Flash-Leck macht Webcam zum Spion
Die Software ‘Adobe Flash’ macht immer wieder mit Schwachstellen von sich reden. Jetzt hat der Hersteller eingeräumt, dass ein Leck in Flash missbraucht werden kann, um Mikrofon und Webcam eines Website-Besuchers unbemerkt einzuschalten.
Der Fehler steckt nach Angaben der Firmensprecherin Wiebke Lips im ‘Flash Player Settings Manager’ auf Adobes Servern und nicht in auf den Computern von Nutzern installierter Software. “Wir arbeiten derzeit an einem Fix”, schreibt Lips in einer E-Mail. “Bitte beachten Sie, dass für das Problem kein Produktupdate oder der Eingriff eines Nutzers notwendig ist. Das ist eine Lösung, die wir auf unserer Seite anwenden, und sie wird freigegeben, sobald die Qualitätssicherung ihre Tests abgeschlossen hat.” Die Anfälligkeit werde möglicherweise schon Ende der Woche behoben. Eine Sicherheitsmeldung werde es aber nicht geben.
Entdeckt hat den Fehler Feross Aboukhadijeh, ein Informatikstudent an der Stanford University. In einem Blogeintrag beschreibt er den auf ‘Clickjacking’ basierenden Angriff, bei dem eine Website mit einer anderen überlagert wird, um die Mausklicks des Opfers umzuleiten. In diesem Fall könnte jemand auf mehrere Schaltflächen klicken, beispielsweise im Rahmen eines Spiels, und in Wirklichkeit seine Webcam und sein Mikrofon aktivieren.
“Obwohl jedes Betriebssystem und jeder Browser theoretisch anfällig für diesen Angriff sind, werden für die Aktivierung der Webcam mehrere sehr präzise Mausklicks benötigt, was ein Angreifer nur schwer umsetzen kann”, schreibt Aboukhadijeh. “Ich weiß nicht, wie nützlich diese Technik im praktischen Einsatz ist, aber ich hoffe, dass Adobe das Loch schnellstmöglich stopft, damit wir das nicht herausfinden müssen.”
Adobe sei der Fehler schon seit einigen Wochen bekannt, so Aboukhadijeh. Der Student hat seine E-Mail Adobe zufolge aber an einen Mitarbeiter geschickt, der im Urlaub ist, und nicht an das zuständige Product Security Incident Response Team. Deswegen habe Adobe erst Mitte der Woche aus Aboukhadijehs Blogeintrag von dem Problem erfahren. Aboukhadijeh zeigt die Schwachstelle in einem YouTube-Video:
