Thema: Patchday bei Adobe

[spoke1]

Flash Player

Im Flash Player befindet sich ein gefährliches Sicherheitsleck, das bereits aktiv für Angriffe ausgenutzt wird. Adobe will in der kommenden Woche einen Patch fertig haben. Der Fehler betrifft auch den Adobe Reader und Acrobat.

Im Flash Player in den Versionen 10.1 sowie 10.2 gibt es ein Sicherheitsloch, das laut Adobe bereits aktiv ausgenutzt wird. Aus diesem Grund hat sich Adobe wohl entschieden, einen entsprechenden Sicherheitshinweis zu veröffentlichen. Der betreffende Fehler betrifft auch den Adobe Reader und Acrobat, aber bislang sind Adobe keine Angriffe bekannt.
Das Sicherheitsleck verschafft einem Angreifer eine umfassende Kontrolle über ein fremdes System. Die Angriffe erfolgen über eine als E-Mail versendete Excel-Datei, in die eine Flash-Datei eingebettet ist. Wird die Excel-Datei geöffnet, wird der Schadcode ausgeführt. Einen Workaround nennt Adobe nicht, um sich bis zum Erscheinen eines Patches vor Angriffen schützen zu können.
Adobe will ein Flash-Player-Upate für Windows, Linux, Solaris, Mac OS und Android zwischen dem 21. und 25. März 2011 veröffentlichen. Auf einen genauen Tag will sich der Hersteller nicht festlegen. Ebenfalls in der kommenden Woche ist ein Update für den Adobe Reader und für Acrobat für Windows- und Mac-Systeme geplant.
Lediglich für den Adobe Reader X ist ein Patch erst am regulären nächsten Patchday am 14. Juni 2011 geplant. Adobe begründet die lange Wartezeit damit, dass der Adobe Reader X einen Sandbox-Modus besitzt, der eine Ausnutzung dieser Sicherheitslücke verhindert.


Quelle: http://www.golem.de/1103/82097.html

[ritschibie]

Heute hatte ich ein Flashplayer update, weiss aber nicht von welchem Datum (war ja 3 Wochen weg)...

[stuart]

Hallo ritschibie,

mein Flash Player hat die Versionsnummer 10.2.152.32 und wurde am 08.03. installiert. Als Download gibs es die Version anscheinend seit dem 02.03.

[SiLæncer]

Adobe hat Updates für den Flash Player, AIR, Reader und Acrobat veröffentlicht, um die vergangene Woche gemeldete Sicherheitslücke zu schließen. Der Player steht ab sofort in Version 10.2.153.1 für Windows, Mac, Linux und Solaris zum Download bereit. Die aktualisierte Fassung 10.2.156.12 für Android steht im Android Market zur Verfügung. Anwender von AIR sollten auf Version 2.6 updaten.

Google hatte ein überarbeitetes Flash-Plug-in für seinen Browser Chrome bereits vergangene Woche verteilt. Adobe erklärte den Vorsprung von Google gegenüber den offiziellen Releases in einer Mail an heise Security mit dem geringeren Testaufwand. Anders als Google müsse Adobe aufgrund der verschiedenen Betriebssysteme und Konfigurationen mit mehr als 60 Szenarien testen.

Parallel zum Flash-Update hat Adobe auch den Reader und Acrobat für Windows und Mac aktualisiert. Beide Programme sind aufgrund der integrierten Flash-Engine ebenfalls von dem Problem betroffen. Zum Download stehen der Adobe Reader 9.4.3 sowie Acrobat 9.4.3 und 10.0.2 (Acrobat X) für jeweils Windows und Mac bereit.

Version 10.0.2 des Readers für Windows soll erst mit dem nächsten regulären Adobe-Patchday am 14. Juni erscheinen. Adobe ist der Meinung, dass in den verwundbaren Versionen 10.x die Sandbox ein Ausnutzen der Lücke verhindert. Adobe Reader 9.x für Linux und Solaris, für Android sowie Adobe Reader 8.x und Acrobat 8.x sind nicht verwundbar.

