Skip to content

ADOBE stopft Flash-Lücke, PDF-Loch weiterhin offen Reader and Flash UPDATES!!

25-2-2009

ENGLISH Follows,

Adobe warnt vor einer kritischen Lücke im Flash Player. Über sie könnte beispielsweise eine manipulierte Web-Seite den Rechner mit Schadsoftware infizieren. Betroffen sind die bislang aktuellen Versionen Adobe Flash Player 10.0.12.36 und frühere. Auch die Linux-Version (aktuell 10.0.15.3) ist anfällig.

Der Settings-Manager für den lokalen Flash-Player ist über die Adobe-Website erreichbar
Der Settings-Manager für den lokalen Flash-Player ist über die Adobe-Website erreichbar Vergrößern
Der Hersteller stellt Updates bereit, deren Installation beim routinemäßigen Update-Check des Flash-Players auch vorgeschlagen wird. Dummerweise findet der standardmäßig nur alle 30 Tage statt – und so lange werden sich die kriminellen Banden kaum Zeit lassen. Deshalb sollte man das Update auf Adobe Flash Player Version 10.0.22.87 möglichst bald manuell durchführen. Anschließend kann man im Settings Manager das Check-Intervall auf das aktuelle Minimum von 7 Tagen einstellen. Denjenigen, die noch nicht auf Version 10 können, bietet Adobe auch ein Update zur Vorgängerversion 9 an.

Für das letzte Woche bekannt gewordene Sicherheitsproblem in Adobe Reader und Acrobat gibt es keine Neuigkeiten. Auf den Adobe-Seiten steht weiterhin als Termin für einen Patch der 11. März. Dabei wird die Sicherheitslücke bereits aktiv ausgenutzt; amerikanische Medien zitieren den Hersteller von Intrusion Detection Systemen Sourcefire damit, er habe passenden PDF-Exploit-Code gefunden, der auf den 9. Januar datiert ist.

Überhaupt glänzt Adobe nicht gerade durch schnelle Reaktionen auf Sicherheitsprobleme. iDefense hat nach eigenen Angaben die Flash-Lücke bereits August 2008 an Adobe gemeldet. Außerdem fallen Adobe-Produkte in letzter Zeit gehäuft als potentielles Sicherheitsrisiko auf. Da die bislang bekannten PDF-Exploits auf eingebettetes JavaScript setzen, sollten Anwender bis Adobe einen Patch liefert, vorbeugend in den Adobe-Reader-Einstellungen “Adobe JavaScript” ausschalten.

Update:
Der Sicherheitsdienstleister Secunia weist darauf hin, dass sich die Lücke auch ohne JavaScript ausnutzen lässt. Den Secunia-Experten sei es sogar gelungen, einen voll funktionsfähigen Exploit zuschreiben, der ganz ohne JavaScript auskommt. Damit bleibt zum Schutz eigentlich nur noch der Umstieg auf alternative PDF-Reader. [2. Update Die können zwar grundsätzlich auch verwundbar sein, es ist jedoch recht unwahrscheinlich, dass die verbreiteten Exploits dort mehr als einen Absturz verursachen. Wer ganz auf Nummer sicher gehen will, sollte auf die Nutzung von PDF-Dateien aus externen Quellen vorerst verzichten und PDF-Erweiterungen im Browser deaktivieren.]

Siehe dazu auch

Im heise Software-Verzeichnis:

JETZT!!

Adobe Flash Player v10.0.22.87

Download it soon from http://www.macromedia.com/go/getflash
Check your version at http://www.macromedia.com/software/flash/about/

Direct Download link for Firefox, Safari, Opera HERE
For IE users: HERE

This fixes the security issue reported in
http://www.adobe.com/support/security/bulletins/apsb09-01.html

Adobe has released an update for its Flash Player that fixes a critical security vulnerability that could allow an attacker to remotely take control of a users system. The vulnerability can be found in versions 10.0.12.36 and earlier of the player. Version 10.0.15.3 for Linux is also vulnerable.

For an attack to be successful, a user must either load a malicious Shockwave Flash (SWF) File into Flash Player, or simply be lured to a site containing a malicious SWF file. The update fixes the buffer overflow issue that could potentially allow an attacker to execute arbitrary code and take control of the affected system. The update also resolves an input validation issue that leads to a Denial of Service (DoS) attack and a Windows only issue, where Flash could potentially contribute to a Clickjacking attack.

The Flash Player does have a built in automatic update checker, however, it only checks for updates once every 30 days. To protect yourself Adobe recommends that all Flash Player users update to the newest version, manually. The current version of the Flash Player is 10.0.22.87. Users can check which version of the Flash Player they currently have installed by simply visiting the about Adobe Flash page. An iDefense report on the issue, documents the length of time that it has taken Adobe to patch this vulnerability. Initial contact was made on the 25th of August, 2008 and the issue has only now been fixed.

A critical hole in Adobe Reader and Acrobat from last week, however, still remains to be patched and no additional information has been provided by Adobe. The Reader vulnerability has been exploited in-the-wild since the 9th of January, according to Sourcefire. The initial Adobe disclosure site indicates that a patch should be released to fix the critical hole in version 9 of Reader and Acrobat on the 11th of March, followed by an update to versions 7 and 8 on the 18th of March.

As the current in-the-wild exploit reportedly uses embedded JavaScript, a preventative fix is to simply disable JavaScript in the Adobe Reader settings. However, Secunia are advising that the exploit is possible, even with JavaScript disabled. They have managed to test the exploit, without the use of any JavaScript, leaving using an alternative PDF reader as the only option, until the exploit is fixed. To further protect from such an attack, users should also disable the PDF extensions in browsers and only open PDF files from trusted sources.

If you do not have Foxit reader installed I suggest you uninstal Adobe Reader and Install the SLIM Version of FoxitSoftwares FoxitReader!
Click to get Foxit Reader

Anything Below this sentence may not be the best info…..

Advertisements
No comments yet

Leave a Reply

Fill in your details below or click an icon to log in:

WordPress.com Logo

You are commenting using your WordPress.com account. Log Out / Change )

Twitter picture

You are commenting using your Twitter account. Log Out / Change )

Facebook photo

You are commenting using your Facebook account. Log Out / Change )

Google+ photo

You are commenting using your Google+ account. Log Out / Change )

Connecting to %s

%d bloggers like this: