Thema: Patchday bei Adobe

[SiLæncer]

Im Internet zirkulieren Demo-Exploits für zwei neue Sicherheitslücken im Adobe Reader. Laut der SecurityFocus-Fehlerdatenbank sind Versionen 9.1 und 8.1.4 des PDF-Anzeigers betroffen. Einen Patch für die Schwachstellen gibt es bislang noch nicht. Mit der Veröffentlichung der Demo-Exploits steigt die Wahrscheinlichkeit enorm, dass PDF-Dokumente mit gefährlichem Schadcode auftauchen und die Lücken auf breiter Front ausgenutzt werden.

Seitens Adobe heißt es zu dem Sicherheitsproblem bislang lediglich, dass man informiert sei und der Sache nachgehe. Wer bis zum Erscheinen einer fehlerbereinigten Version kein Risiko eingehen will, kann auf einen alternativen PDF-Viewer ausweichen und sollte den Adobe Reader derweil deinstallieren, um sich beim Surfen im Netz keine Schadsoftware einzufangen.

Siehe dazu auch:

    * Adobe Reader 'getAnnots()' Javascript Function Remote Code Execution Vulnerability, Eintrag bei SecurityFocus
    * Adobe Reader 'spell.customDictionaryOpen()' JavaScript Function Remote Code Execution Vulnerability, Eintrag bei SecurityFocus
    * Potential Adobe Reader Issue, Reaktion von Adobe
    * Antivirenhersteller rät vom Einsatz des Adobe Reader ab, Meldung auf heise Security
    * Liste alternativer PDF-Viewer im heise Software-Verzeichnis


Quelle : http://www.heise.de/newsticker/Demo-Exploits-fuer-neue-Schwachstellen-im-Adobe-Reader--/meldung/136958

[SiLæncer]

Adobe will am 12. Mai Sicherheits-Update für Adobe Reader und Acrobat veröffentlichen, um den kürzlich bekannt gewordene Buffer Overflow in der JavaScript-Funktion getAnnots() in seinen Produkten zu beseitigen. Angreifer können durch präparierte PDF-Dokumente Code in einen Rechner schleusen und im Kontext des Anwenders starten. Die Updates sollen für die Windows-Versionen 7.x, 8.x und 9.x des Adobe Reader und Acrobat sowie für die Unix- und Mac-Versionen 8.x und 9.x des Adobe Reader und Acrobat erscheinen.

Das Update für die Unix-Version soll zudem eine zweite Lücke in der JavaScript-Funktion customDictionaryOpen schließen, die sich nur in der Unix-Version befindet und sich ebenfalls zum Einschleusen von Code eignet. Bis zum Erscheinen der Updates empfiehlt Adobe, die Verarbeitung von JavaScript in seinen Produkten zu deaktivieren (unter Bearbeiten/Einstellungen/JavaScript/Acrobat JavaScript aktivieren).

Quelle : www.heise.de

[SiLæncer]

Der Adobe Reader ist die Standardanwendung zum Anzeigen von PDF-Dateien, auch wenn es inzwischen etliche Alternativen dazu gibt. Adobes PDF-Viewer ist daher auch eines der beliebtesten Angriffsziele von Online-Kriminellen. Sicherheitsfachleute kritisieren, die Unterstützung von Javascript im Adobe Reader biete eine Angriffsfläche, die besonders in Unternehmen zu Problemen führe.

Erik Cabetas, Sicherheitsfachmann bei einem New Yorker Online-Shop, gibt zu bedenken, dass die von Adobe als Vermeidungsstrategie empfohlene Deaktivierung von Javascript im Adobe Reader nicht wirklich funktioniere. Sie führe lediglich dazu, dass Adobe Reader eine Dialogbox öffnet, die den Anwender darauf hinweist, dass Javascript benötigt wird.

Dies geschieht, sobald ein Benutzer eine PDF-Datei öffnen will, die etwa Formularfelder enthält. Der Anwender wird aufgefordert Javascript für diese Datei zu aktivieren. Wählt er "Nein", wird er unter Umständen mehrfach hintereinander gefragt. Er kann auch ankreuzen, dass er nicht wieder danach gefragt werden will.