Quelle : www.heise.de

[SiLæncer]

Anwender des RealPlayer sollten beim Abspielen von Dateien im "Internet Video Recording"-Format bis auf Weiteres deren Herkunft genauer prüfen. Ein Heap Overflow beim Parsen der Datei lässt sich von Angreifern nämlich ausnutzen, um Code in einen Rechner zu schleusen und zu starten. Da sich der RealPlayer auch als Plug-in im Browser installiert, genügt auch der Besuch einer präparierten Seite, um den PC zu infizieren.

Nach Angaben des Entdeckers der Schwachstelle Luigi Auriemma steckt die Lücke in der Windows-Version des RealPlayer 14.0.2.633, vorherige Versionen und weitere Plattformen wie Linux und Mac sind vermutlich ebenfalls betroffen. Ein Update oder einen Patch gibt es nicht, da Auriemma die Hersteller in der Regel nicht informiert und seine Berichte ohne weitere Absprachen veröffentlicht, dürfte der Hersteller auch erst kürzlich über das Problem erfahren haben.

Als Workaround hilft es, das Plug-in respektive ActiveX-Control im Browser zu deaktivieren oder zu entfernen. Zwar spielt der RealPlayer nicht nur RealMedia, sondern auch viele weitere Formate ab, alternativ gibt es aber eine Vielzahl anderer Mediaplayer.

Quelle : www.heise.de

[spoke1]

Adobe

Wieder einmal warnt Adobe vor einer kritischen Sicherheitslücke im Flash Player, mit der Angreifer Systeme unter ihre Kontrolle bringen können. Ein Sicherheitsupdate soll in dieser Woche erscheinen, wurde aber noch nicht veröffentlicht und die Lücke wird bereits aktiv ausgenutzt. Eine bislang ungepatchte Sicherheitslücke (CVE-2011-0611) betrifft den aktuellen Flash Player 10.2.153.1 und ältere Versionen sowie den mit Google Chrome ausgelieferten Flash Player 10.2.154.25 und ältere Versionen, jeweils unter den Betriebssystemen Windows, Mac OS X, Linux und Solaris. Zudem ist der Flash Player bis einschließlich Version 10.2.156.12 für Android und die Komponenten Authplay.dll, die mit dem Adobe Reader und Acrobat X ausgeliefert wird, unter Windows und Mac OS X betroffen.

Adobe warnt, Angreifer können die Sicherheitslücke ausnutzen, um Systeme unter ihre Kontrolle oder zumindest zum Absturz zu bringen. Die Gefahr ist dabei nicht rein theoretischer Natur, denn die Sicherheitslücke wird bereits aktiv ausgenutzt. Laut Adobe wurden bereits präparierte .swf-Dateien, eingebettet in Word-Dokumente (.doc), gefunden, die als E-Mail-Anhang verbreitet werden und auf Windows-Systeme abzielen. Angriffe über PDF-Dateien sind demnach bislang nicht bekannt.

Derzeit arbeitet Adobe daran, ein entsprechendes Update freizugeben. (ji)


Quelle: http://www.golem.de/1104/82722.html

[spoke1]

Notfallpatch kommt zum Wochenende

Systemadministratoren müssen sich wohl auf eine späte Veröffentlichung eines wichtigen Sicherheitsupdates am Freitagabend einrichten. Dann will Adobe eine gefährliche Sicherheitslücke in der Flash-Komponente schließen, die bereits ausgenutzt wird.
Adobe will in Kürze eine Sicherheitslücke im Flash Player beseitigen, die Rechner in Gefahr bringen kann. Angreifer können mit entsprechend manipulierten Flash-Dateien ein System unter ihre Kontrolle bringen. Betroffen sind auch Adobes aktuelle PDF-Programme, da sie mit dem Flash Player ausgestattet sind.

