Adobe patcht als kritisch eingestufte Sicherheitslücke im Flash Player
Adobe hat mit der Verteilung eines Patches für eine kritische Zero-Day-Lücke in Flash Player begonnen. Seit Samstag erhalten Nutzer, die die automatische Aktualisierung der Flash Player Desktop Runtime aktiviert haben, die fehlerbereinigte Version 16.0.0.296. Als manueller Download wird der Fix allerdings erst im Lauf dieser Woche zur Verfügung stehen.
Auf einem Testrechner von ZDNet mit Windows 7 war das Update bereits am Sonntagmittag installiert. Nutzer von Google Chrome und Microsoft Internet Explorer 10 und 11 müssen hingegen noch warten, da beide Anbieter die neue Flash-Player-Version noch nicht in ihre Browser integriert haben. Auch die noch unterstützte Version 13.0.0.262 sowie Flash Player 11.2.202.438 wurden noch nicht aktualisiert.
Anwender können auf der Adobe-Website kontrollieren, ob sie das Update schon erhalten haben. Alternativ empfiehlt Adobe mit einem Rechtsklick auf einen Flash-Inhalt das Menü “Über Adobe Flash Player” aufzurufen, worin sich ebenfalls die verwendete Versionsnummer findet. “Wenn Sie mehrere Browser haben, führen Sie die Kontrolle für jeden installierten Browser aus”, heißt es in einem Advisory.
Die Schwachstelle, die seit vergangener Woche bekannt ist, wird bereits für sogenannte Drive-by-Downloads ausgenutzt, also Downloads, die ohne weitere Interaktion mit dem Nutzer schon beim Besuch einer Website ausgelöst werden. Der französische Sicherheitsforscher Kafeine hatte sie bei der Analyse des Exploit-Kits “Angler” entdeckt, das laut Sicherheitsforschern von Cisco der gängigste Nachfolger von Blackhole ist.
Eine weitere Schwachstelle, die unter anderem auch Kafeine beschrieben hat, hatte Adobe Ende vergangener Woche mit dem Update auf die Version 16.0.0.287 beseitigt. Auch dieser als kritisch eingestufter Fehler betraf Flash Player für Windows, Mac OS X und Linux.
Flash ist ein beliebtes Ziel von Exploit-Kits, weil es in allen gängigen Browsern und unter mehreren Betriebssystemen läuft. Allerdings kommt es ziemlich selten vor, dass ein Zero-Day-Exploit in einem Exploit-Kit enthalten ist.
[mit Material von ZDNet.de]
Tipp: Wie sicher sind Sie bei der Sicherheit? Überprüfen Sie Ihr Wissen – mit 15 Fragen auf silicon.de