Adobe flash-player が 11.2.202.626 に更新され、次のセキュリティ問題が修正されました：

11.2.202.626 へのセキュリティ更新（boo#984695）：

- APSB16-18、CVE-2016-4122、CVE-2016-4123、CVE-2016-4124、CVE-2016-4125、CVE-2016-4127、CVE-2016-4128、CVE-2016-4129、CVE-2016-4130、CVE-2016-4131、CVE-2016-4132、CVE-2016-4133、CVE-2016-4134、CVE-2016-4135、CVE-2016-4136、CVE-2016-4137、CVE-2016-4138、CVE-2016-4139、CVE-2016-4140、CVE-2016-4141、CVE-2016-4142、CVE-2016-4143、CVE-2016-4144、CVE-2016-4145、CVE-2016-4146、CVE-2016-4147、CVE-2016-4148、CVE-2016-4149、CVE-2016-4150、CVE-2016-4151、CVE-2016-4152、CVE-2016-4153、CVE-2016-4154、CVE-2016-4155、CVE-2016-4156、CVE-2016-4166、CVE-2016-4171

詳細については、https://helpx.adobe.com/security/products/flash-player/apsb16-18.html を参照してください。

flash-plugin の更新が、Red Hat Enterprise Linux 5 Supplementary および Red Hat Enterprise Linux 6 Supplementary で現在利用可能です。

Red Hat 製品セキュリティは、この更新がセキュリティに及ぼす影響を重要度最高として評価しています。詳細な重要度評価を示す Common Vulnerability Scoring System（CVSS）ベーススコアは、「参照」セクションで CVE リンクから脆弱性ごとに入手できます。

Flash プラグインパッケージには、Mozilla Firefox と互換性のある Adobe Flash Player Web ブラウザプラグインが含まれています。

この更新は、Flash Player をバージョン 11.2.202.626 にアップグレードします。

セキュリティ修正：

* この更新は、Adobe Flash Player の複数の脆弱性を修正します。
これらの脆弱性は、「参照」セクションに記載されている Adobe Security Bulletin で詳細に説明されています。これらの脆弱性により、攻撃者が特別に細工された SWF ファイルを作成して、被害者が悪意のある SWF コンテンツを含むページを読み込むと、Flash プラグインのクラッシュ、任意のコードの実行、または機密情報の漏洩を引き起こす可能性があります。
（CVE-2016-4122、CVE-2016-4123、CVE-2016-4124、CVE-2016-4125、CVE-2016-4127、CVE-2016-4128、CVE-2016-4129、CVE-2016-4130、CVE-2016-4131、CVE-2016-4132、CVE-2016-4133、CVE-2016-4134、CVE-2016-4135、CVE-2016-4136、CVE-2016-4137、CVE-2016-4138、CVE-2016-4139、CVE-2016-4140、CVE-2016-4141、CVE-2016-4142、CVE-2016-4143、CVE-2016-4144、CVE-2016-4145、CVE-2016-4146、CVE-2016-4147、CVE-2016-4148、CVE-2016-4149、CVE-2016-4150、CVE-2016-4151、CVE-2016-4152、CVE-2016-4153、CVE-2016-4154、CVE-2016-4155、CVE-2016-4156、CVE-2016-4166、CVE-2016-4171）

Adobe flash-player が 11.2.202.626 に更新され、次のセキュリティ問題が修正されました：

11.2.202.626 へのセキュリティ更新（boo#984695）：

- APSB16-18、CVE-2016-4122、CVE-2016-4123、CVE-2016-4124、CVE-2016-4125、CVE-2016-4127、CVE-2016-4128、CVE-2016-4129、CVE-2016-4130、CVE-2016-4131、CVE-2016-4132、CVE-2016-4133、CVE-2016-4134、CVE-2016-4135、CVE-2016-4136、CVE-2016-4137、CVE-2016-4138、CVE-2016-4139、CVE-2016-4140、CVE-2016-4141、CVE-2016-4142、CVE-2016-4143、CVE-2016-4144、CVE-2016-4145、CVE-2016-4146、CVE-2016-4147、CVE-2016-4148、CVE-2016-4149、CVE-2016-4150、CVE-2016-4151、CVE-2016-4152、CVE-2016-4153、CVE-2016-4154、CVE-2016-4155、CVE-2016-4156、CVE-2016-4166、CVE-2016-4171

