Обновление для Adobe Flash Player устранило критическую RCE-уязвимость

Спустя неделю после ноябрьского «вторника обновлений» компания Adobe сообщила о релизе внепланового патча для критической уязвимости во Flash Player.

Проблеме был присвоен идентификатор CVE-2018-15981, и она относится к типу type confusion. Баг позволяет удаленному атакующему выполнить произвольный код в контексте текущего пользователя и представляет угрозу для Flash Player версии 31.0.0.148 и ниже. Уязвимость проявляется на многих платформах, включая Windows, macOS, Linux и Chrome OS.

При этом разработчики Adobe предупреждают, что немедленно установить патчи стоит не только потому, что уязвимость является критической, но и в силу того, что информация о проблеме была опубликована в сети еще несколько дней тому назад.

Хотя специалисты не конкретизируют, о какой именно публикации идет речь, еще 13 ноября детали свежей проблемы в своем блоге раскрыл израильский ИБ-исследователь Гил Дабах (Gil Dabah). По какой причине специалист выложил информацию о 0-day проблеме в открытом доступе, не дожидаясь патча, неизвестно.

Стоит отметить, что в этом месяце это уже вторая уязвимость в продуктах Adobe, которую закрывают уже после публичного раскрытия деталей. Ранее в рамках «вторника обновлений» компания устранила баг, который мог привести к случайной утечке хешированных паролей NTLM. Исходно информация об этой уязвимости была обнародована еще в апреле текущего года экспертами компании Check Point. Позже специалисты EdgeSpot обнаружили, что весной проблему не исправили до конца и описали метод обхода исправлений.

Источник