Kritische Schwachstelle im Adobe Flash Player

Gefahr durch präparierte Webseiten und manipulierte PDF-Dateien

(17.09.10) - Das Bundesamt für Sicherheit in der Informationstechnik (BSI) informiert über eine kritische Schwachstelle im Adobe Flash Player. Betroffen sind sowohl die Flash Player für Windows, Mac OS X, Linux und Solaris als auch für das mobile Betriebssystem Android. Da auch die PDF-Software Adobe Reader und Acrobat eine eigene, ebenfalls verwundbare Version des Flash Players beinhalten, sind auch diese auf den Betriebssystemen Windows, Mac OS X und Unix betroffen.

Durch Ausnutzung der aktuellen Lücke kann ein Angreifer mit Hilfe von speziell manipulierten Flash-Inhalten auf einer Webseite die Kontrolle über einen PC übernehmen, wenn der Nutzer zum Beispiel eine präparierte Webseite mit dem Browser aufruft. Zudem können Computer auch durch das Öffnen von PDF-Dokumenten mit dem Adobe Reader erfolgreich kompromittiert werden, wenn ein Angreifer Schadcode in diesen Dokumenten platziert und den Nutzer zum Öffnen eines solchen Dokuments verleiten kann.

Flash Player Lücke wird bereits ausgenutzt

Die kritische Sicherheitslücke besteht in der aktuellen Version 10.1.82.76 des Adobe Flash Players und in älteren Versionen auf allen unterstützten Plattformen. Außerdem betroffen sind die aktuelle Version 9.3.4 des Adobe Reader und des Adobe Acrobat sowie ältere Versionen. Die Schwach-stelle im Adobe Flash Player wird bereits aktiv im Internet ausgenutzt; das BSI rechnet kurzfristig auch mit Angriffen gegen den Adobe Reader. Generell ist aufgrund der hohen Verbreitung der betroffenen Produkte mit einer Zunahme von Angriffsversuchen zu rechnen.

Sicherheitsupdates für Ende September geplant

Der Hersteller Adobe arbeitet bereits an der Behebung des Fehlers und wird voraussichtlich in der Woche vom 27. September 2010 ein Update für den Adobe Flash Player, und in der Woche vom 4. Oktober 2010 ein Update für Adobe Reader und Acrobat zur Verfügung stellen können.

BSI-Empfehlungen zum Schutz des PCs

Bis zur Veröffentlichung der Updates sollten Anwender versuchen, möglichst nur PDF-Dokumente aus vertrauenswürdigen Quellen zu öffnen. Der Browser und die auf dem PC installierte PDF-Software wie der Adobe Reader sollten zudem nicht mit Administratorrechten ausgeführt werden. Das Betrachten von Flash-Inhalten sollte nach Möglichkeit auf wenige vertrauenswürdige Anbieter beschränkt werden. Um dies umzusetzen, können Erweiterungen wie beispielsweise das Add-On "NoScript" für den Browser Firefox verwendet werden. Wenn eine solche Einschränkung nicht umgesetzt werden kann, sollte bis zur Veröffentlichung der Sicherheitsupdates auf Flash-Inhalte völlig verzichtet werden. Dazu kann der Adobe Flash Player entweder im Browser deaktiviert oder auf dem Betriebssystem deinstalliert werden. (BSI: ma)