Liebe Kolleginnen und Kollegen,
bitte beachten Sie die folgende Sicherheitsmeldung.
Betroffene Software:
Adobe Flash Player <= 28.0.0.137 Adobe Flash Player <= 28.0.0.137 for Google Chrome Adobe Flash Player <= 28.0.0.137 for Microsoft Edge and Internet Explorer 11 Betroffene Plattformen: Apple macOS GNU/Linux Chrome OS Microsoft Windows Ein entfernter, nicht authentisierter Angreifer kann eine Schwachstelle in Adobe Flash Player ausnutzen, um beliebigen Programmcode zur Ausführung zu bringen und dadurch unter Umständen betroffene Systeme zu übernehmen. Adobe bestätigt die Schwachstelle in Adobe Flash Player für alle Editionen in allen Versionen bis inklusive Version 28.0.0.137 und kündigt ein Sicherheitsupdate für den 05. Februar an. Die Schwachstelle wird auf Windows-Systemen aktiv über Office-Dokumente mit eingebetteten Flash-Inhalten ausgenutzt, die bspw. über Email verteilt werden. Workaround: Nutzen Sie den Adobe Flash-Player nicht oder deinstallieren Sie die Software, bis Sicherheitsupdates zur Verfügung stehen. Falls das nicht möglich ist, deaktivieren Sie das automatische Abspielen von Flash-Inhalten über die Konfiguration von Adobe Flash. Diese Möglichkeit wurde mit Version 27 eingeführt und erfordert die Bearbeitung der Datei 'mms.cfg'. Adobe gibt dazu Hinweise im Flash Player Administration Guide, Absätze 4.1 und 4.3. Darüber hinaus kann auf Windows-Systemen der 'Protected View for Office' aktiviert werden. Dadurch werden möglicherweise schädliche Dokumente schreibgeschützt geöffnet. CVE-2018-4878: Schwachstelle in Adobe Flash Player ermöglicht komplette Systemübernahme In Adobe Flash Player 28.0.0.137 und früher (plattformunabhängig) existiert eine kritische Schwachstelle, die zum Zugriff auf bereits freigegebene Speicherbereiche ausgenutzt werden kann (Use-after-Free). Referenzen: Dieses Advisory finden Sie auch im DFN-CERT Portal unter: https://portal.cert.dfn.de/adv/DFN-CERT-2018-0228/
Adobe Flash Player Administration Guide (PDF):
https://www.adobe.com/content/dam/acom/en/devnet/flashplayer/articles/flash_player_admin_guide/pdf/flash_player_27_0_admin_guide.pdf
Adobe Sicherheitshinweis APSA18-01:
http://helpx.adobe.com/security/products/flash-player/apsa18-01.html
CERT.at: “Zero-Day” Sicherheitslücke in Adobe Flash Player – aktiv ausgenützt
– Patches noch nicht verfügbar:
https://www.cert.at/warnings/all/20180201.html
Microsoft: Hinweise zu Protected View for Office:
https://support.office.com/en-us/article/what-is-protected-view-d6f09ac7-e6b9-4495-8e43-2bbcdbcb6653#bm5
Schwachstelle CVE-2018-4878 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2018-4878
(c) DFN-CERT Services GmbH, all rights reserved!
Die Weiterverbreitung ist mit Hinweis auf den Copyrightinhaber innerhalb der
eigenen Einrichtung erlaubt. Eine darüber hinausgehende Verbreitung bedarf
des schriftlichen Einverständnisses des Rechteinhabers.