【香港商报网讯】Flash是网络攻击的首选目标。尽管早在2017年Adobe就宣布了计划将Flash推入使用寿命终止状态，即在今年年底不再更新或分发Flash  Player。不过仍有许多用户在使用Adobe。Adobe在5月被爆出两个严重的越界写入漏洞（代号分别为：CVE-2020-9634，CVE-2020-9635）和一个内存损坏而导致的严重漏洞（代号：CVE-2020-9636）。6月9日，Adobe发布了安全更新，修复了漏洞。

　　对于CVE-2020-9634，特定的漏洞存在于GIF文件的解析中，该问题是由于缺乏对用户提供的数据的正确验证而导致的，这可能导致写操作超出了分配对象的末尾。

　　对于CVE-2020-9635，PDF文件的解析中存在特定漏洞。问题是由于缺乏对用户提供的数据的正确验证而导致的，这可能导致在分配的对象开始之前进行写操作。

　　攻击者可以利用CVE-2020-9634，CVE-2020-9635两个漏洞在当前进程的上下文中执行代码，诱使用户打开特定文件或访问恶意页面。

　　对于CVE-2020-9636，该漏洞是在释放内存后尝试访问的。这可能导致一系列恶意影响，从导致程序崩溃到潜在地导致执行任意代码-甚至启用完整的远程代码执行功能。

　　受影响的产品版本

　　1.包括Adobe Flash Player桌面运行时（Windows，macOS和Linux），适用于Google Chrome的Adobe  Flash Player（适用于Windows，macOS，Linux和Chrome OS）以及适用于Microsoft Edge / Internet  Explorer 11（适用于Windows 10和8.1）的Adobe Flash Player，均适用于32.0版.0.330及更早版本

　　2.适用于Windows的Adobe Framemaker版本2019.0.5及更低版本

　　升级修复版本

　　Adobe Flash  Player更新到32.0.0.387版本，加强安全性。该版本除了修复最近爆出的漏洞，还可以解决历史上风险较高的产品中的漏洞。

　　Adobe Framemaker版本升级到2019.0.6版本或最新版本

　　其他漏洞

　　Adobe还修补了与Experience  Manager（其用于构建网站，移动应用程序和表格的内容管理平台）中的六个重要级别的漏洞。这些包括可能允许敏感信息泄露的服务器端请求伪造故障（CVE-2020-9643和CVE-2020-9645）和跨站点脚本漏洞（CVE-2020-9647，CVE-2020-9648，CVE-2020-9651和CVE-2020-9644），可以在浏览器中启用任意JavaScript执行。

　　受影响的产品版本

　　Adobe Experience Manager (AEM)所有平台6.5版本

　　升级修复版本

　　建议所有用户迅速更新到AEM 最新版本（目前最新版本为：6.5.5.0），加强安全性。