Skip to content

Auch Adobe hat eine 0-Day-Schwachstelle gepatcht. Im Flash Player, wo sonst?

OK, ich gebe zu, es hätte auch der Adobe Reader sein können. Aber bisher gab es dieses Jahr schon zwei 0-Day-Schwachstellen im Flash Player, die erste wurde im Januar bekannt, die zweite im Februar. Im März gab es keine, da war also mal wieder eine fällig.

Und tatsächlich hat Adobe gestern mal wieder etliche Schwachstellen im Flash Player behoben, von denen eine bereits für Angriffe ausgenutzt wird. Womit wir jetzt bei drei 0-Day-Schwachstellen im Flash Player sind, bei insgesamt vier im bisher vergangenen Jahr.

Einmal das übliche, bitte...

Pufferüberlauf-Schwachstelle, Ausführung beliebigen Codes, 0-Day-Exploit, Flash Player - das kennen wir ja schon zur Genüge. Neu ist nur die CVE-ID, diesmal ist es die CVE-2015-3043, und die Versionsnummer, ab der der Flash Player nicht mehr betroffen ist, diesmal ist das

  • Adobe Flash Player Desktop Runtime für Windows und Macintosh Version 17.0.0.169
  • Adobe Flash Player Extended Support Release Version 13.0.0.281
  • Adobe Flash Player for Linux Version 11.2.202.457

Der in Google Chrome und im Internet Explorer für Windows 8 integrierte Flash Player wird automatisch auf Version 17.0.0.169 aktualisiert, wenn die Version verfügbar ist. Was bedeutet, dass zumindest diesmal die Chrome-Nutzer nicht bevorzugt werden, wie es in der Vergangenheit mehrmals der Fall war.

Weitere Informationen liegen bisher nicht vor.

Nachtrag 21.4.2015:
FireEye hat berichtet, dass die Schwachstelle von vermutlich russischen Angreifern der Gruppe "APT28" für gezielte Angriffe auf eine "specific foreign government organization" genutzt wurde.
Die Opfer wurden auf eine präparierte Webseite gelockt und über den Exploit für den Flash Player erster Code auf ihren Rechnern installiert. Der nutzte dann einen 0-Day-Exploit für eine bisher nicht gepatchte lokale Privilegieneskalations-Schwachstelle in Windows (CVE-2015-1701), um sich SYSTEM-Rechte zu verschaffen.
Ende des Updates vom 21.4.

Nachtrag 12.5.2015:
Microsoft hat das Security Bulletin MS15-051 veröffentlicht, in dem unter anderen die 0-Day-Schwachstelle CVE-2015-1701 beschrieben wird. Die von den zugehörigen Patches natürlich behoben wird.
Ende des Updates vom 12.5.

Carsten Eilers

Trackbacks

Dipl.-Inform. Carsten Eilers am : Die 0-Day-Exploits 2015 im Überblick

Vorschau anzeigen
Hier finden Sie eine Übersicht über die 2015 eingesetzten 0-Day-Exploits, die die Ausführung eingeschleusten Codes erlauben. Es gibt auch Übersichtsseiten für 2013 und 2014. Nummer