Liebe Kolleginnen und Kollegen,

bitte beachten Sie die folgende Sicherheitsmeldung.

Betroffene Software:

Adobe Flash Player < 28.0.0.126 Adobe Flash Player < 28.0.0.126 for Google Chrome Adobe Flash Player < 28.0.0.126 for Microsoft Edge and Internet Explorer 11 Betroffene Plattformen: Apple macOS GNU/Linux Chrome OS Microsoft Windows 8.1 Microsoft Windows 10 Microsoft Windows 10 1511 Microsoft Windows 10 1607 Microsoft Windows 10 1703 Microsoft Windows 10 1709 Microsoft Windows RT 8.1 Microsoft Windows Server v1709 (Server Core Installation) Microsoft Windows Server 2012 Microsoft Windows Server 2012 R2 Microsoft Windows Server 2016 Ein entfernter, nicht authentisierter Angreifer kann die Schwachstelle im Adobe Flash Player vermutlich mittels einer manipulierten Datei ausnutzen, zu deren Öffnen er einen Benutzer verleitet, um ein Zurücksetzen der globalen Einstellungen zu verursachen. Das Zurücksetzen der Einstellungen kann als Ausgangspunkt für weitere Angriffe dienen. Adobe stellt die Flash Player Version 28.0.0.126 als Sicherheitsupdate für Windows, macOS, Chrome OS und Linux bereit. Das Sicherheitsupdate hat nach Herstellerinformation für die Plattformen Windows, macOS und Chrome OS eine Priorität von 2, dem Hersteller ist eine aktive Ausnutzung der Schwachstelle also nicht bekannt. Aufgrund des geringen Verbreitungsgrades hat das Update für Linux die niedrigere Priorität 3. (Für Details bezüglich der Einstufung siehe 'priority ratings' im Adobe Security Bulletin APSB17-42.) Microsoft veröffentlicht im Zuge des Dezember Patchtages den Sicherheitshinweis ADV170022, um über das Flash Player Update zu informieren. In Abweichung zu Adobe stuft Microsoft das Update als 'kritisch' ein und kategorisiert die Auswirkung als 'Remote Code Execution'. Nähere Informationen bezüglich der Gründe für diese Einstufung werden nicht bereitgestellt. Aufgrund der unterschiedlichen Bewertung von Adobe und Microsoft wird diese Schwachstellenmeldung mit einer Kritikalität von 'hoch' versendet, welche sich derzeit allerdings nur auf Windows-Systeme und dort nur auf die Einstufung von Microsoft bezieht. Patch: Adobe Security Bulletin APSB17-42 http://helpx.adobe.com/security/products/flash-player/apsb17-42.html

Patch:

Microsoft Sicherheitshinweis ADV170022, Sicherheitsupdates für Flash vom
Dezember 2017

https://portal.msrc.microsoft.com/en-us/security-guidance/advisory/ADV170022

CVE-2017-11305: Schwachstelle in Adobe Flash Player ermöglicht Manipulation
von Daten

Im Adobe Flash Player existiert eine Schwachstelle in der Business Logik,
die durch eine Regression eingeführt wurde.

Referenzen:

Dieses Advisory finden Sie auch im DFN-CERT Portal unter:
https://portal.cert.dfn.de/adv/DFN-CERT-2017-2251/

Adobe Security Bulletin APSB17-42:
http://helpx.adobe.com/security/products/flash-player/apsb17-42.html

Microsoft Sicherheitshinweis ADV170022, Sicherheitsupdates für Flash vom
Dezember 2017:
https://portal.msrc.microsoft.com/en-us/security-guidance/advisory/ADV170022

Schwachstelle CVE-2017-11305 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2017-11305

(c) DFN-CERT Services GmbH, all rights reserved!
Die Weiterverbreitung ist mit Hinweis auf den Copyrightinhaber innerhalb der
eigenen Einrichtung erlaubt. Eine darüber hinausgehende Verbreitung bedarf
des schriftlichen Einverständnisses des Rechteinhabers.