH, https://www.dfn-cert.de, Phone +49 40 808077-555
Sitz / Register: Hamburg, AG Hamburg, HRB 88805, Ust-IdNr.: DE 232129737
Sachsenstrasse 5, 20097 Hamburg/Germany, CEO: Dr. Klaus-Peter Kossakowski

17. DFN Workshop “Sicherheit in vernetzten Systemen” 09./10.02.2010
Informationen unter https://www.dfn-cert.de/veranstaltungen/workshop.html

– —–BEGIN PGP SIGNED MESSAGE—–
Hash: SHA1

National Cyber Alert System

Technical Cyber Security Alert TA09-343A

Adobe Flash Vulnerabilities Affect Flash Player and Adobe AIR

Original release date:
Last revised: —
Source: US-CERT

Systems Affected

* Adobe Flash Player 10.0.32.18 and earlier versions
* Adobe AIR 1.5.2 and earlier versions

Overview

Adobe has released Security Bulletin APSB09-19, which describes
vulnerabilities affecting Adobe Flash Player and Adobe AIR.

I. Description

Adobe Security Bulletin APSB09-19 describes vulnerabilities
affecting Adobe Flash Player and Adobe AIR. Flash Player version
10.0.32.18 and earlier versions as well as Adobe AIR versions 1.5.2
and earlier are affected.

An attacker could exploit this vulnerability by convincing a user
to visit a website that hosts a specially crafted SWF file. The
Adobe Flash browser plugin is available for multiple web browsers
and operating systems, any of which could be affected.

II. Impact

This vulnerability allows a remote attacker to execute arbitrary
code as the result of a user viewing a web page.

III. Solution

Users are encouraged to update Flash Player 10.0.32.18 and earlier
versions as well as Adobe AIR 1.5.2 and earlier versions to the
latest version.

These vulnerabilities can be mitigated by disabling the Flash
plugin or by using the NoScript extension for Mozilla Firefox or
SeaMonkey to whitelist websites that can access the Flash plugin.
For more information about securely configuring web browsers,
please see the Securing Your Web Browser document.

IV. References

* Adobe Security Bulletin APSB09-19 –
http://www.adobe.com/support/security/bulletins/apsb09-19.html

____________________________________________________________________

The most recent version of this document can be found at:

http://www.us-cert.gov/cas/techalerts/TA09-343A.html
____________________________________________________________________

Feedback can be directed to US-CERT Technical Staff. Please send
email to with “TA09-343A Feedback VU#392637” in
the subject.
____________________________________________________________________

For instructions on subscribing to or unsubscribing from this
mailing list, visit http://www.us-cert.gov/cas/signup.html.
____________________________________________________________________

Produced 2009 by US-CERT, a government organization.

http://www.us-cert.gov/legal.html
____________________________________________________________________

Revision History

December 09, 2009: Initial release

– —–BEGIN PGP SIGNATURE—–
Version: GnuPG v1.4.5 (GNU/Linux)

iQEVAwUBSx/yqtucaIvSvh1ZAQIqGwf+Ne0xmfPFETwdMHKUWtGxkHEcwFSH7p5r
eG3hm+Crz/chctWpsXBBQPzDtOMkNwLfkNq+/CatxY0MAl+2GCxCo2hhtznfTM5H
dYjw3Yu/Kj0lFfB6sfOJDVG42G8Etq6/b7IfSjt4eq2tUNAEhMlAwY/YXRMq9J1L
QCiu0MksEUJnmCeUmyU85xJSHhBTZpQ1O6628WjMWjAioOUFXFJw6WO0xlwqHbx3
EVk+budrlmHdW9IuhGvlfvGw9gqsbb8brR/dKe8HIwFcicYwMXuYN21+qPMlY806
AC7PbrTHaZN8DqgU9RV39aHDNE9oOmsassMQsNEVwaPAA45lGvH4qQ==
=+S2G
– —–END PGP SIGNATURE—–
—–BEGIN PGP SIGNATURE—–
Version: GnuPG v1.4.2 (GNU/Linux)

iD8DBQFLIPock0kIxZMiiQ8RAoLXAKDFiRrjlillk7MmUgNZmGBWom5HwgCgywx6
IfU55vGp5I/nPv0Sho7mDas=
=YnqJ
—–END PGP SIGNATURE—–

[Advisory] Schwachstellen im Adobe Flash Player und AIR - TA09-343A

LMP003 Chemnitzer Linux-Tage 2026

[Advisory] Schwachstellen im Adobe Flash Player und AIR – TA09-343A

[Advisory] Schwachstellen im Adobe Flash Player und AIR - TA09-343A