Da die Sicherheitslücke schon aktiv ausgenutzt wird, sah sich Adobe gezwungen, schnell zu reagieren und außerhalb der Quartalsupdates einen Patch zu produzieren. Gezielte Angriffe gibt es bereits mit manipulierten Office-Dokumenten, die eine .swf-Datei beinhalten. Größer angelegte Angriffe sind aufgrund der Bekanntheit des Problems zu erwarten.
Am Freitag, dem 15. April 2011 soll das Update veröffentlicht werden. Eine Uhrzeit gibt Adobe nicht an, aber wegen der Zeitzonenunterschiede zum US-Unternehmen muss in Europa mit Freitagabend gerechnet werden.
Notfallpatches soll es auch für diverse Versionen des Adobe Reader und Adobe Acrobat geben. Sie sollen spätestens in der letzten Aprilwoche erscheinen. Eine Ausnahme bildet die Windows-Version des Adobe Reader X. Da die Sandbox einen Angriff verhindern soll, plant Adobe erst Mitte Juni 2011 einen Patch im Rahmen der Quartalupdates. (as)


Quelle: http://www.golem.de/1104/82798.html

[SiLæncer]

Adobe hat ein Update für seinen Flash-Player veröffentlicht, dass eine kritische Sicherheitslücke schließt. Das Unternehmen hatte am vergangenen Montag vor der Lücke gewarnt und berichtet, dass Angreifer sie bereits mit Hilfe von Webseiten sowie Word- und Excel-Dokumenten ausnutzen. Da die Angreifer Schadcode ins System des Nutzers schleusen können, stuft Adobe die Lücke als "kritisch" ein. Das ist die höchste Stufe auf Adobes Dringlichkeitsskala.

Wer den Flash-Player unter Windows, Mac OS X, Linux oder Solaris nutzt, sollte die neue Version 10.2.159.1 installieren, die in Adobes Download-Center bereitsteht. Nutzer von Android-Smartphones müssen sich noch gedulden: Adobe arbeitet noch am Sicherheitsupdate, will es aber immerhin spätestens Ende April bereitstellen. Air-Nutzer sollten das Update auf Version 2.6.19140 installieren. Für den Browser Chrome hat Google bereits am Donnerstag ein Update veröffentlicht, das die Flash-Lücke schließt.

Quelle : www.heise.de

[SiLæncer]

Nach dem Sicherheits-Patch für den Flash-Player hat Adobe nun früher als erwartet neue Versionen für Adobe Reader 9.x und 10.x sowie Acrobat X für Linux und Windows heraus gebracht. Ursprünglich sollten diese erst am 25. April veröffentlich werden, doch da schon zahlreiche Exploits die Schwachstelle (CVE-2011-0611) "in freier Wildbahn" ausgenutzt hatten, hat man sich bei Adobe etwas mehr beeilt. Bekannt ist die Schwachstelle schon seit dem 14. März und wurde durch Patches kurze Zeit später notdürftig abgedichtet.

Da die Schwachstelle Adobes höchste Alarmstufe "kritisch" trägt, sollten User umgehend von Adobe Reader 9 auf Version 9.4.4 und von Adobe Reader und Acrobat X 10 auf 10.0.3 updaten (Update-Funktion nutzen oder von Hand herunterladen: Adobe Reader (Windows, Mac ), Acrobat Standard/Pro (Windows, Mac), Acrobat Pro Extended (Windows).

Adobe Reader X Protected Mode fängt den Fehler bereits ab und kann so bis zum nächsten regulären Update im Juni warten. Adobe Reader für Android soll laut Sicherheitsbulletin APSB11-08 nicht betroffen sein.

Quelle : www.heise.de

[SiLæncer]

Am Sonntagabend (Pacific Daylight Time) hat Adobe ohne Ankündigung einen Patch gegen eine schwere Sicherheitslücke veröffentlicht. Das als wichtig eingestufte Sicherheitsupdate sollte möglichst schnell eingespielt werden und betrifft fast alle Rechner-Betriebssysteme sowie die Android-Plattform.

Eine neu entdeckte Sicherheitslücke hat Adobe gezwungen, noch am Sonntagabend (Pacific Daylight Time) in den USA ein Sicherheitsupdate zu veröffentlichen. Es handelt sich laut Adobe um eine universell einsetzbare Cross-Site-Scripting-Schwachstelle (CVE-2011-2107). Das Sicherheitsproblem ist offenbar so neu, dass selbst einige Sicherheitswebseiten es noch nicht in ihre Datenbanken gepflegt haben.