Cabetas berichtet, er habe ein Script geschrieben, das in seinem Unternehmen Javascript im Adobe Reader auf allen Rechnern abschaltet. Die Folge sind Nachfragen einiger Anwender, ob sie auf "Ja" klicken dürfen - die meisten Anwender klicken jedoch ohne Nachfrage schon aus Gewohnheit auf "Ja" ohne über mögliche Sicherheitsrisiken nachzudenken.

Randy Abrams vom tschechischen Antivirushersteller ESET schlägt in die gleiche Kerbe. Die Angriffsfläche, die mit der Einführung von Javascript im Adobe Reader entstanden sei, könne mit alten Versionen von Microsoft Office vergleichen werden, schreibt Abrams im Blog des Unternehmens. Microsoft habe aus den zahllosen Vorfällen mit Makro-Viren gelernt und die Ausführung von Autostart-Makros inzwischen wirksam unterbunden. Adobe müsse das erst noch lernen.

Bereits im März hatte Adobe Sicherheits-Updates bereit stellen müssen, um einige Schwachstellen zu beseitigen, die von Angreifern aktiv ausgenutzt werden. In der letzten Woche sind zwei weitere Sicherheitslücken bekannt geworden, die mittels Javascript in präparieren PDF-Dateien ausgenutzt werden können. Adobe hat angekündigt am 12. Mai Sicherheits-Updates bereit stellen zu wollen.

Erst kürzlich hatte der Antivirushersteller F-Secure empfohlen den Adobe Reader nicht mehr als PDF-Betrachter zu verwenden und auf alternative Programme auszuweichen. Hierbei kommen etwa der kostenlos erhältlich Foxit Reader oder Sumatra PDF in Betracht, weitere Gratis-Programmen finden Sie auf der Website pdfreaders.org. Allerdings unterstützt auch Foxit Reader Javascript in PDF-Formularen - die Einstellungen bieten jedoch keine Option Javascript zu deaktivieren. Sumatra hingegen unterstützt kein Javascript.

Quelle : www.pcwelt.de

[berti]

Allerdings unterstützt auch Foxit Reader Javascript in PDF-Formularen - die Einstellungen bieten jedoch keine Option Javascript zu deaktivieren. Sumatra hingegen unterstützt kein Javascript.

foxit reader 3.0 -> edit -> preferenzen -> javascript , dort den klick raus
damit ist doch javascript disabled oder ?

[spoke1]

Wie angekündigt hat Adobe die Sicherheits-Updates Adobe Reader 9.1.1 und Acrobat 9.1.1 für Windows, Mac und Unix veröffentlicht, um den kürzlich bekannt gewordenen Buffer Overflow in der JavaScript-Funktion getAnnots() zu beseitigen. Updates gibt es für Windows, Mac und Unix.

Für Anwender, die aus bestimmten Gründen nicht auf die Versionen 9.1.1 aktualisieren können, stehen die Fassungen 8.1.5 und 7.1.2 zur Verfügung. Letztere soll für Mac-Anwender allerdings erst Ende Juni fertig sein.

In der Unix-Version hat der Hersteller zusätzlich eine zweite Lücke in der JavaScript-Funktion customDictionaryOpen geschlossen, die in anderen Versionen nach seinen Angaben vermutlich nicht zum Tragen kommt.


Quelle: http://www.heise.de/

[SiLæncer]

Einmal pro Quartal erscheinen Patches für PDF-Produkte

Nach dem Vorbild von Microsoft will auch Adobe künftig einen festen Patchday anbieten. Im Unterschied zu Microsofts Ansatz wird es den Patchday bei Adobe allerdings nur einmal im Quartal geben. Ein monatlicher Patchday ist nicht geplant.
In einem weiteren Punkt unterscheidet sich Adobes Patchday-Konzept von Microsofts Ansatz. Während Microsoft am Patchday keine Software-Produkte ausschließt, will Adobe an dem regelmäßigen Patchday nur Software-Updates für die PDF-Produkte Adobe Reader und Acrobat veröffentlichen.

Im Sommer 2009 will Adobe mit dem Patchday-Zyklus beginnen. Dabei orientiert sich Adobe an Microsofts Intervall. Microsofts Patchday findet immer am zweiten Dienstag im Monat statt und Adobe will den einen Patchday im Quartal ebenfalls am zweiten Dienstag des laufenden Quartals abhalten.