詳細については、https://helpx.adobe.com/security/products/flash-player/apsb16-18.html を参照してください。

注意：Tenable Network Security は、前述の記述ブロックを SUSE セキュリティアドバイザリから直接抽出しています。Tenable では、できる限り新たな問題を持ち込まないように、自動的に整理して書式設定するようにしています。

リモート Mac OS X ホストにインストールされている Adobe Flash Player のバージョンは、 21.0.0.242 以前です。したがって、以下の複数の脆弱性による影響を受けます：

- 複数のメモリ破損の問題が存在するため、認証されていないリモートの攻撃者が、サービス拒否状態を引き起こしたり、任意のコードを実行したりすることが可能です。
 (CVE-2016-4122、CVE-2016-4123、CVE-2016-4124、 CVE-2016-4125、CVE-2016-4127、CVE-2016-4128、 CVE-2016-4129、CVE-2016-4130、CVE-2016-4131、 CVE-2016-4132、CVE-2016-4133、CVE-2016-4134、 CVE-2016-4137、CVE-2016-4141、CVE-2016-4150、 CVE-2016-4151、CVE-2016-4152、CVE-2016-4153、 CVE-2016-4154、CVE-2016-4155、CVE-2016-4156、 CVE-2016-4166、CVE-2016-4171)

- ユーザー指定入力の不適切な検証により、複数のヒープバッファオーバーフロー状態が存在します。認証されていないリモートの攻撃者が、これらを悪用して、任意のコードを実行する可能性があります。（CVE-2016-4135、CVE-2016-4136、 CVE-2016-4138）。

- 詳細不明な脆弱性が存在するため、認証されていないリモートの攻撃者が同一生成元ポリシーをバイパスし、機密情報を漏洩する可能性があります。（CVE-2016-4139）

- 信頼できない、またはユーザーのコントロール下にない可能性があるディレクトリを含む検索パスを利用することにより、特定の動的リンクライブラリのロード時に詳細不明な欠陥が存在します。認証されていないリモートの攻撃者がこれを悪用して、特別に細工されたライブラリをパスに挿入することで、ユーザーのコンテキストで任意のコードを実行する可能性があります。（CVE-2016-4140）

- 複数の use-after-free エラーが存在するため、認証されていないリモートの攻撃者がすでに解放されたメモリを逆参照し、任意のコードを実行することが可能です。（CVE-2016-4142、 CVE-2016-4143、CVE-2016-4145、CVE-2016-4146、 CVE-2016-4147、CVE-2016-4148）

- 複数の型の取り違え（Type Confusion）エラーが存在するため、認証されていないリモートの攻撃者が任意のコードを実行することが可能です。（CVE-2016-4144、CVE-2016-4149）

リモートホストは GLSA-201606-08 で記述される脆弱性により影響を受けます（Adobe Flash Player：複数の脆弱性）

Adobe Flash Player で複数の脆弱性が発見されました。
 詳細については、以下で参照されている CVE 識別子をレビューしてください。
 影響：

リモートの攻撃者がプロセスの権限で任意のコードを実行することで、サービス拒否状態を引き起こしたり、機密情報を取得したり、またはセキュリティ制限をバイパスしたりする可能性があります。
 回避策：

現時点で、既知の回避策はありません。

リモートのWindowsホストにインストールされているAdobe Flash Playerは、21.0.0.242より前のバージョンです。したがって、以下の複数の脆弱性による影響を受けます。

