Adobe: Flash-Fehler ermöglicht Spionage per Webcam

Adobe hat bestätigt, dass eine Anfälligkeit in Flash missbraucht werden kann, um Mikrofon und Webcam eines Website-Besuchers unbemerkt einzuschalten. Der Fehler steckt nach Angaben der Firmensprecherin Wiebke Lips im Flash Player Settings Manager auf Adobes Servern und nicht in auf den Computern von Nutzern installierter Software.

„Wir arbeiten derzeit an einem Fix“, schreibt Lips in einer E-Mail an ZDNet. „Bitte beachten Sie, dass für das Problem kein Produktupdate oder der Eingriff eines Nutzers notwendig ist. Das ist eine Lösung, die wir auf unserer Seite anwenden, und sie wird freigegeben, sobald die Qualitätssicherung ihre Tests abgeschlossen hat.“ Die Anfälligkeit werde möglicherweise schon Ende der Woche behoben. Eine Sicherheitsmeldung werde es aber nicht geben.

Entdeckt hat den Fehler Feross Aboukhadijeh, ein Informatikstudent an der Stanford University. In einem Blogeintrag beschreibt er den auf „Clickjacking“ basierenden Angriff, bei dem eine Website mit einer anderen überlagert wird, um die Mausklicks des Opfers umzuleiten. In diesem Fall könnte jemand auf mehrere Schaltflächen klicken, beispielsweise im Rahmen eines Spiels, und in Wirklichkeit seine Webcam und sein Mikrofon aktivieren.

„Obwohl jedes Betriebssystem und jeder Browser theoretisch anfällig für diesen Angriff sind, werden für die Aktivierung der Webcam mehrere sehr präzise Mausklicks benötigt, was ein Angreifer nur schwer umsetzen kann“, schreibt Aboukhadijeh. „Ich weiß nicht, wie nützlich diese Technik im praktischen Einsatz ist, aber ich hoffe, dass Adobe das Loch schnellstmöglich stopft, damit wir das nicht herausfinden müssen.“

Adobe sei der Fehler schon seit einigen Wochen bekannt, so Aboukhadijeh. Der Student hat seine E-Mail Adobe zufolge aber an einen Mitarbeiter geschickt, der im Urlaub ist, und nicht an das zuständige Product Security Incident Response Team. Deswegen habe Adobe erst Mitte der Woche aus Aboukhadijehs Blogeintrag von dem Problem erfahren.

„Adobe muss die Lücke schnell schließen“, sagte Jeremiah Grossman, Chief Technology Officer von Whitehat Security, der schon seit Jahren vor Gefahren durch Clickjacking warnt. Betroffenen Nutzern rät er, ihre Kamera mit einem Stück Papier abzudecken, um zu verhindern, dass sie heimlich ausgespäht werden.