0-Day-Lücke
Adobe-Updates beheben kritische Flash-Lücke
Mit Sicherheits-Updates für seine Produkte Adobe Reader und Acrobat, Flash Player und AIR beseitigt der Software-Hersteller Adobe eine als kritisch eingestufte Sicherheitslücke, die bereits für Angriffe genutzt wird.
In der letzten Woche hatte Adobe eine Warnung vor einer offenen Sicherheitslücke im Flash Player veröffentlicht, die bereits für gezielte Angriffe ausgenutzt wird. Die mit dieser Warnmeldung angekündigten Sicherheits-Updates sind nun verfügbar. Adobe hat neben dem Flash Player auch seine PDF-Produkte Reader und Acrobat sowie das RIA-Entwicklungs-Tool AIR aktualisiert, die alle den Flash Player enthalten.
Der neue Flash Player 10.2.153.1 beseitigt die Schwachstelle, die laut Adobe Security Bulletin APSB11-05 alle bisherigen Versionen auf allen Plattformen betrifft. Adobe AIR 2.6 enthält ebenfalls den neuen Flash Player. Für Android gibt es im Android Marketplace den korrigierten Flash Player 10.2.156.12. Google hat in seinem Web-Browser Chrome bereits am 15. März den integrierten Flash Player auf die Version 10.2.154.25 aktualisiert, um die Lücke zu stopfen.
Für den PDF-Betrachter Adobe Reader 9 (Windows und Mac) gibt es ein inkrementelles Update auf die Version 9.4.3. Die aktuelle Windows-Version des Adobe Reader X (10.0.1) soll erst beim planmäßigen Update-Termin am 14. Juni erneuert werden. Sie enthält eine Sandbox, die das Ausnutzen der Flash-Lücke verhindern soll. Adobe Reader X für Mac muss hingegen ohne diesen Laufstall auskommen und bekommt daher ein Update auf Version 10.0.2.
Nach Angaben von Adobe sind Adobe Reader für Unix und Android sowie die älteren Versionszweige Reader und Acrobat 8.x (alle Plattformen) nicht betroffen. Sie enthalten keinen Flash Player. Adobe Acrobat, Versionen 9.x und 10.x, für Windows und Mac ist jedoch anfällig – die neuen Versionen 9.4.3 sowie 10.0.2 beheben die Flash-Lücke.
Adobe bekräftigt noch einmal, dass bislang lediglich gezielte Angriffe mit Excel-Dokumenten bekannt sind, in die speziell präparierte Flash-Dateien eingebettet sind. Solche Excel-Dateien werden als Mail-Anhang an ausgewählte Empfänger verschickt und enthalten Malware. Angriffe mit präparierten PDF-Dateien oder im Web sind bislang nicht bekannt, könnten jedoch folgen.
