• IT-Karriere:
  • Services:

Notfallpatch

Adobe schließt bereits ausgenutzte gefährliche XSS-Lücke

Ein Zeroday-Exploit hat Adobe zum Handeln gezwungen - kurzerhand wurden Updates für Windows, Mac OS, Linux, Solaris und Android veröffentlicht. Sie schließen eine Cross-Site-Scripting-Schwachstelle, die zum Stehlen von Zugangsdaten genutzt werden kann.

Artikel veröffentlicht am ,
Ein Update soll eine kritische Sicherheitslücke in Adobes Flash Player schließen.
Ein Update soll eine kritische Sicherheitslücke in Adobes Flash Player schließen. (Bild: Adobe)

Adobe muss den Flashplayer außerhalb der Quartalsupdates mit einem Sicherheitspatch versorgen. Den Notfallpatch hat Adobe gestern erst angekündigt. Schnelles Handeln war nötig, da eine der Sicherheitslücken bereits für gezielte Angriffe ausgenutzt wird. Anwender werden mit E-Mails auf eine Webseite gelockt, die einen Programmfehler im Flash Player für offenbar kriminelle Zwecke missbraucht. Dazu wird eine Cross-Site-Scripting-Sicherheitslücke verwendet (CVE-ID 2011-2444). Die Sicherheitslücke wurde von Google an Adobe gemeldet. Laut Securityfocus ist es möglich, über die Schwachstelle Cookie-basierte Zugangsdaten zu stehlen, um weitere Angriffe zu starten.

Stellenmarkt
  1. ATP Autoteile GmbH, Pressath
  2. über InterSearch Personalberatung GmbH & Co. KG, Raum Münster/Osnabrück

Weitere Schwachstellen, die jedoch nicht ausgenutzt werden, ermöglichen es einem Angreifer, den Flashplayer zum Absturz zu bringen und sogar die Kontrolle über das System zu übernehmen.

Adobe Reader hat vermutlich auch Lücken

Im Security Bulletin nennt Adobe Details und Downloadmöglichkeiten zu den insgesamt sechs gemeldeten Lücken. Laut Adobe wird nur eine der Lücken aktiv ausgenutzt. Um Adobe-Reader- und -Acrobat-Nutzer zu beruhigen, schreibt der Softwareentwickler, dass diese Programme nicht von der Sicherheitslücke 2011-2444 in der Flashkomponente authplay.dll betroffen seien. Zu den anderen CVE-IDs äußert sich Adobe jedoch nicht.

Es ist wohl zu befürchten, dass damit auch Sicherheitslücken in den PDF-Programmen existieren. Patches gibt es für die weit verbreiteten Programme in den Versionen 9 und 10 aber nicht. Adobes PDF-Programme der Version 8 können prinzipbedingt nicht von Flash-Sicherheitslücken betroffen sein. Allerdings wird der Support vom Adobe Reader und Acrobat 8 im November 2011 eingestellt.

Der nächste Quartalspatchday für Adobes PDF-Software ist Mitte Dezember 2011.

Bitte aktivieren Sie Javascript.
Oder nutzen Sie das Golem-pur-Angebot
und lesen Golem.de
  • ohne Werbung
  • mit ausgeschaltetem Javascript
  • mit RSS-Volltext-Feed


Anzeige
Spiele-Angebote
  1. Call of Duty: Black Ops Cold War (PC) für 53,99€ (Release 13.11.)
  2. (u. a. Sam & Max Hit the Road für 1,25€ Maniac Mansion für 1,25€, The Secret of Monkey...
  3. 4,49€
  4. 31,99€

Folgen Sie uns
       


Drohnenflug am Strand mit Google Earth Studio - Tutorial

Wir zeigen im kurzen Tutorial, wie man in Earth Studio eine einfache Animation erstellt.

Drohnenflug am Strand mit Google Earth Studio - Tutorial Video aufrufen
Differential Privacy: Es bleibt undurchsichtig
Differential Privacy
Es bleibt undurchsichtig

Mit Differential Privacy soll die Privatsphäre von Menschen geschützt werden, obwohl jede Menge persönlicher Daten verarbeitet werden. Häufig sagen Unternehmen aber nicht, wie genau sie das machen.
Von Anna Biselli

  1. Strafverfolgung Google rückt IP-Adressen von Suchanfragen heraus
  2. Datenschutz Millionenbußgeld gegen H&M wegen Ausspähung in Callcenter
  3. Personenkennziffer Bundestagsgutachten zweifelt an Verfassungsmäßigkeit

Shifoo: Golem.de startet Betatest seiner Karriere-Coaching-Plattform
Shifoo
Golem.de startet Betatest seiner Karriere-Coaching-Plattform

Beratung, die IT-Profis in Job & Karriere effizient und individuell unterstützt: Golem.de startet die Video-Coaching-Plattform Shifoo. Hilf uns in der Betaphase, sie für dich perfekt zu machen, und profitiere vom exklusiven Angebot!

  1. Stellenanzeige Golem.de sucht Verstärkung für die Redaktion
  2. Stellenanzeige Golem.de sucht CvD (m/w/d)
  3. In eigener Sache Die 24-kernige Golem Workstation ist da

Corsair K60 RGB Pro im Test: Teuer trotz Viola
Corsair K60 RGB Pro im Test
Teuer trotz Viola

Corsair verwendet in der K60 Pro RGB als erster Hersteller Cherrys neue preiswerte Viola-Switches. Anders als Cherrys günstige MY-Schalter aus den 80ern hinterlassen diese einen weitaus besseren Eindruck bei uns - der Preis der Tastatur hingegen nicht.
Ein Test von Tobias Költzsch

  1. Corsair K100 RGB im Test Das RGB-Monster mit der Lichtschranke
  2. Corsair Externes Touchdisplay ermöglicht schnelle Einstellungen
  3. Corsair One a100 im Test Ryzen-Wasserturm richtig gemacht

    •  /