Adobe beseitigt Pwn2own-Lücken im Flash Player

Für den normalen Youtube-Nutzer ändert sich mit der neuen Generation 13 des Flash Player so gut wie nichts Offensichtliches. Lediglich den Hinweis auf das Beenden des Vollbildmodus mit der [Esc]-Taste haben die Adobe-Entwickler etwas weniger aufdringlich gestaltet. Für Flash-Entwickler gibt es ein paar Neuerungen, die das Change-Log zusammen mit einer langen Liste behobener Bugs dokumentiert. Ein wichtiger Grund für die Installation der neuen Version 13.0.0.182 sind vier geschlossene Sicherheitslücken, die Adobe im Security Bulletin APSB14-09 aufführt. Zwei dieser Lücken sind typische Speicherfehler (Pufferüberlauf, Use-after-free), die es einem Angreifer ermöglichen beliebigen Code einzuschleusen und auszuführen. Dass dies keine rein theoretische Möglichkeit ist, haben Hacker beim Wettbewerb Pwn2own im März vorgeführt. Die jetzt gestopften Lücken sind nämlich die beim Hacker-Contest ausgenutzten Schwachstellen. Die neue Versionsnummer gilt für alle unterstützten Plattformen, für die Adobe den Flash Player noch weiter entwickelt. Für neuere Linux-Systeme gibt es die ebenfalls neue Version 11.2.202.350, in der die genannten Lücken beseitigt sind. Während die meisten Web-Browser das neue Plug-in über das Adobe Update erhalten, liefern Google und zum Teil Microsoft selbst die Updates aus.

Google hat seinen Browser Chrome auf die neue stabile Generation 34 aktualisiert, deren erste Ausgabe den neuen Flash Player mitbringt. Microsoft aktualisiert den Flash Player für den Internet Explorer 10 und 11 unter Windows 8.x, RT sowie Server 2012 und 2012 R2 über Windows Update. Andere IE-Versionen, auch IE 10 und 11 unter Windows 7, benötigen das ActiveX-Modul des Flash Player, das wie bei Firefox und Co. direkt von Adobe kommt. Adobes RIA-Plattform AIR trägt ab sofort stets die gleiche Versionsnummer wie der darin steckende Flash Player – zumindest was die Hauptversion betrifft. Die komplette Versionsnummer lautet für alle Betriebssysteme von Windows bis Android 13.0.0.83.