[新弱點通知] Adobe Flash與Oracle Java零時差漏洞

Hacking Team資料外洩與新的Flash漏洞更新

上週趨勢科技曾經提醒用戶一個新的零時差Adobe Flash漏洞（CVE-2015-5119），起因於 Hacking Team 資料外洩事件。雖然Adobe很快在最新釋出的版本修補了這個漏洞（18.0.0.203），但從Hacking Team握有的資料中又發現了兩個新的Flash漏洞。

關於新發現的Flash漏洞資訊，您可參考：

這兩個新的Adobe Flash漏洞（CVE-2015-5122、CVE-2015-5123）已經證實但目前尚未修補。Adobe承諾會在本周修補這兩個漏洞。

此外我們也觀察到已經有部分台灣網站遭受駭客入侵，利用CVE-2015-5122漏洞植入後門程式，趨勢科技用戶只要啟用網頁信譽評等服務，即可攔截這些受駭網站。

負責Pawn Storm目標式攻擊活動的趨勢科技威脅研究專家，在此攻擊活動中發現了一個新的Oracle Java零時差漏洞遭受到攻擊。根據趨勢科技主動式雲端截毒服務 Smart Protection Network分析，這些攻擊是透過魚叉式網路釣魚網路釣魚（Phishing）信件進行，在信件中含有惡意URL指向惡意伺服器，進而攻擊未修補的Java漏洞。

這些行動同時會攻擊一個三年前已揭露的微軟Windows Common Controls漏洞CVE-2012-015（MS12-027）。

趨勢科技已將此一新的零時差漏洞回報給Oracle並與其密切合作，而Oracle也已經緊急在2015年7月14日釋出修正程式修補此Java漏洞。詳細資料請參考：
進一步資訊請參考：
Java零時差漏洞再現，鎖定專門攻擊軍事單位,政府機關和國防機構

防護措施
趨勢科技已有解決方案防護用戶免遭此漏洞攻擊：

趨勢科技Deep Security及Vulnerability Protection（原OfficeScan中的IDF模組）：請將防護規則保持更新，即可提供多一層的防護。尤其趨勢科技更釋出最新主動式防護規則：
- Deep Packet Inspection (DPI) rule1006824 – Adobe Flash ActionScript3 ByteArray Use After Free Vulnerability (addresses the already resolved CVE-2015-5119)

Deep Packet Inspection (DPI) rule1006858 – Adobe Flash ActionScript3 opaqueBackground Use After Free Vulnerability (CVE-2015-5122)

Deep Packet Inspection (DPI) rule1006859 – Adobe Flash Player BitmapData Remote Code Execution Vulnerability (CVE-2015-5123)

Deep Packet Inspection (DPI) rule1006857 – Oracle Java SE Remote Code Execution Vulnerability

趨勢科技強烈建議您儘速安裝原廠所釋出的安全性更新或修補程式。如果您有其他問題或是需要進一步協助，請您聯絡趨勢科技技術支援部。