Suivi KEV › Adobe

CVE-2016-4117 Adobe Flash Player : exécution de code arbitraire

Critique Vulnérabilité activement exploitée, exploitable massivement : la CISA l’a ajoutée à son catalogue KEV le 3 mars 2022.

  • Produit : Adobe Flash Player
  • Ajoutée au catalogue : 3 mars 2022
  • Échéance CISA : 24 mars 2022
  • Rançongiciels : utilisée dans des campagnes connues
  • Gravité : CVSS 9,8 (critique)
  • Probabilité d’exploitation (EPSS) : 94 %
  • Technologie : Adobe Flash

Une vulnérabilité d'accès à une ressource utilisant un type incompatible existe dans Adobe Flash Player et permet à un attaquant d'effectuer une exécution de code à distance.

Action requise : Le produit impacté est en fin de vie et doit être déconnecté s'il est toujours utilisé.

Références : NVD · CISA

Gravité et exploitation

  • Score CVSS 3.1 : 9,8 sur 10, gravité critique CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
  • Exploitable à distance, par le réseau, sans compte, sans action de la victime.
  • Probabilité d’exploitation dans les 30 jours (EPSS) : 94,3 %, parmi les 0,1 % de CVE les plus susceptibles d’être exploitées
  • Code d’exploitation public : signalé par la NVD.

Versions concernées

  • flash player : versions ≤ 21.0.0.226
  • enterprise linux desktop : 2 versions, de 5.0 à 6.0
  • enterprise linux server : 2 versions, de 5.0 à 6.0
  • enterprise linux server from rhui : 2 versions, de 5.0 à 6.0
  • enterprise linux workstation : 2 versions, de 5.0 à 6.0
  • evergreen : version 11.4
  • opensuse : 2 versions, de 13.1 à 13.2
  • linux enterprise desktop : 2 versions, de 12 à 12-sp1

D’après la NVD. Vérifiez toujours l’avis de l’éditeur, qui fait foi.

Chronologie

  1. — Publication de la CVE
  2. — Exploitation confirmée : ajout au catalogue KEV de la CISA
  3. — Échéance de correction pour les agences fédérales américaines

Références

Sources : catalogue KEV de la CISA (CC0), NVD (NIST), EPSS (FIRST.org), CWE (MITRE). Données mises à jour automatiquement.

Texte original de la CISA (anglais)

Adobe Flash Player Arbitrary Code Execution Vulnerability

An access of resource using incompatible type vulnerability exists within Adobe Flash Player that allows an attacker to perform remote code execution.

Required action: The impacted product is end-of-life and should be disconnected if still in use.

Autres failles exploitées de Adobe Flash Player

  • CVE-2014-0502 — Adobe Flash Player : vulnérabilité de double libération (17 septembre 2024)
  • CVE-2014-0497 — Adobe Flash Player : vulnérabilité de sous-dépassement d'entier (17 septembre 2024)
  • CVE-2013-0648 — Adobe Flash Player : vulnérabilité d'exécution de code (17 septembre 2024)
  • CVE-2013-0643 — Adobe Flash Player : vulnérabilité de permissions par défaut incorrectes (17 septembre 2024)
  • CVE-2012-5054 — Adobe Flash Player : vulnérabilité de débordement d'entier (8 juin 2022)
  • CVE-2012-0767 — Adobe Flash Player : vulnérabilité cross-site scripting (XSS) (8 juin 2022)
  • CVE-2012-0754 — Adobe Flash Player : vulnérabilité de corruption de mémoire (8 juin 2022)
  • CVE-2011-0609 — Adobe Flash Player : vulnérabilité non spécifiée (8 juin 2022)
  • CVE-2010-1297 — Adobe Flash Player : vulnérabilité de corruption de mémoire (8 juin 2022)
  • CVE-2015-8651 — Adobe Flash Player : vulnérabilité de débordement d'entier (25 mai 2022)

← Toutes les failles Adobe · Suivi KEV