Auch Adobe hat eine 0-Day-Schwachstelle gepatcht. Im Flash Player, wo sonst?
OK, ich gebe zu, es hätte auch der Adobe Reader sein können. Aber bisher gab es dieses Jahr schon zwei 0-Day-Schwachstellen im Flash Player, die erste wurde im Januar bekannt, die zweite im Februar. Im März gab es keine, da war also mal wieder eine fällig.
Und tatsächlich hat Adobe gestern mal wieder etliche Schwachstellen im Flash Player behoben, von denen eine bereits für Angriffe ausgenutzt wird. Womit wir jetzt bei drei 0-Day-Schwachstellen im Flash Player sind, bei insgesamt vier im bisher vergangenen Jahr.
Einmal das übliche, bitte...
Pufferüberlauf-Schwachstelle, Ausführung beliebigen Codes, 0-Day-Exploit, Flash Player - das kennen wir ja schon zur Genüge. Neu ist nur die CVE-ID, diesmal ist es die CVE-2015-3043, und die Versionsnummer, ab der der Flash Player nicht mehr betroffen ist, diesmal ist das
- Adobe Flash Player Desktop Runtime für Windows und Macintosh Version 17.0.0.169
- Adobe Flash Player Extended Support Release Version 13.0.0.281
- Adobe Flash Player for Linux Version 11.2.202.457
Der in Google Chrome und im Internet Explorer für Windows 8 integrierte Flash Player wird automatisch auf Version 17.0.0.169 aktualisiert, wenn die Version verfügbar ist. Was bedeutet, dass zumindest diesmal die Chrome-Nutzer nicht bevorzugt werden, wie es in der Vergangenheit mehrmals der Fall war.
Weitere Informationen liegen bisher nicht vor.
Nachtrag 21.4.2015:
FireEye hat
berichtet,
dass die Schwachstelle von vermutlich russischen Angreifern der Gruppe
"APT28" für gezielte Angriffe auf eine "specific foreign government
organization"
genutzt wurde.
Die Opfer wurden auf eine präparierte Webseite gelockt und über den
Exploit für den Flash Player erster Code auf ihren Rechnern installiert.
Der nutzte dann einen 0-Day-Exploit für eine bisher nicht gepatchte lokale
Privilegieneskalations-Schwachstelle in Windows
(CVE-2015-1701),
um sich SYSTEM-Rechte zu verschaffen.
Ende des Updates vom 21.4.
Nachtrag 12.5.2015:
Microsoft hat das Security Bulletin
MS15-051
veröffentlicht, in dem unter anderen die 0-Day-Schwachstelle
CVE-2015-1701 beschrieben wird. Die von den zugehörigen Patches
natürlich behoben wird.
Ende des Updates vom 12.5.
Trackbacks
Dipl.-Inform. Carsten Eilers am : Die 0-Day-Exploits 2015 im Überblick
Vorschau anzeigen