Podatność typu use-after-free w Adobe Flash Player pozwala zdalnemu atakującemu na wykonanie dowolnego kodu bez uwierzytelnienia. Luka była aktywnie wykorzystywana w środowisku produkcyjnym w lutym 2015 roku.
▸ Pokaż oryginał (EN)
Use-after-free vulnerability in Adobe Flash Player before 13.0.0.269 and 14.x through 16.x before 16.0.0.305 on Windows and OS X and before 11.2.202.442 on Linux allows remote attackers to execute arbitrary code via unspecified vectors, as exploited in the wild in February 2015, a different vulnerability than CVE-2015-0315, CVE-2015-0320, and CVE-2015-0322.
Podatność wynika z błędu zarządzania pamięcią kategorii use-after-free, polegającego na odwołaniu się do obszaru pamięci po jego zwolnieniu. Atakujący może wywołać ten błąd poprzez bliżej nieokreślone wektory dostarczane zdalnie, bez konieczności interakcji użytkownika ani uwierzytelnienia. Skuteczne wykorzystanie luki prowadzi do wykonania dowolnego kodu w kontekście procesu Adobe Flash Player.
Atakujący może zdalnie wykonać dowolny kod (RCE) na systemie ofiary, co w praktyce oznacza możliwość przejęcia pełnej kontroli nad systemem, instalacji złośliwego oprogramowania lub kradzieży danych.
Należy zaktualizować Adobe Flash Player do wersji 13.0.0.269 lub nowszej (Windows/OS X), 16.0.0.305 lub nowszej (Windows/OS X dla gałęzi 14.x–16.x) oraz 11.2.202.442 lub nowszej na systemach Linux. Zaleca się zastosowanie patchy dostępnych u producenta zgodnie z referencjami.
Adobe Flash Player w wersjach wcześniejszych niż 13.0.0.269 oraz 14.x–16.x przed 16.0.0.305 na systemach Windows i OS X; na systemie Linux — wersje wcześniejsze niż 11.2.202.442
Podatność była aktywnie exploitowana w środowisku produkcyjnym w lutym 2015 roku, co potwierdzają oryginalny opis CVE oraz wpis w CISA KEV. Jest to odrębna podatność od CVE-2015-0315, CVE-2015-0320 i CVE-2015-0322, choć wszystkie dotyczą tego samego mechanizmu use-after-free w Adobe Flash Player.
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:HAdobe Flash Player
APPAdobe< 11.2.202.442< 13.0.0.26914.0.0.125 – 16.0.0.305 (bez)Apple Mac Os X
OSApplewszystkie wersjeLinux Kernel
OSLinuxwszystkie wersjeMicrosoft Edge
APPMicrosoftwszystkie wersjeMicrosoft Internet Explorer
APPMicrosoft1011Microsoft Windows
OSMicrosoftwszystkie wersjeMicrosoft Windows 10 1507
OSMicrosoftwszystkie wersjeMicrosoft Windows 8
OSMicrosoftwszystkie wersjeMicrosoft Windows 8.1
OSMicrosoftwszystkie wersjeMicrosoft Windows Rt
OSMicrosoftwszystkie wersjeMicrosoft Windows Rt 8.1
OSMicrosoftwszystkie wersjeMicrosoft Windows Server 2012
OSMicrosoftr2Opensuse Evergreen
OSOpensuse11.4Opensuse
OSOpensuse13.113.2SUSE Linux Enterprise Desktop
OSSuse1112SUSE Linux Enterprise Workstation Extension
OSSuse12
CISA KEV — szczegółyi
- Dostawcai
- Adobe ↗
- Produkti
- Flash Player
- Data dodania do KEVi
- 13 kwietnia 2022
- Termin remediation (USA)i
- 4 maja 2022(po terminie)
Impactowany produkt jest end-of-life i powinien zostać odłączony, jeśli jest nadal w użyciu.
▸ Pokaż oryginał (EN)
The impacted product is end-of-life and should be disconnected if still in use.
Luka Use-after-free w Adobe Flash Player umożliwia zdalnym atakującym wykonanie kodu.
▸ Pokaż oryginał (EN)
Use-after-free vulnerability in Adobe Flash Player allows remote attackers to execute code.
Powiązane podatności
Atak na łańcuch dostaw DAEMON Tools Lite — trojanizacja instalatorów
RCE w Windows Server Update Service (WSUS) — deserializacja danych
Type confusion w V8 (Google Chrome) — zdalne uszkodzenie sterty
Sudo: eskalacja uprawnień do root poprzez opcję --chroot (CVE-2025-32463)
Commvault Command Center – nieuwierzytelniony RCE przez path traversal w ZIP