TECHNISCHE WARNUNG TW-T15/0006
Titel: Sicherheitswarnung für Adobe Flash Player
Datum: 23.01.2015
Risiko: sehr hoch

ZUSAMMENFASSUNG
Adobe schließt eine Sicherheitslücke im Adobe Flash Player, eine weitere,
kritische Sicherheitslücke bleibt jedoch vorerst bestehen.

BETROFFENE SYSTEME
- Adobe Flash Player bis einschließlich 13.0.0.262
- Adobe Flash Player bis einschließlich 16.0.0.287
- Adobe Flash Player for Linux bis einschließlich 11.2.202.438
- Microsoft Internet Explorer 10
- Microsoft Internet Explorer 11
- Apple Mac OS X
- GNU/Linux
- Microsoft Windows 8 X64
- Microsoft Windows 8 X86
- Microsoft Windows 8.1 X64
- Microsoft Windows 8.1 X86
- Microsoft Windows RT
- Microsoft Windows RT 8.1
- Microsoft Windows Server 2012
- Microsoft Windows Server 2012 R2
- openSUSE 13.1:NonFree
- openSUSE 13.2:NonFree

EMPFEHLUNG
Deinstallieren Sie sicherheitshalber den Adobe Flash Player komplett und
warten Sie ab, bis neue Versionen bereitgestellt werden, welche auch die
kritische, zweite Sicherheitslücke nicht mehr enthalten. Falls Sie den
Adobe Flash Player nicht vollständig von Ihrem System entfernen möchten,
sollten Sie zumindest das Adobe Flash Player Plug-in bis auf Weiteres in
Ihrem jeweils verwendeten Browser (Firefox, Internet Explorer und
vorsorglich auch für Chrome) deaktivieren.

BESCHREIBUNG
Mit dem Flash Player werden multimediale aktive Inhalte wiedergegeben.
Das Programm ist integraler Bestandteil zahlreicher Adobe Produkte.

Adobe schließt mit dem aktuellen Sicherheitsupdate eine Sicherheitslücke
(CVE-2015-0310), die es einem entfernten und nicht angemeldeten Angreifer
ermöglicht, beliebige Befehle und Programme auszuführen und damit die
Kontrolle über das betroffene System zu übernehmen. Eine weitere
Sicherheitslücke (CVE-2015-0311), die es einem ebenfalls entfernten und
nicht angemeldeten Angreifer durch das Einschleusen schädlichen Codes
mittels einer präparierten Webseite (auch bekannt als
"Drive-by-Download") ermöglicht, einen Absturz zu verursachen oder
ebenfalls die Kontrolle über das betroffene System zu übernehmen, wird
durch das aktuelle Sicherheitsupdate allerdings nicht behoben (siehe dazu
auch: Heise Security Online Artikel vom 22.01.2015). Adobe teilt ferner
mit, dass für die beiden Schwachstellen bereits sogenannte Exploits
öffentlich bekannt sind, d. h. Schadsoftware zur einfachen Ausnutzung der
Sicherheitslücken zur Verfügung steht. Adobe hat ein weiteres
Sicherheitsupdate zur Behebung von CVE-2015-0311 für die Woche vom 26.
Januar angekündigt.

QUELLEN
- Adobe Security Bulletin APSB15-01 (Flash Player / Englisch)
http://helpx.adobe.com/security/products/flash-player/apsa15-01.html
- Adobe Security Bulletin APSB15-02 (Flash Player / Englisch)
http://helpx.adobe.com/security/products/flash-player/apsb15-02.html
- Heise Security Online Artikel vom 22.01.2015
http://www.heise.de/newsticker/meldung/Flash-Player-deaktivieren-Sicherheits-Update-laesst-kritische-Luecke-offen-2526789.html




-----------------------------------------------------------------------
Diese Technische Warnung ist ein kostenloses Service-Angebot des
Bürger-CERT, http://www.buerger-cert.de. Die Informationen werden mit
größter Sorgfalt recherchiert und aufbereitet, dennoch kann eine
Gewähr oder Haftung für die Vollständigkeit und Richtigkeit nicht
übernommen werden.

Unter http://www.buerger-cert.de haben Sie die Möglichkeit, diesen
Informationsdienst zu abonnieren oder abzubestellen. Fragen und
Anregungen an die Redaktion bitte an: oeffentlichkeitsarbeit@bsi.bund.de