Adobe исправила две критические уязвимости в Shockwave Player

Во вторник, 9 сентября, Adobe выпустила новую версию Shockwave Player, исправляющую две критические уязвимости . Бреши повреждения памяти CVE-2015-6680 и CVE-2015-6681 позволяли злоумышленнику удаленно выполнить код и получить контроль над системой. Уязвимым является Shockwave для Windows 12.1.9.160 и более ранних версий. Рекомендуется как можно скорее обновить плеер до версии 12.2.0.162. В настоящее время свидетельства эксплуатации этих уязвимостей отсутствуют.

Бреши существовали из-за некорректной проверки программным обеспечением вводимых пользователем данных. Злоумышленник мог проэксплуатировать их, вынудив жертву посетить web-сайт, содержащий вредоносный Shockwave-контент. Обработка такого контента могла вызвать повреждение памяти, позволяющую атакующему выполнить код с правами пользователя. В результате успешной атаки хакер мог получить контроль над уязвимой системой.

Отметим, что это уже третье исправление, выпущенное Adobe за последние несколько недель. Так, 18 августа состоялся релиз патча для уязвимости в инструменте для разработки приложений Adobe LiveCycle Data Services. Брешь существовала в компоненте Apache Flex BlazeDS. 27 августа эта же уязвимость была исправлена в ColdFusion.