Adobe Flash Player: Trend Micro warnt vor Zero-Day-Lücke
Die Lücke befindet sich in der Version 19.0.0.207, die seit gestern erhältlich ist. Mit dem Update beseitigt Adobe insgesamt aber 13 Schwachstellen in Flash Player und darüber hinaus noch 56 in seinen PDF-Anwendungen.
Adobe verteilt seit gestern Abend die Version Version 19.0.0.207 seines Flash Players. Wie Trend Micro jetzt warnt, steckt dem Unternehmen zufolge aber auch in dieser Version noch eine Zero-Day-Schwachstelle. Das Sicherheitsupdate stopft zwar insgesamt 13 als kritisch eingestufte Löcher, lässt jedoch mindestens eine Schwachstelle ungepatcht. Nach eigenen Angaben hat Trend Micro sie bei der Überwachung der Hacking-Kampagne Pawn Storm gefunden.
Trend Micro schreibt in einem Blogeintrag: “Die Angreifer hinter Pawn Storm nutzen für ihre jüngste Kampagne eine neue Zero-Day-Lücke in Flash Player”. Die neuen Angriffe richten sich demnach gegen die Außenministerien mehrerer Länder weltweit. Die Ziele hätten Spear-Phishing-E-Mails mit Links enthalten, die zu dem Exploit führten. Die Links wiederum ähnelten den Links, die die Hacker für Angriffe auf die NATO und Mitarbeiter des Weißen Hauses benutzt hätten.
Die Sicherheitslücken, die Adobe mit dem gestrigen Update geschlossen hat, stecken in Flash Player 19.0.0.185 und früher sowie 18.0.0.241 und früher für Windows und Mac OS X und Flash Player 11.2.202.521 und früher für Linux. Auch die in Chrome für Windows, OS X, Linux und Chrome OS, Internet Explorer 11 und Edge für Windows 10 und IE 10 und 11 für Windows 8.x integrierten Plug-ins sind anfällig. Das gilt außerdem für die AIR Desktop Runtime, das AIR SDK und AIR SDK und Compiler in der Version 19.0.190 und früher.
Das Update korrigiert 6 Speicherfehler und vier Use-after-free-Bugs in Flash Player und AIR. Sie erlauben das Einschleusen und Ausführen von Schadcode, was es einem Angreifer unter Umständen ermöglicht, die vollständige Kontrolle über ein betroffenes System zu übernehmen. Eine weitere Lücke erlaubt es, die Same-Origin-Richtlinie zu umgehen und vertrauliche Informationen auszulesen.
Betroffene Nutzern sollten die neue Version 19.0.0.207 für Windows und Mac OS X sowie 11.2.202.535 für Linux installieren. Außerdem hat Adobe das Extended Support Release auf die Version 18.0.0.252 aktualisiert. Google und Microsoft verteilen indes Updates für ihre Browser. Adobe AIR Runtime, SDK und Compiler stehen nun in der Version 19.0.0.213 zur Verfügung.
Trend Micro hat nach eigenen Angaben Adobe über die Sicherheitslücken informiert. Ein Patch für die aktuelle Version 19.0.0.207 ist demnach in Arbeit.
Nutzer von Adobes PDF-Anwendungen erhalten seit gestern Abend zudem ein planmäßiges Update. Es schließt 56 Sicherheitslücken in Acrobat DC und Acrobat Reader DC sowie Acrobat X und XI und Reader X und XI. Adobe stuft sie ebenfalls als kritisch ein, weil ein Angreifer darüber möglicherweise die vollständige Kontrolle über ein betroffenes System übernehmen kann. Die Fixes sind in Acrobat und Reader 11.0.13 sowie 10.1.16 für Windows und Mac OS X sowie Acrobat DC und Acrobat Reader DC 2015.009.20069 und 2015.006.30094 für Windows und Mac OS X enthalten.
Eines der Haupteinfallstore für Schadsoftware ist der Browser und seine Plug-ins. Neben Flash sind auch Java, Silverlight und PDF immer wieder von Sicherheitsproblemen betroffen. Nutzer sollten auf diese Plug-ins entweder komplett verzichten oder sie so konfigurieren, dass sie nicht automatisch Inhalte abspielen, sondern erst die Zustimmung des Anwenders einholen. Dieses als „Click-To-Play“ bekannte Feature bieten unter anderen Chrome, Firefox und Safari.
Downloads:
[Mit Material von Stefan Beiersmann, ZDNet.de]
