Abo
  • Services:

Adobe Photoshop: Adobe schließt ausgenutzte Schwachstellen

Photoshop, Adobe Reader und Acrobat: Adobe schließt zahlreiche Sicherheitslücken. Einige werden aktiv ausgenutzt, bei anderen ist schon Exploit-Code im Umlauf.

Artikel veröffentlicht am ,
Adobes Hauptquartier
Adobes Hauptquartier (Bild: Coolceasar/CC-BY-SA 3.0)

Adobe hat Sicherheitsupdates für den Adobe Reader, Adobe Photoshop und Adobe Acrobat bereitgestellt. Von den 24 geschlossenen Lücken werden 23 als 'kritisch' eingestuft, teils ermöglichen sie die unberechtigte Ausführung von Code.

Stellenmarkt
  1. umwerk systems GmbH, Rosenheim
  2. UDG United Digital Group, Ludwigsburg

Die 23 kritischen Updates, die umgehend eingespielt werden sollten, betreffen Acrobat und Reader. Die Sicherheitslücke mit der CVE-Nummer 2018-4993 kann nur im Zusammenspiel mit einem Problem in Microsofts NT Lan Manager Single-Sign-On-Dienst (NTLM SSO) ausgenutzt werden. Ein Angreifer könnte Nutzer auf Ressourcen außerhalb des Unternehmenskontextes verweisen und damit NTLM-Authentifizierungsnachrichten erlangen.

Eine als kritisch eingestufte Double-Free-Lücke mit der CVE 2018-4990 wird nach Angaben des Unternehmens bereits von Kriminellen für Angriffe ausgenutzt, um beliebigen Code auszuführen. 21 weitere Speicherfehler ermöglichen ebenfalls eine unauthentifizierte Codeausführung, dabei handelt es sich um Heap-Overflows, Use-After-Free-Schwachstellen und einen Out-of-Bounds-Write. Für die Schwachstelle CVE-2018-4985 wurde bereits ein Proof-of-Concept veröffentlicht, auch hier ist also mit baldigen Angriffen zu rechnen.

Code-Execution in Photoshop

Auch die aktuelle Photoshop-Version bekommt ein Update. Hier kann durch die CVE-2018-4946 ebenfalls Code im Kontext des aktiven Nutzers ausgeführt werden, Schuld ist ein Out-of-Bounds-Schreibvorgang. Diese Lücke wird als 'kritischÄ eingestuft und ist in den Versionen 19.1.4 und 18.1.4 - jeweils für Windows und MacOS - behoben worden.

Adobe bedankt sich bei zahlreichen Hinweisegebern von Cisco, Eset, Kaspersky Lab, Palo Alto Networks und Trend Micros Zero Day Initiative.



Anzeige
Spiele-Angebote
  1. (-76%) 11,99€
  2. 4,99€
  3. (-68%) 12,99€

FreiGeistler 17. Mai 2018

Ach ja, das. Hab ich vergessen. Evince und ettliche andere können die Signatur schlicht...


Folgen Sie uns
       


Dark Rock Pro TR4 - Test

Der Dark Rock Pro TR4 von Be quiet ist einer der wenigen Luftkühler für AMDs Threadripper-Prozessoren. Im Test schneidet er sehr gut ab, da die Leistung hoch und die Lautheit niedrig ausfällt. Bei der Montage und der RAM-Kompatibilität gibt es leichte Abzüge, dafür ist der schwarze Look einzigartig.

Dark Rock Pro TR4 - Test Video aufrufen
Aufbruch zum Mond: Die schönste Fake-Mondlandung aller Zeiten
Aufbruch zum Mond
Die schönste Fake-Mondlandung aller Zeiten

Hollywood-Romantiker Damien Chazelle (La La Land) möchte sich mit Aufbruch zum Mond der Person Neil Armstrong annähern, fördert dabei aber kaum Spannendes zutage. Atemberaubend sind wie im wahren Leben dagegen Armstrongs erste Schritte auf dem Mond, für die alleine sich ein Kinobesuch sehr lohnt - der Film startet am Donnerstag.
Eine Rezension von Daniel Pook

  1. Solo - A Star Wars Story Gar nicht so solo, dieser Han
  2. The Cleaners Wie soziale Netzwerke ihre Verantwortung outsourcen
  3. Filmkritik Ready Player One Der Videospielfilm mit Nostalgiemacke

Wet Dreams Don't Dry im Test: Leisure Suit Larry im Land der Hipster
Wet Dreams Don't Dry im Test
Leisure Suit Larry im Land der Hipster

Der Möchtegernfrauenheld Larry Laffer kommt zurück aus der Gruft: In einem neuen Adventure namens Wet Dreams Don't Dry reist er direkt aus den 80ern ins Jahr 2018 - und landet in der Welt von Smartphone und Tinder.
Ein Test von Peter Steinlechner

  1. Life is Strange 2 im Test Interaktiver Road-Movie-Mystery-Thriller
  2. Adventure Leisure Suit Larry landet im 21. Jahrhundert

E-Mail-Verschlüsselung: 90 Prozent des Enigmail-Codes sind von mir
E-Mail-Verschlüsselung
"90 Prozent des Enigmail-Codes sind von mir"

Der Entwickler des beliebten OpenPGP-Addons für Thunderbird, Patrick Brunschwig, hätte nichts gegen Unterstützung durch bezahlte Vollzeitentwickler. So könnte Enigmail vielleicht endlich fester Bestandteil von Thunderbird werden.
Ein Interview von Jan Weisensee

  1. SigSpoof Signaturen fälschen mit GnuPG
  2. Librem 5 Purism-Smartphone bekommt Smartcard für Verschlüsselung

    •  /