Damit wird der Patchday von Adobe zumindest einmal in drei Monaten am gleichen Tag stattfinden, wie der Patchday von Microsoft. Bereits in der jüngsten Vergangenheit war das der Fall, Adobe bezeichnet das allerdings als Zufall. Im März 2009 hatte Adobe an Microsofts Patchday ein Update für den Adobe Reader veröffentlicht. Auch der jüngste Sicherheitspatch für den Adobe Reader vom Mai 2009 wurde genau an Microsofts Patchday veröffentlicht.

Quelle : http://www.golem.de/0905/67279.html

[SiLæncer]

Adobe will am 9. Juni zum ersten Mal seinen angekündigten regelmäßigen Patch Day abhalten. Am Dienstag sollen Sicherheits-Updates als kritisch eingestufte Sicherheitslücken im Adobe Reader beseitigen.

Adobe hat seine Sicherheitsstrategie für die Acrobat-Produkte, einschließlich Adobe Reader, überarbeitet und will regelmäßig alle drei Monate einen Patch Day abhalten. Dabei sollen zwischenzeitlich entdeckte Schwachstellen beseitigt werden. Als Termin für die quartalsweisen Updates hat sich Adobe, wie Microsoft, den zweiten Dienstag des Monats ausgeguckt. Am 9. Juni ist es nun erstmals soweit.

Im Blog des Adobe Product Security Incident Response Team (PSIRT) hat Brad Ark mit Anleihen bei Microsoft eine "Adobe Security Bulletin Advance Notification" veröffentlicht. Adobe kündigt als "kritisch" eingestufte Updates für Acrobat und Adobe Reader an. Diese Ankündigung einer Software-Aktualisierung geht allerdings sparsamer mit Informationen um als bei Microsoft seit einiger Zeit üblich.

Bei Adobe heißt es lediglich, die Updates seien das erste Ergebnis von Adobes Bemühungen, den Programm-Code seiner PDF-Produkte zu härten. Das bedeutet, die Programmierer sichten die Quelltexte auf mögliche Fehler, die ausgenutzt werden könnten. Sie beschränken sich dabei allerdings auf Bereiche, die als besonders verdächtig gelten, also mit höherer Wahrscheinlichkeit ausnutzbare Schwachstellen aufweisen könnten.
Bereits Ende Mai ist bei Milw0rm ein Demo-Exploit veröffentlicht worden, der mittels ansonsten eher sinnfreiem Javascript-Code den Adobe Reader 9.1.1 zum Absturz bringt. Eigene Tests haben ergeben, dass die PDF-Datei auch den Adobe Reader 8.1.5 nach Dr. Watson rufen lässt. Der Foxit Reader reagiert nicht darauf, ebenso wenig Sumatra-PDF.

Der Bochumer Antivirushersteller G Data hat heute eine Warnung heraus gegeben, laut der in den letzten
Tagen mehrere hundert Domains mit anrüchigen Namen aufgetaucht sind. Sie ködern mit schlüpfrigen Themen und nutzen Suchmaschinenoptimierung, um möglichst viele Opfer anzulocken. Die Zielseiten sind mit Exploit-Code für Sicherheitslücken im Adobe Reader präpariert und sollen Malware einschleusen.

Quelle : www.pcwelt.de

[SiLæncer]

Adobe hat wie geplant parallel zum Microsoft-Patchday Sicherheits-Updates für Adobe Reader und Adobe Acrobat herausgegeben, die 13 veröffentlichte Lücken in den aktuellen und vorhergehenden Versionen schließen sollen. Darüber hinaus beseitigen die Updates mehrere bei internen Audits entdeckte Lücken, über die keine weiteren Informationen vorliegen. Viele der Lücken stuft der Hersteller als kritisch ein, da sich durch präparierte PDF-Dokumente Schadcode in ein System schleusen und starten lässt. Die meisten der Fehler betreffen erneut den JBIG2-Filter.

Berichten von Antivirenherstellern zufolge haben gezielte Attacken auf Lücken in PDF-Anwendungen denen in Word und Excel mittlerweile den Rang abgelaufen. Daher ist es umso wichtiger, die Updates so bald wie möglich zu installieren. Allerdings stehen die Updates auf die Versionen 9.1.2 (und die älteren Reihen auf 8.1.6 und 7.1.3) zunächst nur für Windows und Mac zur Verfügung. Die Updates für Unix-Plattformen sollen erst am 16. Juni erscheinen.

