| CVE編號 | CVE-2018-4919,CVE-2018-4920,CVE-2018-4921,CVE-2018-4923,CVE-2018-4924 |
|---|---|
| 影響產品 | Dreamweaver CC 18.0以前版本 ／Connect 9.7以前版本 ／Flash Player 28.0.0.161以前版本 |
| 解決辦法 | (1)Dreamweaver CC 18.1，循軟體幫助選單，按下更新。 (2)下載Connect 9.7.5安裝檔，連結http://www.adobe.com/go/Connectsetup或http://www.adobe.com/go/ConnectSetupMac，選擇適合版本。 (3)通常Flash Player 29.0.0.113可自動更新，若無則手動操作，參考https://get.adobe.com/flashplayer/ |
| 張貼日 | 2018-03-17 |
| 上稿單位 | TWCERT/CC |
●概述：
據Adobe安全公告指出，三款軟體發現漏洞，其網頁開發工具Dreamweaver CC在Windows環境，因URI處理器瑕疵之故，誤把惡意注入之作業系統命令交付執行；而Connect與Dreamweaver有類似的URI處理器瑕疵，然損失大相逕庭，將刪除非預期檔案或移除應用程式，Connect尚有上傳流程邏輯錯誤，未對異常SWF格式檔案把關，引發XSS；使用者眾的Flash Player，出現Use-After-Free及type confusion兩種缺陷，雖然技術屬性相異，但俱可衍生嚴重RCE，Adobe就相關軟體提供對應之安全更新。
●編註：
(1)Dreamweaver指令注入弱點
在Dreamweaver內統一資源識別符URI(Uniform Resource Identifier)處理器具有瑕疵，接收遠端送出之特製URI，觸發運算錯誤，將刻意注入之作業系統command交付執行，所執行指令以受害者權限生效，在Windows平台上才能探勘該弱點。
(2)Connect瑕疵肇生XSS與command injection
當前SWF(Small Web Format)檔案，是用於多媒體、向量圖形、ActionScript的Adobe Flash文件格式，在Connect運行時，上傳功能未嚴格對SWF把關，後果就是惡意scripting程式碼被執行，另外在Windows系統上使用Connect則存在特別漏洞，Connect也有專屬URI處理器，同樣地會遭駭客注入之作業系統command，但釀成損失截然不同，恐刪除本機任意檔案且無法預期所刪目標，亦可能解除掉已安裝程式。
(3)Flash Player雙漏洞衍生RCE
適用多種OS的Flash Player，本次檢測出兩種弱點，Use-After-Free的記憶體管理錯誤和type confusion異常情形，只要接收被加工之內容而觸發任何一項漏洞，皆導致任意代碼執行事件，由於Flash Player普及率高，故所涉弱點評為嚴重等級。