Patchday: Adobe flickt Flash und Illustrator
Adobe hat am Mai-Patchday Sicherheitsupdates für Lücken im Flash-Player und in Adobe Illustrator CS6 herausgegeben. Die Updates für beide Programme werden von der Firma als kritisch eingeschätzt.
- Fabian A. Scherschel
Wie auch Microsoft hat Adobe am heutigen Patchday Updates veröffentlicht. Von Adobe kommen Aktualisierungen für Flash und AIR sowie Illustrator; beide Updates werden als "kritisch" eingestuft. Die geschlossenen Lücken in Flash könnten es einem Angreifer erlauben, betroffene Systeme aus dem Netz zu übernehmen. Das Update in Illustrator CS6 behebt ein Problem mit der Speicherverwaltung des Programms, welches dazu führen kann, dass Angreifer aus dem Netz Schadcode auf dem Computer des Opfers ausführen können.
Mehrere Lücken in Flash und AIR
Der Patch für Flash behebt insgesamt drei Lücken: Angreifer konnten Schadcode aus dem Netz ausführen (CVE-2014-0510), die Same Origin Policy des Plugins umgehen (CVE-2014-0516) und auf mehreren Wegen die eingebaute Sandbox austricksen (CVE-2014-0517, CVE-2014-0518, CVE-2014-0519, CVE-2014-0520). Betroffen sind alle Versionen des Flash-Players bis einschließlich 13.0.0.206 auf Windows und Mac OS X, sowie bis einschließlich Version 11.2.202.356 auf Linux. Adobe AIR und die dazugehörigen Entwicklerwerkzeuge sind bis einschließlich Version 13.0.0.83 verwundbar.
Windows- und Mac-Nutzer sollten auf Flash 13.0.0.214 updaten; Linux-Nutzer sollten Version 11.2.202.359 installieren, um die Lücken zu schließen. Flash für Google Chrome wird automatisch aktualisiert. Auch Nutzer von Internet Explorer 10 für Windows 8 und IE 11 für Windows 8.1 werden vollautomatisch mit Updates versorgt.
Auch Illustrator-Nutzer sollten updaten
Ein Speicherüberlauf in Adobe Illustrator (CVE-2014-0513) sorgt dafür, dass auch Nutzer von Illustrator CS6 Aktualisierungen einspielen sollten. Betroffen sind Illustrator CS6 16.0.3 und 16.2.0 für Windows sowie die Versionen 16.0.4 und 16.2.1 für Mac OS X.
Adobe hat ein Dokument herausgegeben, das beschreibt wie die betroffenen Illustrator-Versionen zu patchen sind. Die kritische Sicherheitslücke im Grafikprogramm wurde von Sicherheitsforscher Noam Rathaus gefunden und vertraulich an Adobe gemeldet.
[Update 14.05.2014 16:48]
Adobe hat ebenfalls Updates für Adobe Reader und Acrobat herausgegeben. Diese Updates werden als kritisch eingestuft und beheben eine ganze Reihe von Speicherverwaltungsproblemen bei beiden Programmen. Außerdem wurden Lücken in den JavaScript-APIs und in der Validierung von eingegebenen Daten geschlossen.
Betroffen sind die Versionen bis einschließlich 11.0.06 (Reader und Acrobat XI) und 10.1.9 (Reader und Acrobat X) für Windows und Mac OS X. Laut Adobe sollten Nutzer auf Version 11.0.07 aktualisieren. Wenn man weiterhin Reader und Acrobat X benutzen will, sollte man Version 10.1.10 installieren.
Siehe dazu auch:
- Adobe Flash Player im heise Software-Verzeichnis
- Adobe Air im heise Software-Verzeichnis
- Adobe Illustrator im heise Software-Verzeichnis
- Adobe Reader im heise Software-Verzeichnis
