跳到主要内容

超危

Adobe Flash ActionScript 3 opaqueBackground释放后使用漏洞

2015-07-14 10:00:00 公开 ，2025-11-17 22:08:01 更新

  • 关键漏洞
  • CISA KEV
  • APT漏洞
  • 远程
  • 公开PoC
  • CWE Top 25 (2023)
  • 无需认证
  • 开源组件漏洞
  • CWE Top 25 (2024)
CWEs：
CWE-416 （Use After Free）
SSVC：
可利用状态：已被积极利用攻击自动化：否技术影响评估：全部 2025-11-18 03:49:02

风险信息

CVSS v2 向量
AV:N/AC:L/Au:N/C:C/I:C/A:C
CVSS v2 风险值
10
CVSS v3.1 向量
AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
CVSS v3.1 风险值
9.8

详细信息

漏洞类型
其他
漏洞描述
Adobe Flash Player是美国奥多比（Adobe）公司的一款跨平台、基于浏览器的多媒体播放器产品。该产品支持跨屏幕和浏览器查看应用程序、内容和视频。ActionScript 3（AS3）是Adobe为其Flash产品开发的一种面向对象的编程语言。Adobe Flash Player的AS3实现过程中的DisplayObject类存在释放后重用漏洞。远程攻击者可借助特制的Flash内容利用该漏洞执行任意代码，或造成拒绝服务（内存损坏）。以下版本受到影响：基于Windows和OS X平台的Adobe Flash Player 18.0.0.203及之前版本和Adobe Flash Player Extended Support Release 13.0.0.302及之前版本，基于Linux（安装Google Chrome）平台的Adobe Flash Player 18.0.0.204及之前版本，基于Linux平台的Adobe Flash Player Extended Support Release 11.2.202.481及之前版本。（在2015年7月被广泛利用）
修复建议
1、应用更新Flash Player Desktop 18.0.0.209解决了此问题。有关更多详细信息，请参阅Adobe安全公告APSB15-18。https://helpx.adobe.com/security/products/flash-player/apsb15-18.html也请考虑下列解决方案： 2、不要运行不受信任的Flash内容要防御此漏洞和其他未知漏洞，请在浏览器中禁用Flash或启用单击播放功能。Adobe还提供了如何在Windows和Mac平台上卸载Flash的说明。http://www.howtogeek.com/188059/how-to-enable-click-to-play-plugins-in-every-web-browser https://helpx.adobe.com/flash-player/kb/uninstall-flash-player-windows.html https://helpx.adobe.com/flash-player/kb/uninstall-flash-player-mac-os.html 3、使用Microsoft增强的缓解体验工具包Microsoft增强的缓解体验工具包（EMET）可用于帮助防止利用此漏洞。特别是，可以将攻击面缩减（ASR）配置为帮助限制Microsoft Office和Internet Explorer加载Flash ActiveX控件。

参考链接