Alle drei Monate sollen ab nun jeweils den zweiten Dienstag eines Monats Sicherheits-Updates erscheinen – parallel zu Microsofts Updates. In den drei Monaten wollen die Entwickler im Rahmen des neu eingeführten Secure Product Lifecycle (SPLC) den Code auf Schwachstellen untersuchen und diese schließen. Bislang veröffentlichte Adobe seine Sicherheits-Updates nur beim Bekanntwerden von Sicherheitslücken. Adobe reagiert damit auf die seit Längerem von Sicherheitsexperten geforderten Schritte für mehr Sicherheit.

Siehe dazu auch:

    * Security Updates available for Adobe Reader and Acrobat, Meldung von Adobe

Quelle : www.heise.de

[SiLæncer]

Adobe hat die Fassung 11.5.0.600 des Shockwave Player vorgelegt, in der die Entwickler eine kritische Sicherheitslücke beseitigt haben. Angreifer können durch manipulierte Shockwave-Dateien einen PC kompromittieren. Genauere Angaben zur Ursache des Problems macht der Hersteller nicht.

Zum Update ist nach Angaben von Adobe zunächst die Deinstallation des alten Player notwendig, anschließend muss der Anwender die neue Version installieren.Der Shockwave Player ist quasi der große Bruder des Flash Player und bietet einen erweiterten Funktionsumfang. Typischerweise wird er zur Darstellung komplexerer, interaktiver Präsentationen, Spiele und anderer Anwendungen benutzt und steht wie der Flash Payer als Browser-Plug-in zur Verfügung. In der Mehrzahl dürften Anwender jedoch nur Adobe Flash Player installiert haben und somit von der Lücke nicht betroffen sein.

Quelle : www.heise.de

[SiLæncer]

Adobe hat eine Sicherheitslücke in dem zum Lieferumfang von ColdFusion 8 gehörenden freien FCKEditor bestätigt. FCKEditor ist ein Open-Source-HTML-Editor, der zwar zum Lieferumfang von ColdFusion gehört, standardmäßig aber nicht aktiviert sein soll. In bestimmten Fällen soll der dazugehörige Connector aber trotzdem aktiv sein.

Seit einigen Tagen gibt es Meldungen über Einbrüche in Websites auf Basis von ColdFusion, bei denen Unbekannte offenbar die Lücke ausnutzten, um Inhalte zu manipulieren. Möglicherweise steht auch die Warnung von Googles SafeBrowsing-Funktion am Wochenende vor den Webseiten des Ad-Provider EyeWonder in diesem Zusammenhang.

Unbekannte hatten dessen Webserver gehackt, sodass dieser Malware enthielt. Damit landete die Domain in der Google-Liste verdächtiger Seiten. In der Folge warnten Browser, die die Google-API benutzten, auch vor Banner-Ad-Servern in dieser Domain – obwohl diese laut EyeWonder nicht betroffen gewesen sein sollen. Besucher von Webseiten wie CNN, Washington Post, BBC und Mashable bekamen im Browser ein Stoppschild aufgrund der Nachladeversuche von Werbung zu Gesicht. Mittlerweile sollen die Probleme aber behoben und die Serverlücke geschlossen sein.

Adobe hat einen Patch für ColdFusion für nächste Woche angekündigt, der die Möglichkeit des unautorisierten Hochladens eigener Dateien – beispielsweise von Remote-Shells – unterbinden soll. Bis dahin empfiehlt der Hersteller einige Maßnahmen, um das System mit einem Workaround zu sichern und festzustellen, ob er bereits gehackt wurde. Weitere Details dazu sind im Bericht von Adobe und zusätzlich in der Meldung des Open-Source-CERT zu finden.

Im Laufe des heutigen Tages wollen die Entwickler des Editors die Version 2.6.4.1 veröffentlichen, in der der Fehler und einige Cross-Site-Scripting-Lücken beseitigt sind.

Siehe dazu auch:

    * Potential ColdFusion security issue, Warnung von Adobe
    * FCKeditor input sanitization errors, Bericht des oCERT

Quelle : http://www.heise.de/newsticker/Luecke-in-ColdFusion-8-gefaehrdet-Sicherheit-von-Websites--/meldung/141633

[SiLæncer]

Adobe verteilt über seine Download-Seiten ältere, verwundbare Versionen des Adobe Reader. Angreifer könnten dadurch mittels präparierter PDF-Dokumente PCs von Anwender infizieren. Aufgefallen war das Problem dem Sicherheitsdienstleister Secunia, der Meldungen von Nutzern des Personal Software Inspectors erhielt, dass dieser die gerade heruntergeladene und installierte Version des Reader als unsicher monierte.