  - 複数のメモリ破損の問題が存在するため、認証されていないリモートの攻撃者が、サービス拒否状態を引き起こしたり、任意のコードを実行したりすることが可能です。
    (CVE-2016-4122, CVE-2016-4123, CVE-2016-4124, CVE-2016-4125, CVE-2016-4127, CVE-2016-4128, CVE-2016-4129, CVE-2016-4130, CVE-2016-4131, CVE-2016-4132, CVE-2016-4133, CVE-2016-4134, CVE-2016-4137, CVE-2016-4141, CVE-2016-4150, CVE-2016-4151, CVE-2016-4152, CVE-2016-4153, CVE-2016-4154, CVE-2016-4155, CVE-2016-4156, CVE-2016-4166, CVE-2016-4171)

  - ユーザー指定入力の不適切な検証により、複数のヒープバッファオーバーフロー状態が存在します。An unauthenticated, remote attacker can exploit these to execute arbitrary code. (CVE-2016-4135, CVE-2016-4136, CVE-2016-4138).

  - An unspecified vulnerability exists that allows an unauthenticated, remote attacker to bypass the same-origin policy, resulting in the disclosure of potentially sensitive information. (CVE-2016-4139)

  - 信頼できない、またはユーザーのコントロール下にない可能性があるディレクトリを含む検索パスを利用することにより、特定の動的リンクライブラリのロード時に詳細不明な欠陥が存在します。An unauthenticated, remote attacker can exploit this, by inserting a specially crafted library in the path, to execute arbitrary code in the context of the user. (CVE-2016-4140)

  - Multiple use-after-free errors exist that allow an unauthenticated, remote attacker to deference already freed memory, resulting in the execution of arbitrary code. (CVE-2016-4142, CVE-2016-4143, CVE-2016-4145, CVE-2016-4146, CVE-2016-4147, CVE-2016-4148)

  - Multiple type confusion errors exist that allow an unauthenticated, remote attacker to execute arbitrary code. (CVE-2016-4144, CVE-2016-4149)

Adobe による報告：

これらの更新により、コード実行を引き起こす可能性がある型の取り違え（Type Confusion）の脆弱性を解決します（CVE-2016-4144、CVE-2016-4149）。

これらの更新は、コードの実行を引き起こす可能性がある use-after-free の脆弱性を解決します（CVE-2016-4142、CVE-2016-4143、CVE-2016-4145、CVE-2016-4146、CVE-2016-4147、CVE-2016-4148）。

これらの更新は、コードの実行を引き起こす可能性があるヒープバッファオーバーフローの脆弱性を解決します（CVE-2016-4135、CVE-2016-4136、CVE-2016-4138）。

これらの更新は、コードの実行を引き起こす可能性があるメモリ破損の脆弱性を解決します（CVE-2016-4122、CVE-2016-4123、CVE-2016-4124、CVE-2016-4125、CVE-2016-4127、CVE-2016-4128、CVE-2016-4129、CVE-2016-4130、CVE-2016-4131、CVE-2016-4132、CVE-2016-4133、CVE-2016-4134、CVE-2016-4137、CVE-2016-4141、CVE-2016-4150、CVE-2016-4151、CVE-2016-4152、CVE-2016-4153、CVE-2016-4154、CVE-2016-4155、CVE-2016-4156、CVE-2016-4166、CVE-2016-4171）。

