Dipl.-Inform. Carsten Eilers

Adobe hat ein Security Advisory zur neuen Schwachstelle veröffentlicht, für die es noch keinen Patch gibt. Der wird von Adobe für die aktuelle Woche (ab dem 2. Februar) erwartet.

Die Schwachstelle hat die CVE-ID CVE-2015-0313 und betrifft den Flash Player bis einschließlich der aktuellen Versionen 16.0.0.296 für Windows und Mac OS X sowie 11.2.202.440 für Linux. Und wie fast üblich erlaubt sie die Ausführung beliebigen Codes.

Im "Successful exploitation could cause a crash and potentially allow an attacker to take control of the affected system." aus Adobes Advisory sollte man das "potentially" besser streichen - der Exploit ist ja wohl Beweis genug dafür, dass das möglich ist. Oder glaubt man bei Adobe wirklich, dass die Cyberkriminellen einen 0-Day-Exploit verbreiten würden, der die Rechner nur zum Absturz bringt? Die werden den sicher erst "in the wild" einsetzen, wenn sie eine zufriedenstellende Erfolgsquote beim Einschleusen von Code erreichen.

Drive-by-Infektionen über präparierte Werbung

Der Exploit wird gegen Windows 8.1 mit dem Internet Explorer und Firefox eingesetzt. Entdeckt wurde er von Trend Micro, und zwar in präparierten Werbeanzeigen ("Malvertisement"). Erste Analysen weisen auf das Angler Exploit Kit als Verursacher hin, das auch schon den ersten 0-Day-Exploit für den Flash Player in diesem Jahr enthielt und eine weitere 0-Day-Schwachstelle im Flash Player zum Umgehen von Schutzmaßnahmen unter Windows ausnutzte.

Die präparierte Anzeige zum Verbreiten des Exploits wurde auf dailymotion.com entdeckt, sehr wahrscheinlich sind weitere Websites betroffen. Erstmal entdeckt wurde der Angriff am 14. Januar, um den 27. Januar ab es eine starke Zunahme der Zugriffe auf eine der für den Angriff verwendeten IP-Adressen.

Der einzige Schutz: Ausschalten!

Update 5.2.2015:
Adobe hat die Schwachstelle behoben, Bis zum nächsten 0-Day-Exploit ist der Flash Player also erst mal wieder sicher.
Ende des Updates

Der einzige zuverlässige Schutz vor den Angriffen besteht im Ausschalten (oder gleich deinstallieren) des Flash Players. Die "Click to Play"-Funktionen etc. der Browser sind nur ein trügerischer Schutz. In dem Moment, in dem Sie auf einer vertrauenswürdigen Website die Ausführung von Flash erlauben, können Sie zum Opfer eines darauf eingeschleusten Exploits werden. Und würden Sie zum Beispiel auf dailymotion.com das Ausführen von Flash verbieten? Vermutlich nicht, oder? Also: Flash Player ausschalten! Und erst wieder einschalten, bis es einen Patch gibt und der installiert ist.

Bis der nächste 0-Day-Exploit auftaucht, dann können Sie das Spiel von vorne beginnen.

Carsten Eilers