In der Tat erhält man beim Aufruf der Seite get.adobe.com/de/reader mit einem Windows-System die veraltete Version 9.1 zum Download angeboten, die mehrere Sicherheitslücken enthält. Selbst wenn man über die Option "Andere Version" versucht, die Version manuell auszuwählen, bekommt man nur alte Fassungen angeboten. Ruft man die Seite hingegen mit einem Linux-System auf, so bietet der Server die aktuelle Version 9.1.2 an, die Adobe immerhin bereits am 9. Juni veröffentlicht hat.

Immerhin bietet der Reader über die integrierte Update-Funktion laut Secunia eine Aktualisierung an, allerdings kann es dann unter Umständen schon zu spät sein. Ein offizielle Stellungnahme war auf Anfrage von heise Security nicht zu erhalten. Anwender sollten das Update im Reader manuell starten.

Aufgrund von Sicherheitsproblemen in seinen Produkten hatte Adobe erst kürzlich ein Programm aufgelegt, bei dem in regelmäßigen Patch-Zyklus neue Version des Adobe Reader und Acrobat erscheinen sollen. Alle drei Monate sollen jeweils den zweiten Dienstag eines Monats Sicherheits-Updates erscheinen – parallel zu Microsofts Updates. In den drei Monaten wollen die Entwickler im Rahmen des neu eingeführten Secure Product Lifecycle (SPLC) den Code auf Schwachstellen untersuchen und diese schließen. Bislang veröffentlichte Adobe seine Sicherheits-Updates nur beim Bekanntwerden von Sicherheitslücken. Allerdings nützt dieses Programm wenig, wenn man dann weiterhin ungepatchte Versionen verteilt.

Siehe dazu auch:

    * Patchday bei Adobe
    * Adobe plant eigenen Patchday
    * Antivirenhersteller rät vom Einsatz des Adobe Reader ab

Quelle : http://www.heise.de/newsticker/Adobe-bietet-unsichere-Reader-Versionen-zum-Download-an--/meldung/142325

[SiLæncer]

Adobe warnt vor einer kritischen Sicherheitslücke im aktuellen Flash Player für Windows, Macintosh und Linux. Zudem ist auch der Adobe Reader sowie Acrobat 9.x für alle Plattformen betroffen, da die verwundbare Flash-Komponente authplay.dll dort im Lieferumfang enthalten ist. Die Lücke wird auch bereits aktiv auf beiden Wegen ausgenutzt, also sowohl über präparierte PDF-Dokumente als auch über manipulierte Webseiten (Drive-by-Downloads). Berichten zufolge soll der bei den Drive-by-Downloads verwendete Exploit PCs von Anwendern des Internet Explorer und des Firefox infizieren können.

Adobe arbeitet an der Lösung des Problems und glaubt, ein Update für den Flash Player bis zum 30. Juli für Windows, Macintosh und Linux fertig stellen zu können. Die Solaris-Version soll etwas später folgen. Das Update für den Adobe Reader und Acrobat soll zumindest für Windows und Mac am 31. Juli erscheinen. Einen genauen Zeitpunkt für die Unix-Version gibt es noch nicht.

Adobe selbst hat bislang nur gezielte Angriffe gegen den Reader beobachtet und empfiehlt bis zur Verfügbarkeit eines Patches die Datei authplay.dll zu löschen, umzubenennen oder den Zugriff darauf zu sperren. Üblicherweise ist die Datei unter C:\Programme\Adobe\Reader 9.0\Reader\authplay.dll zu finden.

Alternativ kann das Deaktivieren von Flash im Adobe Reader helfen. Verantwortlich dafür ist die Option "Multimedia-Berechtigungen" in den Grundeinstellungen. Das Abschalten von JavaScript soll indes nicht gegen den Exploit schützen. Flash-Anwendern empfiehlt der Hersteller, nicht vertrauenswürdige Seiten nur mit äußerster Vorsicht zu besuchen. Wie das praktisch umzusetzen ist, lässt Adobe jedoch offen.