Adobe warnt allgemein vor gezielten Angriffen, die bereits im Umlauf sind. Offenbar werden E-Mails versandt, die Anwender dazu bringen sollen, eine Webseite mit dem Schadcode aufzusuchen. Auch Nutzer von Webmail-Anbietern sind anscheinend gefährdet.

Der letzte Patch für den Flash Player wurde ebenfalls wegen eines Zero-Day-Exploits veröffentlicht. Im April 2011 wurde der Webseite von Amnesty International Flash-Schadcode untergeschoben, der für Besucher verteilt wurde.

Weitere Informationen gibt es im Security Bulletin von Adobe. Die aktuelle Version des Flash Players gibt es auf adobe.com für Windows-, Linux-, Mac-OS- und Solaris-Nutzer. Nutzer von Google Chrome sollten bereits automatisch einen Patch bekommen haben.

Ein Update für Android-Nutzer soll noch in dieser Woche erscheinen. Ob der Angriff auch gegen Adobes PDF-Software mit Flash-Player-Integration funktioniert, untersucht der Softwarehersteller noch. Kenntnis über Angriffe auf die PDF-Software der Versionen 9 und 10 hat Adobe noch nicht erlangt.

Am 14. Juni 2011 steht bei Adobe ohnehin das Quartalssicherheitsupdate an. Möglicherweise wartet die Firma bis zu diesem Datum, um das Problem auch in den PDF-Produkten zu lösen.

Quelle : www.golem.de

[ritschibie]

Ich weiss ja nicht, ob es das war, aber vor ein paar Tagen erhielt ich eine mail von einem Freund (ohne Text) mit dem Verweis auf eine HTML-Seite. Da mir dieser Bekannte schon öfters Hinweise auf lustige Webseiten geschickt hatte, rief ich die Seite auf und wurde geschockt durch G-Data, das eine Malwareschleuder erkannt hatte und die Seite blockte. Mein Anruf bei diesem Freund ergab, dass er gar keine mail geschickt hatte. Heute bekam ich wieder eine mail von ihm, ohne Text mit purem Link, das wanderte in die Papiertonne..

[SiLæncer]

Zahlreiche Adobe-Programme auf verschiedenen Plattformen sind jetzt durch ein Sicherheitsupdate gegen mögliche Angriffe gewappnet. Flash-Nutzer sollten eiligst ihren Flash Player aktualisieren. Es gibt bereits Angriffe, die eine Sicherheitslücke ausnutzen.

Aufgrund von Sicherheitslücken wurden neue Versionen der PDF-Softwarepakete Adobe Reader und Adobe Acrobat veröffentlicht. Ein Update der Software wird empfohlen. Ein Angreifer kann mit entsprechend präparierten PDF-Dateien die PDF-Software zum Absturz bringen und potenziell Schadcode ausführen, um den Rechner unter seine Kontrolle zu bringen. Die Versionen 10.1 und 9.4.5 schließen alle Sicherheitslücken, darunter auch Sicherheitslücken, die ältere Flash Player betreffen.

Adobe aktualisiert auch die Version 8 seiner PDF-Software, obwohl der Support eigentlich 2010 eingestellt werden sollte. Adobe hat den Support bis November 2011 verlängert. Aktuell ist jetzt die Version 8.3, die ebenfalls Sicherheitsprobleme beseitigt. Die Version 8 hat den Vorteil, dass sie für Flash-Sicherheitslücken nicht anfällig ist, da ihr die Authplay-Komponente fehlt.

Weit mehr als ein Dutzend Sicherheitsprobleme, die das Ausführen von Schadcode ermöglichen, wurden im Shockwave Player für Windows und Mac OS X entdeckt.
Wieder wird eine Sicherheitslücke im Flash Player ausgenutzt

Auch im Adobe Flash Player wurde wieder eine Sicherheitslücke ausgemacht. Wer dachte, dass er nach dem Notfallpatch der vergangenen Woche erst einmal seine Ruhe haben würde, der wird eines Besseren belehrt. Auch in dieser Variante wurde eine Sicherheitslücke entdeckt, die unter Windows, Mac OS X, Solaris, Linux und Android ausgenutzt werden kann, um die Kontrolle über ein System zu erlangen. Laut Adobe gibt es sogar schon Berichte über Angriffe. Diese sollen gezielt über manipulierte Webseiten stattfinden.

