Update für Sicherheitslücken in Adobe Flash Player (aktiv ausgenützt)

8. Februar 2013

Beschreibung

Adobe hat eine neue Version des Flash Player Plugins ausserhalb des monatlichen Patch-Zyklus veröffentlicht, die bereits aktiv ausgenützte Sicherheitslücken schliesst.

Auswirkungen

Es werden mindestens die folgenden 2 Sicherheitslücken aktiv ausgenützt:

CVE-2013-0633: ein Microsoft-Word Dokument mit eingebettetem Adobe Flash-Objekt (SWF) wird als Attachment per Email versandt, und der Empfänger aufgefordert, dieses zu öffnen. Damit wird das ActiveX-Plugin des Adobe Flash Players für Microsoft Windows angegriffen.
CVE-2013-0634: wie oben; diese Lücke wird zusätzlich auch durch eingettete Adobe Flash-Objekte in Webseiten ausgenützt, dabei werden speziell Macintosh- Rechner mit Apple Safari und Mozilla Firefox Browsern attackiert.

Betroffene Systeme

Systeme, auf denen folgende Software von Adobe installiert ist:

Adobe Flash Player für Microsoft Windows und Apple Macintosh, bis einschliesslich Version 11.5.502.146
Adobe Flash Player für Linux, bis einschliesslich Version 11.2.202.261
Adobe Flash Player für Android 4.x, bis einschliesslich Version 11.1.115.36
Adobe Flash Player für Android 3.x und 2.x, bis einschliesslich Version 11.1.111.31

Abhilfe

Installation des bereitgestellten Updates.

Da Adobe mit der auf der üblichen Downloadseite bereitgestellten Version auch potentiell unerwünschte andere Software mitinstalliert, empfehlen wir, die aktualisierte Version von hier zu beziehen: https://www.adobe.com/products/flashplayer/distribution3.html.

Hinweis

Generell empfiehlt CERT.at, wo möglich die "automatisches Update"-Features von Software zu nutzen, parallel Firewall-Software aktiv und den Virenschutz aktuell zu halten.

Informationsquelle(n):

Security Bulletin von Adobe (englisch)
https://www.adobe.com/support/security/bulletins/apsb13-04.html
Meldung von Brian Krebs (englisch)
https://krebsonsecurity.com/2013/02/critical-flash-player-update-fixes-two-zero-days/