Adobe denkt über kürzere Update-Zyklen und die Nutzung von Microsoft Update nach

Laut Brad Arkin, bei Adobe verantwortlich für Produktsicherheit und Datenschutz, überlegt man derzeit, die Dauer zwischen Sicherheitsupdates für den Adobe Reader von 90 Tagen auf 30 Tage zu verkürzen. Adobe hat Mitte 2009 den Dreimonatszyklus gestartet und veröffentlicht seitdem gleichzeitig mit Microsoft am zweiten Dienstag eines betreffenden Monats Updates für den Adobe Reader und Acrobat.

Angesichts der in letzter Zeit gehäuft auftauchenden Sicherheitslücken erhöhten wichtige Kunden offenbar den Druck auf Adobe, die Sicherheitsflicken in kürzeren Abständen zu veröffentlichen. Arkin bestätigte gegenüber heise Security, dass ein monatlicher Rhythmus eine der momentan diskutierten Alternativen ist. Adobe sei inzwischen außerdem in der Lage, Updates in Notfällen zuverlässig binnen 15 Tagen zu entwickeln und außer der Reihe zu veröffentlichen. Zum Vergleich: Im Frühjahr 2009 benötigten die Adobe-Mannen um Brad Arkin noch 80 Tage, um einen Patch für die JBIG2-Lücke zu entwickeln.

Außerdem will Adobe neben dem Adobe Reader noch weitere Produkte wie Flash und Shockwave mit in den Update-Reigen aufnehmen. Bislang veröffentlicht der Hersteller Patches für die diese Software vollkommen unregelmäßig. Ob außer dem Adobe Reader noch weitere Produkte mit Hilfe des neuen Update-Mechanismus automatisch mit Sicherheitsflicken bedient werden, wurde nicht bekannt.

Brad Arkin hat im Gespräch mit heise Security großes Interesse daran geäußert, die Patches für Adobe-Produkte auch "durch andere Kanäle" auf die PCs der Anwender zu bringen. Zwar nannte Arkin Microsoft Update nicht beim Namen. Er verwies gleichzeitig mit seinem Wunsch nach anderen Kanälen aber darauf, dass Adobe seine Updates bereits mit Hilfe der systemeigenen Mechanismen von Mac OS X und Red Hat Linux verteilt.

Microsoft selbst will sich zu einer möglichen Öffnung von Microsoft Update nicht offiziell äußern. Firmenvertreter verwiesen lediglich auf die große Komplexität und die zahlreichen organisatorischen sowie rechtlichen Hürden, die ein solches Unterfangen mit sich brächte. Außerdem scheuen die Redmonder offenbar auch das Risiko, das ein eventuell verrücktspielendes Update eines so weit verbreiteten Produkts wie den Adobe Reader bedeuten könnte.

Eine gemeinsame Schnittstelle zwischen Adobe und Microsoft gibt es aber doch: Laut Arkin will man bis Ende 2010 soweit sein, um Adobe-Updates per Microsoft System Center Updates Publisher (SCUP) zu verteilen. Hiervon sollen Kunden von Microsoft System Center Configuration Manager (SCCM) und Microsoft System Center Essentials (SCE) profitieren, da sie Updates damit schneller und somit günstiger im Unternehmensnetz installieren können.

Siehe dazu auch:

• Adobe führt automatisches Update für Reader ein
• Adobe will stilles Update für den Reader einführen
• Adobe schließt kritische Lücke in Reader und Acrobat
• Adobe plant eigenen Patchday

(dab)