CVE-2018-4944

Adobe Flash Player – type confusion umożliwiający RCE (CVE-2018-4944)

CVSS 9.8v3.0pub. 2018-05-19upd. 2024-11-21

Adobe Flash Player w wersjach 29.0.0.140 i wcześniejszych zawiera krytyczną podatność typu type confusion (CWE-704), która może zostać wykorzystana zdalnie bez uwierzytelnienia. Skuteczne wykorzystanie luki pozwala atakującemu na wykonanie dowolnego kodu w kontekście bieżącego użytkownika.

▸ Pokaż oryginał (EN)

Adobe Flash Player versions 29.0.0.140 and earlier have an exploitable type confusion vulnerability. Successful exploitation could lead to arbitrary code execution in the context of the current user.

🤖 Analiza AI

Jak działa

Podatność polega na błędzie konwersji typów (type confusion) w Adobe Flash Player, co oznacza, że aplikacja nieprawidłowo interpretuje typ obiektu w pamięci. Atakujący może dostarczyć specjalnie spreparowaną zawartość Flash (np. plik SWF), która wywołuje tę nieprawidłową interpretację. Prowadzi to do uszkodzenia pamięci w sposób umożliwiający wykonanie dowolnego kodu. Atak nie wymaga żadnego uwierzytelnienia ani interakcji ze strony ofiary poza otwarciem złośliwej treści.

Skutki

Atakujący może wykonać dowolny kod (RCE) w kontekście zalogowanego użytkownika, co może skutkować przejęciem kontroli nad systemem, kradzieżą danych lub instalacją złośliwego oprogramowania.

Mitygacja

Należy zaktualizować Adobe Flash Player do wersji wskazanej w biuletynie bezpieczeństwa producenta APSB18-16 (https://helpx.adobe.com/security/products/flash-player/apsb18-16.html). Użytkownicy Red Hat Enterprise Linux powinni zastosować poprawkę dostępną w erracie RHSA-2018:1367.