- Aktif istismar
- CWE-416
CVE-2015-5122
Adobe Flash Player'da DisplayObject sınıfında serbest bırakıldıktan sonra kullanım zafiyeti
- Yayımlandı
- Güncellendi
- 18 Kas 2025
- Açık yaşı
- 4124 gün
- Kaydı açan
- adobe
ÖzetTürkçe
Windows ve OS X üzerinde 13.x sürümlerinden 13.0.0.302'ye kadar, 14.x sürümlerinden 18.0.0.203'e kadar; Linux üzerinde 11.x sürümlerinden 11.2.202.481'e kadar ve Linux Chrome kurulumlarında 12.x sürümlerinden 18.0.0.204'e kadar olan Adobe Flash Player'ın ActionScript 3 (AS3) uygulamasındaki DisplayObject sınıfında serbest bırakıldıktan sonra kullanım (use-after-free) zafiyeti bulunmaktadır. Bu zafiyet, opaqueBackground özelliğinin hatalı işlenmesinden yararlanan özel hazırlanmış Flash içeriği aracılığıyla uzaktan saldırganların rastgele kod çalıştırmasına veya bellek bozulmasına neden olarak hizmet dışı bırakma (denial of service) durumu yaratmasına olanak tanımaktadır. Zafiyetin Temmuz 2015'te doğada aktif olarak istismar edildiği bildirilmiştir.
Kaynaktaki açıklama (İngilizce)
Use-after-free vulnerability in the DisplayObject class in the ActionScript 3 (AS3) implementation in Adobe Flash Player 13.x through 13.0.0.302 on Windows and OS X, 14.x through 18.0.0.203 on Windows and OS X, 11.x through 11.2.202.481 on Linux, and 12.x through 18.0.0.204 on Linux Chrome installations allows remote attackers to execute arbitrary code or cause a denial of service (memory corruption) via crafted Flash content that leverages improper handling of the opaqueBackground property, as exploited in the wild in July 2015.
CISA'nın önerdiği eylem (İngilizce)
The impacted product is end-of-life and should be disconnected if still in use.
Bu açığın açıklamasını Türkçeye çevirdik. Adım adım çözüm önerilerini kritik ve yeni açıklar için hazırlıyoruz; düzeltilmiş sürüm aşağıdaki tabloda, ayrıntılar üreticinin duyurusunda.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| Adobe Flash Player | Sürüm belirtilmemiş | – |
Kaynaklar22 kaynak
- CVE.org kaydı
- NVD kaydı
- lists.opensuse.org/opensuse-security-announce/2015-07/msg00028.html Üretici bülteni
- marc.info Üretici bülteni
- lists.opensuse.org/opensuse-security-announce/2015-07/msg00029.html Üretici bülteni
- security.gentoo.org/glsa/201508-01 Üretici bülteni
- h20564.www2.hp.com/portal/site/hpsc/public/kb/docDisplay Üretici bülteni
- rhn.redhat.com/errata/RHSA-2015-1235.html Üretici bülteni
- lists.opensuse.org/opensuse-security-announce/2015-07/msg00032.html Üretici bülteni
- us-cert.gov/ncas/alerts/TA15-195A Üçüncü taraf
- kb.cert.org/vuls/id/338736 Üçüncü taraf
- exploit-db.com/exploits/37599 İstismar kodu ya da analiz
- securitytracker.com/id/1032890 Diğer
- h20564.www2.hpe.com/portal/site/hpsc/public/kb/docDisplay Diğer
- fireeye.com/…eat-research/2015/07/cve-2015-5122_-_seco.html Diğer
- helpx.adobe.com/security/products/flash-player/apsb15-18.html Diğer
- rapid7.com/…ulti/browser/adobe_flash_opaque_background_uaf Diğer
- securityfocus.com/bid/75712 Diğer
- packetstormsecurity.com/…obe-Flash-opaqueBackground-Use-After-Free.html Diğer
- perception-point.io/2018/04/11/breaking-cfi-cve-2015-5122-coop Diğer
- helpx.adobe.com/security/products/flash-player/apsa15-04.html Diğer
- perception-point.io/new/breaking-cfi.php Diğer
Kayıt geçmişi
- CISA KEV listesine eklendi (saldırılarda kullanılıyor)
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.