Anfällig sind alle Flash Player (Windows, Linux, Mac OS X, Solaris) mit der Version 10.3.181.23 und älteren Versionen. Es gibt im Downloadcenter die neue Version 10.3.181.26. Für Android-Nutzer sind die Version 10.3.185.23 und ältere Versionen anfällig. Im Laufe der Woche soll eine neue Version erscheinen.

Interessanterweise betrifft diese Sicherheitslücke nicht die Authplay-Komponente des Adobe Readers und Acrobat. Häufig sind Flash-Sicherheitslücken auch in den PDF-Programmen zu finden, da Authplay das Abspielen von Flashinhalten in PDF-Dokumenten regelt.

Livecycle-Produkte, BlazeDS und Coldfusion wurden ebenfalls mit einem Sicherheitsupdate bedacht. Dieses wurde im Unterschied zu den anderen Problemen nur als wichtig eingestuft. Die Aktualisierungen für die PDF-Software, den Flash Player und den Shockwave Player sind als kritisch eingestuft.

Alle Sicherheitsupdates und weitere Details dazu hat Adobe in einem Blogeintrag des Sicherheitsteams aufgelistet.

Quelle : www.golem.de

[SiLæncer]

Kriminelle nutzen im großen Stil eine kritische Lücke in Flash, die Adobe vergangene Woche an seinem Patchday behoben hat, zum Verteilen von Schadcode aus, Wie die Sicherheitsexperten von Websense berichten, haben die Kriminellen zahlreiche Webseiten mit verseuchten Flash-Dateien infiziert, welche die Lücke zum Einschleusen von Malware benutzen.

Der Flash-Exploit nutzt Tricks um an Informationen über die Speicherstruktur des Flash-Players zu gelangen und den Stack-Pointer zu überschreiben. Hinter der neuen Adresse verbirgt sich der Shellcode, der eine verschlüsselte Datei auf den Rechner des Opfers lädt und ausführt.

Wer noch nicht die aktuelle Flash-Version 10.3.181.26 installiert hat, sollte es umgehend nachholen. Auch Flash für Android ist verwundbar, wenn die installierte Version älter als 10.3.185.24 ist. Welche Version derzeit auf dem System installiert ist, erfährt man bei Adobe.

Quelle : www.heise.de

[SiLæncer]

Adobe hat das Update 10.3.183.5 für seinen Flash Player veröffentlicht, das 13 Sicherheitslücken schließt. Das Update steht für Windows, Mac OS X, Linux und Solaris bereit. Für Android steht 10.3.186.3 im Android Market bereit, um das Problem zu beheben. Um die Fehler in AIR zu beseitigen müssen PC-Anwender auf Version 2.7.1 updaten.

Daneben ist ein Update für den Shockwave Player erschienen, das sieben kritische Lücken schließt. In Photoshop CS5 und 5.1 löst Adobe mit einem Update ein Problem im Umgang mit GIFs, das sich zum Einschleusen und Ausführen von Code missbrauchen lässt.

Quelle : www.heise.de

[SiLæncer]

Auch Adobe wird am Dienstag seinen Pachtday abhalten. Der Hersteller kündigte an, kritische Lücken in allen noch gepflegten Versionszweigen von Adobe Reader und Acrobat schließen zu wollen; sowohl in den Windows- als auch in den Mac-Versionen der Programme. Außerdem gab Adobe bekannt, derzeit daran zu arbeiten, die Stammzertifikate der kompromittierten DigiNotar-CAs aus seinen Produkten zu entfernen. Bis es soweit ist, kann man das mit Hilfe einer von Adobe veröffentlichten Anleitung auch selbst erledigen.

Quelle : www.heise.de