Trend Micro warnt vor Zero-Day-Lücke in Flash Player

Trend Micro warnt vor einer Zero-Day-Lücke in Adobes Flash Player. Sie steckt nach Angaben des Unternehmens auch in der Version 19.0.0.207, die Adobe erst seit gestern Abend verteilt. Das Sicherheitsupdate stopft zwar insgesamt 13 als kritisch eingestufte Löcher, lässt jedoch mindestens eine Schwachstelle ungepatcht. Trend Micro hat sie nach eigenen Angaben bei der Überwachung der Hacking-Kampagne Pawn Storm gefunden.

„Die Angreifer hinter Pawn Storm nutzen für ihre jüngste Kampagne eine neue Zero-Day-Lücke in Flash Player“, schreibt Trend Micro in einem Blogeintrag. Die neuen Angriffe richten sich demnach gegen die Außenministerien mehrerer Länder weltweit. Die Ziele hätten Spear-Phishing-E-Mails mit Links enthalten, die zu dem Exploit führten. Die Links wiederum ähnelten den Links, die die Hacker für Angriffe auf die NATO und Mitarbeiter des Weißen Hauses benutzt hätten.

Die Schwachstellen, die Adobe gestern beseitigt hat, stecken in Flash Player 19.0.0.185 und früher sowie 18.0.0.241 und früher für Windows und Mac OS X und Flash Player 11.2.202.521 und früher für Linux. Auch die in Chrome für Windows, OS X, Linux und Chrome OS, Internet Explorer 11 und Edge für Windows 10 und IE 10 und 11 für Windows 8.x integrierten Plug-ins sind anfällig. Das gilt außerdem für die AIR Desktop Runtime, das AIR SDK und AIR SDK und Compiler in der Version 19.0.190 und früher.

Das Update korrigiert 6 Speicherfehler und vier Use-after-free-Bugs in Flash Player und AIR. Sie erlauben das Einschleusen und Ausführen von Schadcode, was es einem Angreifer unter Umständen ermöglicht, die vollständige Kontrolle über ein betroffenes System zu übernehmen. Eine weitere Lücke erlaubt es, die Same-Origin-Richtlinie zu umgehen und vertrauliche Informationen auszulesen.

Betroffene Nutzer sollten die neue Version 19.0.0.207 für Windows und Mac OS X sowie 11.2.202.535 für Linux installieren. Außerdem hat Adobe das Extended Support Release auf die Version 18.0.0.252 aktualisiert. Google und Microsoft verteilen indes Updates für ihre Browser. Adobe AIR Runtime, SDK und Compiler stehen nun in der Version 19.0.0.213 zur Verfügung.

Trend Micro hat nach eigenen Angaben Adobe über die Sicherheitslücken informiert. Ein Patch für die aktuelle Version 19.0.0.207 ist demnach in Arbeit.

Nutzer von Adobes PDF-Anwendungen erhalten seit gestern Abend zudem ein planmäßiges Update. Es schließt 56 Sicherheitslücken in Acrobat DC und Acrobat Reader DC sowie Acrobat X und XI und Reader X und XI. Adobe stuft sie ebenfalls als kritisch ein, weil ein Angreifer darüber möglicherweise die vollständige Kontrolle über ein betroffenes System übernehmen kann. Die Fixes sind in Acrobat und Reader 11.0.13 sowie 10.1.16 für Windows und Mac OS X sowie Acrobat DC und Acrobat Reader DC 2015.009.20069 und 2015.006.30094 für Windows und Mac OS X enthalten.

Eines der Haupteinfallstore für Schadsoftware ist der Browser und seine Plug-ins. Neben Flash sind auch Java, Silverlight und PDF immer wieder von Sicherheitsproblemen betroffen. Nutzer sollten auf diese Plug-ins entweder komplett verzichten oder sie so konfigurieren, dass sie nicht automatisch Inhalte abspielen, sondern erst die Zustimmung des Anwenders einholen. Dieses als „Click-To-Play“ bekannte Feature bieten unter anderen Chrome, Firefox und Safari.

Downloads:

• Flash Player 19.0.0.207
• Flash Player Uninstaller