Liebe Kolleginnen und Kollegen,
bitte beachten Sie die folgende Sicherheitsmeldung.
Historie:
Version 2 (11.01.2018):
Red Hat stellt Sicherheitsupdates für das ‘flash-plugin’ für Red Hat
Enterprise Linux 6 Supplementary in den Varianten Desktop, Server und
Workstation auf die Flash Player Version 28.0.0.137 bereit und behebt
damit auch die bereits mit der Flash Player Version 28.0.0.126 adressierte
Schwachstelle CVE-2017-11305, die einem Angreifer das Zurücksetzen der
globalen Einstellungen (Manipulation von Daten) und in der Folge weitere
Angriffe ermöglicht.
Version 1 (10.01.2018):
Neues Advisory
Betroffene Software:
Adobe Flash Player < 28.0.0.137 Adobe Flash Player < 28.0.0.137 for Google Chrome Adobe Flash Player < 28.0.0.137 for Microsoft Edge and Internet Explorer 11 Betroffene Plattformen: Apple macOS GNU/Linux Chrome OS Microsoft Windows 8.1 Microsoft Windows 10 Microsoft Windows 10 1511 Microsoft Windows 10 1607 Microsoft Windows 10 1703 Microsoft Windows 10 1709 Microsoft Windows RT 8.1 Microsoft Windows Server 2012 Microsoft Windows Server 2012 R2 Microsoft Windows Server 2016 Red Hat Enterprise Linux Desktop Supplementary 6 Red Hat Enterprise Linux Server Supplementary 6 Red Hat Enterprise Linux Workstation Supplementary 6 Ein entfernter, nicht authentisierter Angreifer kann eine Schwachstelle im Adobe Flash Player ausnutzen, um Informationen auszuspähen. Adobe stellt die Flash Player Version 28.0.0.137 als Sicherheitsupdate für Windows, macOS, Chrome OS und Linux bereit. Das Sicherheitsupdate hat nach Herstellerinformation für die Plattformen Windows, macOS und Chrome OS eine Priorität von 2, dem Hersteller ist eine aktive Ausnutzung der Schwachstelle also nicht bekannt. Aufgrund des geringen Verbreitungsgrades hat das Update für Linux die niedrigere Priorität 3. (Für Details bezüglich der Einstufung siehe 'priority ratings' im Adobe Security Bulletin APSB18-01.) Microsoft veröffentlicht im Zuge des Januar Patchtages den Sicherheitshinweis ADV180001, um über das Flash Player Update zu informieren. In Abweichung zu Adobe stuft Microsoft das Update als 'kritisch' ein und kategorisiert die Auswirkung als 'Remote Code Execution'. Nähere Informationen bezüglich der Gründe für diese Einstufung werden nicht bereitgestellt. Aufgrund der unterschiedlichen Bewertung von Adobe und Microsoft wird diese Schwachstellenmeldung mit einer Kritikalität von 'hoch' versendet, welche sich derzeit allerdings nur auf Windows-Systeme und dort nur auf die Einstufung von Microsoft bezieht. Patch: Adobe Security Bulletin APSB18-01 http://helpx.adobe.com/security/products/flash-player/apsb18-01.html
Patch:
Microsoft Sicherheitshinweis ADV180001, Sicherheitsupdates für Flash vom
Januar 2018
https://portal.msrc.microsoft.com/en-us/security-guidance/advisory/ADV180001
Patch:
Red Hat Security Advisory RHSA-2018:0081
https://access.redhat.com/errata/RHSA-2018:0081
CVE-2018-4871: Schwachstelle in Adobe Flash Player ermöglicht Ausspähen von
Informationen
Im Adobe Flash Player 28.0.0.126 und früheren Versionen existiert eine
Schwachstelle aufgrund der Möglichkeit über zugewiesene Speichergrenzen
hinaus zu lesen (Out-of-bounds Read), wodurch Informationen offengelegt
werden können.
Referenzen:
Dieses Advisory finden Sie auch im DFN-CERT Portal unter:
https://portal.cert.dfn.de/adv/DFN-CERT-2018-0057/
Adobe Security Bulletin APSB18-01:
http://helpx.adobe.com/security/products/flash-player/apsb18-01.html
Schwachstelle CVE-2018-4871 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2018-4871
Microsoft Sicherheitshinweis ADV180001, Sicherheitsupdates für Flash vom
Januar 2018:
https://portal.msrc.microsoft.com/en-us/security-guidance/advisory/ADV180001
Red Hat Security Advisory RHSA-2018:0081:
https://access.redhat.com/errata/RHSA-2018:0081
(c) DFN-CERT Services GmbH, all rights reserved!
Die Weiterverbreitung ist mit Hinweis auf den Copyrightinhaber innerhalb der
eigenen Einrichtung erlaubt. Eine darüber hinausgehende Verbreitung bedarf
des schriftlichen Einverständnisses des Rechteinhabers.