Shockwave-Schwachstelle im Flash-Plugin

Im Browser-Plugin für Adobes Flash Player steckt eine Sicherheitslücke, die das Einschleusen und Ausführen von beliebigem Code ermöglichen kann. Der Hersteller hat daher neue Programmversionen bereit gestellt, in denen er die Anfälligkeit beseitigt hat. Betroffen sind alle Flash-Player-Versionen bis einschließlich 10.0.12.36 für Windows und Mac sowie bis 10.0.15.3 für Linux. Das Update behebt außerdem mehrere weitere Schwachstellen.

Adobe hat die Sicherheitsmitteilung APBS09-01 heraus gegeben und gibt darin an, das Öffnen speziell präparierter SWF-Dateien (Shockwave Flash) könne in anfälligen Flash-Player-Versionen einen Pufferüberlauf auslösen, der zum Absturz des Programms führe. Dies könne potenziell ausgenutzt werden, um beliebigen Code einzuschleusen und auszuführen. Betroffen seien alle Plattformen, für es einen Flash Player gebe. Dies schließt auch Adobe AIR mit ein, das den Flash Player enthält, ebenso Flash CS4 und CS3 Professional sowie Flex 3, für die es ebenfalls Updates gibt.

Die Sicherheitslücke ist von Javier Vicente Vallejo entdeckt und zunächst an das Sicherheitsunternehmen iDefense gemeldet worden, um dafür eine Belohnung zu erhalten. Die Verisign-Tochter iDefense hat zeitgleich mit Adobe eine eigene Sicherheitsmitteilung veröffentlicht. Darin gibt iDefense an, man habe die Schwachstelle am 25. August 2008 an Adobe gemeldet.

Adobe empfiehlt allen Anwendern die neuen Versionen zu installieren. Für Windows und Mac steht Flash Player 10.0.22.87 bereit, für ältere Systeme, die Version 10 nicht einsetzen können (etwa Windows 98), gibt es Flash Player 9.0.159.0. Adobes RIA-Entwicklungssystem AIR ist in der aktualisierten Version 1.5.1 erhältlich. Welche Flash-Player-Version Sie installiert haben, können Sie auf dieser Seite von Adobe überprüfen.