Angriffe auf kritische Lücke: Flash-Patch ist da
Adobe liefert einen Notfall-Patch für Flash aus, der 24 Sicherheitslücken stopft. Eine davon soll derzeit unter Windows aktiv ausgenutzt werden, um Erpressungs-Trojaner auszuliefern.
Wer den Flash Player unter Windows nutzt, sollte schleunigst die installierte Version prüfen. Denn die Versionen bis jeweils einschließlich 21.00.197 (Windows und OS X), 18.0.0.333 (Extended Support Release Windows und OS X) und 11.2.202.577 (Linux) sind verwundbar, warnt Adobe.
Der abgesicherte Flash Player (21.0.0.213, 18.0.0.343 und 11.2.202.616) steht ab sofort für alle Plattformen zum Download bereit. Nutzer der Webbrowser Chrome, Edge und Internet Explorer 10 und 11 ab Windows 8.1 bekommen das Flash-Update automatisch zugespielt.
Admins können die vollständigen Installationsdateien in verschiedenen Formaten und für diverse Betriebssysteme einzeln zur Weiterverteilung herunterladen. Adobe will diesen Service in seiner jetzigen Form aber zeitnah einstellen. Ab dann haben nur noch Business-Anwender mit einer gültigen Lizenz Zugriff auf die vollständigen Installationsdateien.
Windows unter Beschuss
Vor allem Windows-Nutzern rät Adobe zu einem zügigen Update. Denn die Lücke mit der Kennung CVE-2016-1019 werde derzeit aktiv ausgenutzt. Das geschehe in Windows bis inklusive Version 10 und dem Flash Player 20.0.0.306. Kaspersky zufolge machen sich zwei Exploit-Kits die Lücke zunutze, um die Erpressungs-Trojaner Cerber und Locky auszuliefern.
Dabei handelt es sich Adobe zufolge um eine Type-Confusion-Schwachstelle, über die Angreifer Code auf verwundbaren Systemen ausführen können. Diese Lücke wurde von Sicherheitsforschern von EmergingThreats/Proofpoint, FireEye und Google entdeckt.
Die weiteren Schwachstellen stuft Adobe ebenfalls als kritisch ein. Angreifer können die Lücken über provozierte Speicherfehler ausnutzen, eigenen Code auf Computer schieben und diese im schlimmsten Fall übernehmen. Der Großteil dieser Schwachstellen hat Tencent PC Manager aufgespürt. (des)
