Eine vier Jahre alte Schwachstelle in Adobes Flex-SDK-Compiler bedroht immer noch bekannte Websites. Ein Patch liegt bereits seit 2011 vor. Die Bedrohung haben Sicherheitsforscher auf der Konferenz Troopers 2015 präsentiert. Mauro Gentile hat sie im Anschluss auf Full Disclosure veröffentlicht.
Der Fehler trägt den Namen CVE-2011-2461 und betrifft das Adobe Flex SDK 3.x und 4.x. Er lässt sich ausnutzen, um HTML Scripts aus der Ferne zu injizieren. Dafür müssen Angreifer das fürs Laden von Modulen genutzte System nutzen. Auf diese Weise haben sie die Möglichkeit, Daten von Besuchern der betroffenen Websites zu entwenden. Anfällige Flex-Anwendungen müssen erneut kompiliert oder gepatcht werden, um den von Adobe mit mittlerem Schweregrad bewerteten Fehler zu beseitigen.
Der von den Forschern entwickelte Angriff kann mit einer Flash-Datei im .SWF-Format realisiert werden, die mit einem angreifbaren Flex-SDK kompiliert wurde. Ein aktueller Browser und ein Flash-Plug-in auf dem neuesten Stand kann ein Opfer nicht schützen.
Mit Same-Origin Request Forgery sind Angreifer in der Lage, Daten zu stehlen oder Aktionen im Namen der Site durchzuführen. Dafür benötigen sie lediglich einen vor vier Jahren oder früher kompilierten Flash-Film und müssen ihn dazu zwingen, ihren Schadcode zu laden.
Wie verbreitet dieses Problem wirklich ist, haben Gentile und seine Kollegen in einem großangelegten Test untersucht. Sie “ermittelten SWFs auf beliebten Websites und analysierten diese Dateien mit einem selbst geschriebenen Werkzeug, um Muster angreifbaren Codes zu entdecken.” Dabei habe man viele prominente Opfer gefunden. Davon hätten sich drei Sites in den Top 100 von Alexa befunden.
Der Flash-Player ist am Ende. Zum Glück, denn er ist ein Einfallstor für Trojaner und Hacker, und mit HTML5 gibt es einen passenden Ersatz. Doch ein Leben ganz ohne Adobe? Ohne Reader? Ohne Photoshop? Es ist möglich – mit Programmen, die dazu noch kostenlos sind.
“In den letzten Monaten haben wir unser Bestes getan, um einigen der größten Sites dieses Problem direkt zu vermitteln, aber ein größeres Publikum erreichen wir nicht, ohne die technischen Details öffentlich zu machen. Die vielen gefundenen anfälligen Anwendungen zeigen eindeutig, dass CVE-2011-2461 im Jahr 2011 nicht die nötige Aufmerksamkeit erhalten hat.”
Die Forscher haben nun ihr Java-Werkzeug ParrotNG verfügbar gemacht, das Flash-Dateien auf Verwundbarkeit prüft. Sie hoffen, damit das Problem dauerhaft ausrotten zu können. In den nächsten Tagen sollen zusätzliches Material und Fallstudien zu betroffenen Domains folgen.
[mit Material von Florian Kalenda, ZDNet.de]
Tipp: Kennen Sie die Geschichte der Computerviren? Überprüfen Sie Ihr Wissen – mit 15 Fragen auf silicon.de
LLMs besitzen einerseits innovative neue Fähigkeiten, stellen Unternehmen allerdings auch vor diverse Herausforderungen: ob EU…
Server-Ausbau in den USA und China macht große Fortschritte, deutscher Weltmarktanteil sinkt. Lichtblicke in Frankfurt…
Der Markt für Workplace Services gerät in Bewegung. Das bestmögliche digitale Nutzererlebnis gilt als Schlüssel…
Schutz für 10.000 Postfächer über rund 200 Domains: Private-Stack-Variante kombiniert Vorteile einer Cloud-Lösung mit Sicherheit…
Huawei Connect Paris: Innovationen rund um Data Center, Storage und IT-Sicherheit.
Mit KI optimieren Hacker ihre Angriffsversuche. Ist CIAM eine Lösung, mit der sich Unternehmen vor…