S . G . D . S . N Agence nationale de la sécurité des systèmes d'information

Paris, le 09 août 2002 No CERTA-2002-AVI-171

Affaire suivie par :

CERTA

Objet : Vulnérabilités dans Macromedia Flash Player

Gestion du document

Une gestion de version détaillée se trouve à la fin de ce document.

1 Risque

• Exécution de code arbitraire ;
• accès non autorisé aux données.

2 Systèmes affectés

Navigateurs Web avec Macromedia Flash Player versions antérieures à la version 6,0,47,0.

3 Résumé

Deux vulnérabilités présentes dans Macromedia Flash Player permettent d'accèder aux données de l'utilisateur, ou d'exécuter du code arbitraire sur sa machine.

4 Description

Macromedia Flash Player permet de lire des fichiers au format Flash.

Deux vulnérabilités ont été découvertes dans Macromedia Flash Player.

La première vulnérabilité concerne les entêtes des fichiers au format Shockwave Flash (extension .swf). Un utilisateur mal intentionné peut modifier l'entête d'un tel fichier dans le but de faire exécuter du code arbitraire sur la machine d'un internaute lisant ce fichier.

La seconde vulnérabilité permet à un utilisateur mal intentionné de lire le contenu de certains fichiers d'un internaute, et de rediriger ceux-ci vers un serveur Web. Le nom des fichiers lus doit être connu préalablement.

5 Solution

Mettre à jour Macromedia Flash Player avec la version 6,0,47,0.

La nouvelle version peut être téléchargée depuis l'adresse suivante :

http://www.macromedia.com/go/getflashplayer

6 Documentation

Avis Macromedia MPSB02-09 :

http://www.macromedia.com/v1/handlers/index.cfm?ID=23293

Avis Macromedia MPSB02-10 :

http://www.macromedia.com/v1/handlers/index.cfm?ID=23294

Gestion détaillée du document

09 août 2002

version initiale.