Nach Angaben von Symantec installiert der PDF-Trojaner (Trojan.Pidief.G) eine Backdoor auf dem System, die sich zu drei Servern verbindet. Bislang ist die Verbreitung der Exploits aber wohl noch nicht besonders groß – dies kann sich aber sehr schnell ändern. Adobe arbeitet mit Antivirenherstellern zusammen, um die Erkennung des Schädlings zu verbessern.

Siehe dazu auch:

    * Security advisory for Adobe Reader, Acrobat and Flash Player
    * Trojan.Pidief.G, Beschreibung von Symantec

Quelle : http://www.heise.de/newsticker/Zero-Day-Luecke-in-Adobe-Flash-Player-Reader-und-Acrobat--/meldung/142462

[SiLæncer]

Adobe hat Updates für den Flash Player und AIR veröffentlicht, die insgesamt zwölf Sicherheitslücken schließen sollen. Darunter findet sich auch die kürzlich entdeckte Lücke, durch die Angreifer mittels präparierter Webseiten die Kontrolle über einen PC übernehmen können. Von dieser Lücke sind auch der Adobe Reader und Acrobat betroffen, für die im Laufe des heutigen Tages ebenfalls Updates erscheinen sollen. Dort lässt sich die Lücke durch präparierte PDF-Dokumente mit Flash-Inhalten ausnutzen.

Die Lücke wird auch bereits aktiv auf beiden Wegen ausgenutzt, also sowohl über präparierte PDF-Dokumente als auch über manipulierte Webseiten (Drive-by-Downloads). Berichten zufolge soll der bei den Drive-by-Downloads verwendete Exploit PCs von Anwendern des Internet Explorer und des Firefox infizieren können.

Daneben beheben die Flash- und AIR-Updates noch fünf weitere kritische Fehler, die auf Heap und Buffer Overflows beruhen und das Einschleusen von Code ermöglichen. Darüber hinaus hat Adobe das ATL-Problem und eine ClickJacking-Schwachstelle korrigiert. Adobe empfiehlt Anwendern, so schnell wie möglich auf die Flash-Versionen 9.0.246.0 oder 10.0.32.18 respektive auf AIR 1.5.2 upzudaten, beispielsweise durch die eingebaute Update-Funktion.

Die Flash-Updates stehen für Windows, Mac, Linux und Solaris zum Download bereit. Welche Version man installiert hat, kann man durch Aufruf der folgenden Seite herausfinden: Adobe Flash Player. Das AIR-Update steht für Windows, Mac und Linux zur Verfügung.

Quelle : www.heise.de

[SiLæncer]

Adobe hat am Wochenende das Update für seinen Reader und Acrobat für Windows, Mac und Unix veröffentlicht. Es schließt kritische Sicherheitslücken im Zusammenhang mit Flash-Inhalten, die sich nicht nur im Flash Player, sondern auch in den PDF-Anwendungen der Herstellers zum Einschleusen und Starten von Schadcode ausnutzen lassen. Mehrere Antivirenhersteller berichten, dass Kriminelle die Lücken bereits aktiv ausnutzen, um Windows-PCs mit Schädlingen zu infizieren.

Anwender sollten das Reader-Update auf Version 9.1.3 über die integrierte Aktualisierungsfunktion installieren. Wer sich den Reader komplett neu installiert, sollte darauf achten, dass der Hersteller für Windows-Anwender nur Version 9.1 zum Download anbietet, die anschließend ebenfalls ein Update auf 9.1.3 erfordert.

Linux-Anwender können gleich die korrigierte Version 9.1.3 herunterladen und müssen keine weiteren Updates mehr durchführen. Anwender von Adobe Acrobat müssen sich eine komplett neue Version für Windows oder Mac herunterladen.

Quelle : www.heise.de

[SiLæncer]

Adobe hat Patches für ColdFusion 7.02, 8.0, 8.0.1 und JRun 4.0 veröffentlicht, die verhindern sollen, dass Angreifer unberechtigten Zugriff auf Anwenderkonten erhalten können. Ursache sind unter anderem mehrere Cross-Site-Scripting-Schwachstellen.

Darüber hinaus beseitigen die Patches eine Directory-Traversal-Lücke in der Using Management Console von JRun, mit der sich beliebige Dateien auf dem Server abrufen lassen sowie ein Session-Fixation-Schwachstelle in ColdFusion, durch die sich die Zugriffsrechte erhöhen lassen. Der Hersteller stuft die Fehler als kritisch ein und empfiehlt, die Patches baldigst zu installieren.

Quelle : www.heise.de