これらの更新は、コード実行を引き起こす可能性がある、リソースの検索に使用されるディレクトリ検索パスの脆弱性を解決します（CVE-2016-4140）。

これらの更新により、同一生成元ポリシーをバイパスし、情報漏洩を引き起こすために悪用される可能性がある脆弱性を解決します（CVE-2016-4139）。

リモートの Windows ホストに、KB3167685 がありません。したがって、以下の複数の脆弱性による影響を受けます：

- 複数のメモリ破損の問題が存在するため、認証されていないリモートの攻撃者が、サービス拒否状態を引き起こしたり、任意のコードを実行したりすることが可能です。
 (CVE-2016-4122、CVE-2016-4123、CVE-2016-4124、 CVE-2016-4125、CVE-2016-4127、CVE-2016-4128、 CVE-2016-4129、CVE-2016-4130、CVE-2016-4131、 CVE-2016-4132、CVE-2016-4133、CVE-2016-4134、 CVE-2016-4137、CVE-2016-4141、CVE-2016-4150、 CVE-2016-4151、CVE-2016-4152、CVE-2016-4153、 CVE-2016-4154、CVE-2016-4155、CVE-2016-4156、 CVE-2016-4166、CVE-2016-4171)

- ユーザー指定入力の不適切な検証により、複数のヒープバッファオーバーフロー状態が存在します。認証されていないリモートの攻撃者が、これらを悪用して、任意のコードを実行する可能性があります。（CVE-2016-4135、CVE-2016-4136、 CVE-2016-4138）。

- 詳細不明な脆弱性が存在するため、認証されていないリモートの攻撃者が同一生成元ポリシーをバイパスし、機密情報を漏洩する可能性があります。（CVE-2016-4139）

- 信頼できない、またはユーザーのコントロール下にない可能性があるディレクトリを含む検索パスを利用することにより、特定の動的リンクライブラリのロード時に詳細不明な欠陥が存在します。認証されていないリモートの攻撃者がこれを悪用して、特別に細工されたライブラリをパスに挿入することで、ユーザーのコンテキストで任意のコードを実行する可能性があります。（CVE-2016-4140）

- 複数の use-after-free エラーが存在するため、認証されていないリモートの攻撃者がすでに解放されたメモリを逆参照し、任意のコードを実行することが可能です。（CVE-2016-4142、 CVE-2016-4143、CVE-2016-4145、CVE-2016-4146、 CVE-2016-4147、CVE-2016-4148）

- 複数の型の取り違え（Type Confusion）エラーが存在するため、認証されていないリモートの攻撃者が任意のコードを実行することが可能です。（CVE-2016-4144、CVE-2016-4149）

ID	名前	製品	ファミリー	公開日	更新日	深刻度
91706	openSUSE セキュリティ更新 : flash-player（openSUSE-2016-740）	Nessus	SuSE Local Security Checks	2016/6/20	2022/3/28	critical
91708	openSUSE セキュリティ更新 : flash-player（openSUSE-2016-743）	Nessus	SuSE Local Security Checks	2016/6/20	2022/3/28	critical
91711	RHEL 5 / 6：Flash プラグイン（RHSA-2016:1238）	Nessus	Red Hat Local Security Checks	2016/6/20	2022/3/28	critical
93156	SUSE SLED12 セキュリティ更新： flash-player （SUSE-SU-2016：1613-1）	Nessus	SuSE Local Security Checks	2016/8/29	2022/3/28	critical
91671	Adobe Flash Player for Mac <= 21.0.0.242 に、複数の脆弱性（APSB16-18）	Nessus	MacOS X Local Security Checks	2016/6/17	2022/3/28	critical
91702	GLSA-201606-08：Adobe Flash プレイヤー：複数の脆弱性	Nessus	Gentoo Local Security Checks	2016/6/20	2022/3/28	critical
91670	Adobe Flash Player <= 21.0.0.242 Multiple Vulnerabilities (APSB16-18)	Nessus	Windows	2016/6/17	2022/4/11	critical
91698	FreeBSD：flash -- 複数の脆弱性（0e3dfdde-35c4-11e6-8e82-002590263bf5）	Nessus	FreeBSD Local Security Checks	2016/6/20	2022/3/28	critical
91672	MS16-083：Adobe Flash Player 用のセキュリティ更新（3167685）	Nessus	Windows : Microsoft Bulletins	2016/6/17	2022/3/28	critical

検出

プラグインの検索

critical

critical

critical

critical

critical

critical

critical

critical

critical