Adobe stopft Lücken in Reader, Acrobat und Flash

Im Zuge des monatlichen Patchdays am gestrigen Dienstag hat Adobe drei Sicherheits-Bulletins für den Flash Player, Adobe Reader und Acrobat sowie den Shockwave Player herausgegeben. Das Flash-Player-Update behebt eine Reihe von kritischen Speicherverletzungen, die Angreifer dazu benutzen können, Schadcode einzuschleusen und auszuführen – hiervon sind alle Platformen betroffen.

Ein Sammel-Update für Reader und Acrobat in den Versionen X und XI flickt drei Pufferüberläufe sowie eine Speicherverletzung, die ebenfalls zum Ausführen von Schadcode missbraucht werden können. Auch diese Probleme werden als kritisch eingestuft. Auch mit dem Shockwave Player kann ein Angreifer Schadcode mit Hilfe von zwei Speicherverletzungs-Problemen einschleusen, der Patch von Adobe behebt dies sowohl für Windows als auch Mac OS X.

Das Flash-Player-Bulletin betrifft alle Windows- und Mac-Versionen der Software einschließlich der Version 11.8.800.94, zwei Updates mit den Versionsnummern 11.8.800.168 und 11.7.700.242 schaffen Abhilfe. Auf Linux sind alle Versionen bis einschließlich 11.2.202.297 befallen, Nutzer sollten auf Flash 11.2.202.310 updaten. Die Flash-Ausgabe für Android 4.x ist bis einschließlich Version 11.1.115.69 verwundbar, bei älteren Android-Versionen sind alle Flash-Player bis einschließlich 11.1.111.64 in Gefahr. Flash-Updates für Android werden von Adobe nur für Geräte zu Verfügung gestellt, die die Laufzeitumgebung schon vor dem 15. August 2012 installiert hatten. Zusätzlich sind noch diverse Versionen von Adobe AIR und den dazugehörigen Entwicklertools von den Schwachstellen betroffen; mehr Informationen dazu finden sich in Adobes Sicherheitsmitteilung für Flash.

[Update:] Apple hat seinen in OS X eingebauten Plug-in-Filter angepasst und lässt das Ausführen von Version 11.8.800.94 oder jünger in Safari nicht mehr zu. [/Update]

Das Sammel-Update für Adobe Reader und Acrobat betrifft alle Versionen bis einschließlich 11.0.03 für Reader und Acrobat XI und bis einschließlich 10.1.7 für Reader und Acrobat X. Die gepatchten Versionen stellt die Firma sowohl für Windows als auch Mac OS X zur Verfügung. Nutzer des Adobe Shockwave Players sollten auf Version 12.0.4.144 aktualisieren, die ebenfalls für Windows und Mac bereit steht, da alle früheren Ausgaben einschließlich Shockwave Player 12.0.3.133 von einem Angreifer dazu benutzt werden können, dem Nutzer Schadcode unterzuschieben.

Dass Adobe keinen Patch für die angebliche Zero-Day-Lücke im Adobe Reader vom vorigen Monat herausgegeben hat, erhärtet den Verdacht, dass es sich dabei tatsächlich um einen Fake handelt.

Siehe dazu auch:

• Adobe Reader im heise Software-Verzeichnis
• Adobe Flash Player im heise Software-Verzeichnis
• Adobe Shockwave Player im heise Software-Verzeichnis