Adobe Flash Player: Trend Micro warnt vor Zero-Day-Lücke

Adobe verteilt seit gestern Abend die Version Version 19.0.0.207 seines Flash Players. Wie Trend Micro jetzt warnt, steckt dem Unternehmen zufolge aber auch in dieser Version noch eine Zero-Day-Schwachstelle. Das Sicherheitsupdate stopft zwar insgesamt 13 als kritisch eingestufte Löcher, lässt jedoch mindestens eine Schwachstelle ungepatcht. Nach eigenen Angaben hat Trend Micro sie bei der Überwachung der Hacking-Kampagne Pawn Storm gefunden.

Trend Micro schreibt in einem Blogeintrag: “Die Angreifer hinter Pawn Storm nutzen für ihre jüngste Kampagne eine neue Zero-Day-Lücke in Flash Player”. Die neuen Angriffe richten sich demnach gegen die Außenministerien mehrerer Länder weltweit. Die Ziele hätten Spear-Phishing-E-Mails mit Links enthalten, die zu dem Exploit führten. Die Links wiederum ähnelten den Links, die die Hacker für Angriffe auf die NATO und Mitarbeiter des Weißen Hauses benutzt hätten.

Die Sicherheitslücken, die Adobe mit dem gestrigen Update geschlossen hat, stecken in Flash Player 19.0.0.185 und früher sowie 18.0.0.241 und früher für Windows und Mac OS X und Flash Player 11.2.202.521 und früher für Linux. Auch die in Chrome für Windows, OS X, Linux und Chrome OS, Internet Explorer 11 und Edge für Windows 10 und IE 10 und 11 für Windows 8.x integrierten Plug-ins sind anfällig. Das gilt außerdem für die AIR Desktop Runtime, das AIR SDK und AIR SDK und Compiler in der Version 19.0.190 und früher.

Das Update korrigiert 6 Speicherfehler und vier Use-after-free-Bugs in Flash Player und AIR. Sie erlauben das Einschleusen und Ausführen von Schadcode, was es einem Angreifer unter Umständen ermöglicht, die vollständige Kontrolle über ein betroffenes System zu übernehmen. Eine weitere Lücke erlaubt es, die Same-Origin-Richtlinie zu umgehen und vertrauliche Informationen auszulesen.

Betroffene Nutzern sollten die neue Version 19.0.0.207 für Windows und Mac OS X sowie 11.2.202.535 für Linux installieren. Außerdem hat Adobe das Extended Support Release auf die Version 18.0.0.252 aktualisiert. Google und Microsoft verteilen indes Updates für ihre Browser. Adobe AIR Runtime, SDK und Compiler stehen nun in der Version 19.0.0.213 zur Verfügung.

Trend Micro hat nach eigenen Angaben Adobe über die Sicherheitslücken informiert. Ein Patch für die aktuelle Version 19.0.0.207 ist demnach in Arbeit.

Nutzer von Adobes PDF-Anwendungen erhalten seit gestern Abend zudem ein planmäßiges Update. Es schließt 56 Sicherheitslücken in Acrobat DC und Acrobat Reader DC sowie Acrobat X und XI und Reader X und XI. Adobe stuft sie ebenfalls als kritisch ein, weil ein Angreifer darüber möglicherweise die vollständige Kontrolle über ein betroffenes System übernehmen kann. Die Fixes sind in Acrobat und Reader 11.0.13 sowie 10.1.16 für Windows und Mac OS X sowie Acrobat DC und Acrobat Reader DC 2015.009.20069 und 2015.006.30094 für Windows und Mac OS X enthalten.

Eines der Haupteinfallstore für Schadsoftware ist der Browser und seine Plug-ins. Neben Flash sind auch Java, Silverlight und PDF immer wieder von Sicherheitsproblemen betroffen. Nutzer sollten auf diese Plug-ins entweder komplett verzichten oder sie so konfigurieren, dass sie nicht automatisch Inhalte abspielen, sondern erst die Zustimmung des Anwenders einholen. Dieses als „Click-To-Play“ bekannte Feature bieten unter anderen Chrome, Firefox und Safari.

Downloads:

[Mit Material von Stefan Beiersmann, ZDNet.de]

Redaktion

Recent Posts

Gigabit-Datenraten im Zug

Projekt aus Bahn-, Mobilfunk- und Funkmastbranche zieht Zwischenbilanz. Start von Praxistests in erstem 5G-Korridor an…

9 Stunden ago

E-Health: Langzeitpflege mit KI

Das Fraunhofer-Institut entwickelt eine Pflegeplanung, die mit Künstlicher Intelligenz arbeiten wird. Ziel ist es, Pflegekräfte…

10 Stunden ago

Malware Mai 2024: Androxgh0st-Botnet breitet sich weiter aus

Die Lockbit3 Ransomware-Gruppe ist mittlerweile für ein Drittel der veröffentlichten Ransomware-Angriffe verantwortlich / Details zum…

16 Stunden ago

Vernetztes Fahren: Jeder zweite befürchtet Sicherheitsdefizite

Laut Kaspersky haben 52 Prozent der IT-Entscheider im Automobilbau ernsthafte Bedenken, dass vernetzte Fahrzeuge ausreichend…

16 Stunden ago

Unternehmen unterschätzen Komplexität der Digitalisierung

Studie: Projekte zur digitalen Transformation sind meist komplexer und zeitaufwändiger als erwartet.

19 Stunden ago

KI-basierte Übersetzung von Produktinformationen

Durch Anbindung des PIM-Systems an die KI-basierte Übersetzungslösung DeepL spart die J. Schmalz jährlich rund…

2 Tagen ago