Zwei Zero-Day-Lücken gefährden Flash Player

Fire Eye und Trend Micro haben in Flash Player zwei weitere Zero-Day-Lücken entdeckt. Adobe hat die Befunde bereits bestätigt. Das Unternehmen bewertet die Schwachstellen als kritisch. Sie betreffen Windows, Mac OS und Linux. Die Details dazu fanden sich in den Geschäftsunterlagen, die dem italienischen Spähsoftwareanbieter Hacking Team entwendet wurden.

Konkret stecken die Fehler in den Versionen 18.0.0.203 und früher sowie 13.0.0.302 und früher für Windows und Mac OS X und 11.2.202.481 und früher für Linux. Auch die in Google Chrome für Linux enthaltene Version 18.0.0.204 ist betroffen. Adobe zufolge nutzten Angreifer die beiden Sicherheitslücken bereits aktiv aus. Noch im Lauf der Woche will es einen Patch veröffentlichen.

Wie Trend Micro in einem Blog schreibt, handle es sich beider Schwachstelle mit der Kennung CVE-2015-5123, um einen Value-of-trick-Bug. Dieser kann den Flash Player abstürzen lassen. FireEye zufolge ist die Flash-Lücke CVE-2015-5122 ein Use-after-free-Bug in der Komponente DisplayObject. Angreifer können über diesen Schadcode einschleusen und ausführen. In dem von Hacking Team entwickelten Proof of Concept starte der Windows-Taschenrechner, heißt es weiter in dem Blog.

“Da die Hacking-Team-Unterlagen öffentlich zugänglich sind, stellen sie ein Risiko für Nutzer dar”, schreibt Threat Analyst Peter Pi im Trend-Micro-Blog. “Deswegen raten wir Nutzern, Adobe Flash Player bis ein Patch zur Verfügung steht vorübergehend zu deaktivieren.”

Adobe hatte bereits in der vergangenen Woche einen Patch für Flash Player veröffentlicht, der 36 Sicherheitslücken beseitigt. Dazu zählte auch eine Schwachstelle, die in den Dokumenten von Hacking Team beschrieben wird. Auch sie erlaubte es Hackern, die Kontrolle über ein betroffenes System zu übernehmen.

[mit Material von Stefan Beiersmann, ZDNet.de]

Tipp: Kennen Sie die berühmtesten Hacker? Überprüfen Sie Ihr Wissen – mit 15 Fragen auf silicon.de.