NVD Vulnerability Detail
Search Exploit, PoC
CVE-2014-5333
Summary

Adobe Flash Player before 13.0.0.241 and 14.x before 14.0.0.176 on Windows and OS X and before 11.2.202.400 on Linux, Adobe AIR before 14.0.0.178 on Windows and OS X and before 14.0.0.179 on Android, Adobe AIR SDK before 14.0.0.178, and Adobe AIR SDK & Compiler before 14.0.0.178 do not properly restrict the SWF file format, which allows remote attackers to conduct cross-site request forgery (CSRF) attacks against JSONP endpoints, and obtain sensitive information, via a crafted OBJECT element with SWF content satisfying the character-set requirements of a callback API, in conjunction with a manipulation involving a '$' (dollar sign) or '(' (open parenthesis) character. NOTE: this issue exists because of an incomplete fix for CVE-2014-4671.

Publication Date Aug. 19, 2014, 8:16 p.m.
Registration Date Jan. 26, 2021, 3:14 p.m.
Last Update Nov. 21, 2024, 11:11 a.m.
CVSS2.0 : MEDIUM
Score 4.3
Vector AV:N/AC:M/Au:N/C:P/I:N/A:N
攻撃元区分(AV) ネットワーク
攻撃条件の複雑さ(AC) 中
攻撃前の認証要否(Au) 不要
機密性への影響(C) 低
完全性への影響(I) なし
可用性への影響(A) なし
Get all privileges. いいえ
Get user privileges いいえ
Get other privileges いいえ
User operation required はい
Affected software configurations
Configuration1 or higher or less more than less than
cpe:2.3:a:adobe:adobe_air:*:*:*:*:*:*:*:* 14.0.0.137
cpe:2.3:a:adobe:adobe_air:13.0.0.83:*:*:*:*:*:*:*
cpe:2.3:a:adobe:adobe_air:13.0.0.111:*:*:*:*:*:*:*
cpe:2.3:a:adobe:adobe_air:14.0.0.110:*:*:*:*:*:*:*
execution environment
1 cpe:2.3:o:google:android:*:*:*:*:*:*:*:*
Configuration2 or higher or less more than less than
cpe:2.3:a:adobe:flash_player:*:*:*:*:*:*:*:* 13.0.0.231
cpe:2.3:a:adobe:flash_player:13.0.0.182:*:*:*:*:*:*:*
cpe:2.3:a:adobe:flash_player:13.0.0.201:*:*:*:*:*:*:*
cpe:2.3:a:adobe:flash_player:13.0.0.206:*:*:*:*:*:*:*
cpe:2.3:a:adobe:flash_player:13.0.0.214:*:*:*:*:*:*:*
cpe:2.3:a:adobe:flash_player:13.0.0.223:*:*:*:*:*:*:*
cpe:2.3:a:adobe:flash_player:14.0.0.125:*:*:*:*:*:*:*
cpe:2.3:a:adobe:flash_player:14.0.0.145:*:*:*:*:*:*:*
execution environment
1 cpe:2.3:o:apple:mac_os_x:*:*:*:*:*:*:*:*
2 cpe:2.3:o:microsoft:windows:*:*:*:*:*:*:*:*
Configuration3 or higher or less more than less than
cpe:2.3:a:adobe:adobe_air_sdk:13.0.0.111:*:*:*:*:*:*:*
cpe:2.3:a:adobe:adobe_air_sdk:13.0.0.83:*:*:*:*:*:*:*
cpe:2.3:a:adobe:adobe_air_sdk:*:*:*:*:*:*:*:* 14.0.0.137
cpe:2.3:a:adobe:adobe_air_sdk:14.0.0.110:*:*:*:*:*:*:*
Configuration4 or higher or less more than less than
cpe:2.3:a:adobe:flash_player:*:*:*:*:*:*:*:* 11.2.202.394
cpe:2.3:a:adobe:flash_player:11.2.202.223:*:*:*:*:*:*:*
cpe:2.3:a:adobe:flash_player:11.2.202.228:*:*:*:*:*:*:*
cpe:2.3:a:adobe:flash_player:11.2.202.233:*:*:*:*:*:*:*
cpe:2.3:a:adobe:flash_player:11.2.202.235:*:*:*:*:*:*:*
cpe:2.3:a:adobe:flash_player:11.2.202.236:*:*:*:*:*:*:*
cpe:2.3:a:adobe:flash_player:11.2.202.238:*:*:*:*:*:*:*
cpe:2.3:a:adobe:flash_player:11.2.202.243:*:*:*:*:*:*:*
cpe:2.3:a:adobe:flash_player:11.2.202.251:*:*:*:*:*:*:*
cpe:2.3:a:adobe:flash_player:11.2.202.258:*:*:*:*:*:*:*
cpe:2.3:a:adobe:flash_player:11.2.202.261:*:*:*:*:*:*:*
cpe:2.3:a:adobe:flash_player:11.2.202.262:*:*:*:*:*:*:*
cpe:2.3:a:adobe:flash_player:11.2.202.270:*:*:*:*:*:*:*
cpe:2.3:a:adobe:flash_player:11.2.202.273:*:*:*:*:*:*:*
cpe:2.3:a:adobe:flash_player:11.2.202.275:*:*:*:*:*:*:*
cpe:2.3:a:adobe:flash_player:11.2.202.280:*:*:*:*:*:*:*
cpe:2.3:a:adobe:flash_player:11.2.202.285:*:*:*:*:*:*:*
cpe:2.3:a:adobe:flash_player:11.2.202.291:*:*:*:*:*:*:*
cpe:2.3:a:adobe:flash_player:11.2.202.297:*:*:*:*:*:*:*
cpe:2.3:a:adobe:flash_player:11.2.202.310:*:*:*:*:*:*:*
cpe:2.3:a:adobe:flash_player:11.2.202.332:*:*:*:*:*:*:*
cpe:2.3:a:adobe:flash_player:11.2.202.335:*:*:*:*:*:*:*
cpe:2.3:a:adobe:flash_player:11.2.202.336:*:*:*:*:*:*:*
cpe:2.3:a:adobe:flash_player:11.2.202.341:*:*:*:*:*:*:*
cpe:2.3:a:adobe:flash_player:11.2.202.346:*:*:*:*:*:*:*
cpe:2.3:a:adobe:flash_player:11.2.202.350:*:*:*:*:*:*:*
cpe:2.3:a:adobe:flash_player:11.2.202.356:*:*:*:*:*:*:*
cpe:2.3:a:adobe:flash_player:11.2.202.359:*:*:*:*:*:*:*
cpe:2.3:a:adobe:flash_player:11.2.202.378:*:*:*:*:*:*:*
execution environment
1 cpe:2.3:o:linux:linux_kernel:*:*:*:*:*:*:*:*
Configuration5 or higher or less more than less than
cpe:2.3:a:adobe:adobe_air:*:*:*:*:*:*:*:* 14.0.0.110
cpe:2.3:a:adobe:adobe_air:13.0.0.83:*:*:*:*:*:*:*
cpe:2.3:a:adobe:adobe_air:13.0.0.111:*:*:*:*:*:*:*
execution environment
1 cpe:2.3:o:apple:mac_os_x:*:*:*:*:*:*:*:*
2 cpe:2.3:o:microsoft:windows:*:*:*:*:*:*:*:*
Related information, measures and tools
Common Vulnerabilities List
JVN Vulnerability Information
Adobe Flash Player および Adobe AIR におけるクロスサイトリクエストフォージェリ攻撃を実行される脆弱性
Title Adobe Flash Player および Adobe AIR におけるクロスサイトリクエストフォージェリ攻撃を実行される脆弱性
Summary

