Adobe Flash Player: Trend Micro warnt vor Zero-Day-Lücke

Adobe verteilt seit gestern Abend die Version Version 19.0.0.207 seines Flash Players. Wie Trend Micro jetzt warnt, steckt dem Unternehmen zufolge aber auch in dieser Version noch eine Zero-Day-Schwachstelle. Das Sicherheitsupdate stopft zwar insgesamt 13 als kritisch eingestufte Löcher, lässt jedoch mindestens eine Schwachstelle ungepatcht. Nach eigenen Angaben hat Trend Micro sie bei der Überwachung der Hacking-Kampagne Pawn Storm gefunden.

Trend Micro schreibt in einem Blogeintrag: “Die Angreifer hinter Pawn Storm nutzen für ihre jüngste Kampagne eine neue Zero-Day-Lücke in Flash Player”. Die neuen Angriffe richten sich demnach gegen die Außenministerien mehrerer Länder weltweit. Die Ziele hätten Spear-Phishing-E-Mails mit Links enthalten, die zu dem Exploit führten. Die Links wiederum ähnelten den Links, die die Hacker für Angriffe auf die NATO und Mitarbeiter des Weißen Hauses benutzt hätten.

Die Sicherheitslücken, die Adobe mit dem gestrigen Update geschlossen hat, stecken in Flash Player 19.0.0.185 und früher sowie 18.0.0.241 und früher für Windows und Mac OS X und Flash Player 11.2.202.521 und früher für Linux. Auch die in Chrome für Windows, OS X, Linux und Chrome OS, Internet Explorer 11 und Edge für Windows 10 und IE 10 und 11 für Windows 8.x integrierten Plug-ins sind anfällig. Das gilt außerdem für die AIR Desktop Runtime, das AIR SDK und AIR SDK und Compiler in der Version 19.0.190 und früher.

Das Update korrigiert 6 Speicherfehler und vier Use-after-free-Bugs in Flash Player und AIR. Sie erlauben das Einschleusen und Ausführen von Schadcode, was es einem Angreifer unter Umständen ermöglicht, die vollständige Kontrolle über ein betroffenes System zu übernehmen. Eine weitere Lücke erlaubt es, die Same-Origin-Richtlinie zu umgehen und vertrauliche Informationen auszulesen.

Betroffene Nutzern sollten die neue Version 19.0.0.207 für Windows und Mac OS X sowie 11.2.202.535 für Linux installieren. Außerdem hat Adobe das Extended Support Release auf die Version 18.0.0.252 aktualisiert. Google und Microsoft verteilen indes Updates für ihre Browser. Adobe AIR Runtime, SDK und Compiler stehen nun in der Version 19.0.0.213 zur Verfügung.

Trend Micro hat nach eigenen Angaben Adobe über die Sicherheitslücken informiert. Ein Patch für die aktuelle Version 19.0.0.207 ist demnach in Arbeit.

Nutzer von Adobes PDF-Anwendungen erhalten seit gestern Abend zudem ein planmäßiges Update. Es schließt 56 Sicherheitslücken in Acrobat DC und Acrobat Reader DC sowie Acrobat X und XI und Reader X und XI. Adobe stuft sie ebenfalls als kritisch ein, weil ein Angreifer darüber möglicherweise die vollständige Kontrolle über ein betroffenes System übernehmen kann. Die Fixes sind in Acrobat und Reader 11.0.13 sowie 10.1.16 für Windows und Mac OS X sowie Acrobat DC und Acrobat Reader DC 2015.009.20069 und 2015.006.30094 für Windows und Mac OS X enthalten.

Eines der Haupteinfallstore für Schadsoftware ist der Browser und seine Plug-ins. Neben Flash sind auch Java, Silverlight und PDF immer wieder von Sicherheitsproblemen betroffen. Nutzer sollten auf diese Plug-ins entweder komplett verzichten oder sie so konfigurieren, dass sie nicht automatisch Inhalte abspielen, sondern erst die Zustimmung des Anwenders einholen. Dieses als „Click-To-Play“ bekannte Feature bieten unter anderen Chrome, Firefox und Safari.

Downloads:

[Mit Material von Stefan Beiersmann, ZDNet.de]

Anja Schmoll-Trautmann

Anja Schmoll-Trautmann berichtet seit 2001 vorrangig für ZDNet.de über aktuelle Entwicklungen im Bereich Consumer Electronics, Mobile und Peripherie. Seit 2012 beschäftigt sie sich auch für silicon.de immer wieder mit Business-Hardware, Digitalisierung und Markttrends.

Recent Posts

Sophos: Automotive-Lieferant wird dreimal Opfer von Cybererpressern

Innerhalb von rund zwei Wochen kompromittieren die Gruppen LockBit, Hive und BlackCat das Netzwerk. Anscheinend…

4 Stunden ago

Deutsche Telekom bleibt auf Kurs

Konzernumsatz klettert zwischen April und Juni um fast sechs Prozent auf rund 28 Milliarden Euro.

5 Stunden ago

Cisco meldet Hackerangriff

Unbekannte dringen in das Netzwerk des Unternehmens ein. Zuvor hacken sie das Google-Konto eines Cisco-Mitarbeiters…

6 Stunden ago

Im Blindflug in Richtung Nachhaltigkeit

Eine Mehrheit der deutschen Unternehmen will klimaneutral werden. Aber wie? Für eine Antwort fehlen ihnen…

20 Stunden ago

Unternehmen unterschätzen Cyberrisiken durch vernetzte Partner und Lieferanten

Firmen stufen Sicherheitsrisiken ihrer Partner in digitalen Ökosystemen und Lieferketten als wenig besorgniserregend ein.

21 Stunden ago

Silicon DE im Fokus Podcast: Microsoft und der Mittelstand

Im Silicon DE Podcast erläutert Oliver Gürtler, Leiter des Mittelstandsgeschäfts bei Microsoft Deutschland, im Gespräch…

23 Stunden ago