Erneut kritische Sicherheitslücke in Adobe Flash-Player

26. Februar 2009

Erneut kritische Sicherheitslücke in Adobe Flash-Player bis einschliesslich Version 10.0.12.36.

Wegen der Dringlichkeit und des Umfangs des Problems bittet CERT.at um Beachtung der folgenden Meldung:

Beschreibung

In Versionen des Adobe Flash-Player bis einschliesslich 10.0.12.36 existiert eine Sicherheitslücke, mit der vom Angreifer beliebiger Code auf betroffenen Systemen ausgeführt werden kann.

Auswirkungen

Da der Angreifer prinzipiell beliebigen Code auf betroffenen Systemen ausführen kann, sind alle Daten auf diesen Systemen, sowie potentiell alle durch diese erreichbaren (etwa durch Login, VPN etc.) Daten und anderen Systeme gefährdet.

Betroffene Systeme

Da Flash eine beliebte und sehr weit verbreitete Technik auf Webseiten ist, wird sich der entsprechende Player auf fast allen Arbeitsplatzrechnern befinden, und auch auf vielen Servern, die eine graphische Benutzeroberfläche und einen Internet-Browser installiert haben. Laut Adobe sind folgende Versionen betroffen:
  • 10.0.12.36 und früher
  • 10.0.15.3 und früher für Linux

Abhilfe

Update des Flash Players auf aktuelle Versionen oder Blockieren von Flash-Dateien auf Firewall/Proxy etc. Updates sind via http://get.adobe.com/de/flashplayer/ verfügbar.

CERT.at weist weiters darauf hin, dass mit den Standard-Einstellungen des Adobe Flash Players ein Check auf neuere Versionen nur alle 30 Tage stattfindet.

Dieses Update behebt natürlich nicht das aktuelle Problem mit dem Adobe Acrobat Reader - dieses ist weiterhin ungepatched und hat grosses Schadpotential, siehe http://www.cert.at/warnings/all/20090220.html.

Hinweis

Generell empfiehlt CERT.at, wo möglich die "automatisches Update"-Features von Software zu nutzen (etwa Microsoft Windows, Sun Java, Adobe Flash).
Informationsquelle(n):

Adobe Advisory
http://www.adobe.com/support/security/bulletins/apsb09-01.html
Heise Meldung (deutsch)
http://www.heise.de/security/Adobe-stopft-Flash-Luecke-PDF-Loch-weiterhin-offen-2-Update--/news/meldung/133493