Adobe Flash Player および Adobe AIR は、SWF ファイルフォーマットを適切に制限しないため、JSONP エンドポイントに対してクロスサイトリクエストフォージェリ攻撃を実行され、重要な情報を取得される脆弱性が存在します。 本脆弱性は、CVE-2014-4671 に対する修正が不完全だったことによる問題です。

Possible impacts 第三者により、コールバック API の文字セットの要件を満たす SWF コンテンツを伴い、'$' (ドル記号) または '(' (括弧開き) 文字を含む操作に関連する、巧妙に細工された OBJECT 要素を介して、JSONP エンドポイントに対してクロスサイトリクエストフォージェリ攻撃を実行され、重要な情報を取得される可能性があります。
Solution

ベンダ情報および参考情報を参照して適切な対策を実施してください。
Publication Date Aug. 12, 2014, midnight
Registration Date Aug. 20, 2014, 12:28 p.m.
Last Update Aug. 26, 2014, 5:40 p.m.
Affected System
マイクロソフト
Microsoft Internet Explorer 10 (Windows 8/Windows Server 2012/Windows RT：Adobe Flash Player 14.0.0.176 未満)
Microsoft Internet Explorer 11 (Windows 8.1/Windows Server 2012 R2/Windows RT 8.1：Adobe Flash Player 14.0.0.176 未満)
アドビシステムズ
Adobe AIR 14.0.0.178 未満 (Windows および Macintosh)
Adobe AIR 14.0.0.179 未満 (Android)
Adobe AIR SDK 14.0.0.178 未満 (Windows、Macintosh、Android および iOS)
Adobe AIR SDK & Compiler 14.0.0.178 未満 (Windows、Macintosh、Android および iOS)
Adobe Flash Player 11.2.202.400 未満 (Linux)
Adobe Flash Player 13.0.0.241 未満 (Windows および Macintosh)
Adobe Flash Player 14.0.0.176 未満の 14.x (Internet Explorer 版の Windows Active X プラグイン)
Adobe Flash Player 14.0.0.176 未満の 14.x (Macintosh)
Adobe Flash Player 14.0.0.176 未満の 14.x (Windows 8.0 版の Internet Explorer 10)
Adobe Flash Player 14.0.0.176 未満の 14.x (Windows 8.1 版の Internet Explorer 11)
Adobe Flash Player 14.0.0.177 未満 (Windows 版、Machintosh 版および Linux 版の Chrome)
Adobe Flash Player 14.0.0.179 未満 (Firefox 版の Windows NPAPI プラグイン)
Google
Google Chrome 36.0.1985.143 未満 (Windows/Macintosh/Linux：Adobe Flash Player 14.0.0.177 未満)
CVE (情報セキュリティ 共通脆弱性識別子)
CWE (共通脆弱性タイプ一覧)
ベンダー情報
その他
Change Log
No Changed Details Date of change
0 [2014年08月20日]
  掲載
[2014年08月26日]
  想定される影響：内容を更新
 Feb. 17, 2018, 10:37 a.m.