Liebe Kolleginnen und Kollegen,
bitte beachten Sie die folgende Sicherheitsmeldung.
Historie:
Version 2 (06.02.2015):
Red Hat stellt für RHEL Desktop Supplementary (v. 5 client), RHEL
Supplementary (v. 5 server), Red Hat Enterprise Linux Desktop
Supplementary (v. 6), Server Supplementary (v. 6), Server Supplementary
EUS (v. 6.6.z) und Workstation Supplementary (v. 6) aktualisierte Pakete
von Adobe Flash Player for Linux 11.2.202.442 zur Verfügung. Apple teilt
mit, dass für Mac OS X alle Versionen des Adobe Flash Player Plug-Ins vor
Adobe Flash Player 16.0.0.305 und Adobe Flash Player Extended Support
Release 13.0.0.269 geblockt wurden.
Version 1 (06.02.2015):
Neues Advisory
Betroffene Software:
Adobe Flash Player < 13.0.0.269 Adobe Flash Player < 16.0.0.305 Adobe Flash Player for Linux < 11.2.202.442 Microsoft Internet Explorer 10 Microsoft Internet Explorer 11 Betroffene Plattformen: Apple Mac OS X GNU/Linux Microsoft Windows Microsoft Windows 8 X64 Microsoft Windows 8 X86 Microsoft Windows 8.1 X64 Microsoft Windows 8.1 X86 Microsoft Windows RT Microsoft Windows RT 8.1 Microsoft Windows Server 2012 Microsoft Windows Server 2012 R2 Red Hat Enterprise Linux Desktop Supplementary 5 Client Red Hat Enterprise Linux Desktop Supplementary 6 Red hat Enterprise Linux Server Supplementary 5 Red hat Enterprise Linux Server Supplementary 6 Red hat Enterprise Linux Server Supplementary 6.6.z EUS Red Hat Enterprise Linux Workstation Supplementary 6 Mehrere Schwachstellen in Adobe Flash Player ermöglichen einem entfernten, nicht authentifizierten Angreifer beliebigen Programmcode auszuführen, Denial-of-Service-Angriffe durchzuführen und eventuell die vollständige Übernahme des Systems. Adobe behebt diese Schwachstellen durch Sicherheitsupdates auf Adobe Flash Player 16.0.0.305, Adobe Flash Player Extended Support Release 13.0.0.269 und Adobe Flash Player for Linux 11.2.202.442. Für verschiedene Versionen von Microsoft Windows steht ein Sicherheitsupdate für den Adobe Flash Player in Internet Explorer 10, 11 auf Version 16.0.0.305 zur Verfügung (siehe Update des Microsoft Security Advisory 2755801). Die in Google Chrome installierte Version wird automatisch auf die Version 16.0.0.305 aktualisiert. Laut Herstellerangaben wird die Schwachstelle CVE-2015-0313 aktiv ausgenutzt. Patch: Microsoft-Sicherheitsempfehlung 2755801 https://technet.microsoft.com/de-de/library/security/2755801.aspx
Patch:
Apple Security Advisory HT202681 (Flash Player / Englisch)
http://support.apple.com/en-us/HT202681
Patch:
Adobe Security Bulletin APSB15-04
https://helpx.adobe.com/security/products/flash-player/apsb15-04.html
Patch:
Red Hat Security Advisory RHSA-2015:0140
http://rhn.redhat.com/errata/RHSA-2015-0140.html
CVE-2015-0325 CVE-2015-0326 CVE-2015-0328: Mehrere
Null-Pointer-Schwachstellen ermöglichen Denial-of-Service-Angriffe
Mehrere nicht näher beschriebe Schwachstellen in Adobe Flash Player können
zu einer Null-Pointer-Zuweisung führen. Ein entfernter, nicht
authentifizierter Angreifer kann durch Ausnutzen der Schwachstellen, über
nicht näher beschriebene Aktionen, Denial-of-Service-Angriffe durchführen
oder möglicherweise andere nicht näher spezifizierte Aktionen ausführen.
CVE-2015-0324: Buffer-Overflow-Schwachstelle in Adobe Flash Player
ermöglicht Ausführen beliebigen Programmcodes
Eine nicht näher beschriebene Schwachstelle in Adobe Flash Player kann zu
einem Pufferspeicherüberlauf führen. Ein entfernter, nicht authentifizierter
Angreifer kann diese Schwachstelle ausnutzen, durch nicht näher
spezifizierte Aktionen, um beliebigen Programmcode auszuführen.
CVE-2015-0323 CVE-2015-0327: Mehrere Heap-Buffer-Overflow-Schwachstellen in
Adobe Flash Player ermöglichen Ausführen beliebigen Programmcodes
Mehrere nicht näher beschriebene Schwachstellen in Adobe Flash Player können
zu einem Heap-Pufferspeicherüberlauf führen. Ein entfernter, nicht
authentifizierter Angreifer kann diese Schwachstellen ausnutzen, durch nicht
näher spezifizierte Aktionen, um beliebigen Programmcode auszuführen.
CVE-2015-0317 CVE-2015-0319: Mehrere Typ-Konfusion-Schwachstellen in Adobe
Flash Player ermöglichen Ausführen beliebigen Programmcodes
Mehrere nicht näher beschriebene Schwachstellen in Adobe Flash Player führen
bei der Auflösung von Typen zu Verwechslungen. Ein entfernter, nicht
authentifizierter Angreifer kann diese Schwachstellen ausnutzen, um
beliebigen Programmcode auszuführen.
CVE-2015-0314 CVE-2015-0316 CVE-2015-0318 CVE-2015-0321 CVE-2015-0329
CVE-2015-0330: Mehrere Speicherfehler-Schwachstellen in Adobe Flash Player
ermöglichen Ausführen beliebigen Programmcodes
Mehrere nicht näher beschriebene Schwachstellen in Adobe Flash Player können
zu einer Speicherkorruption (“memory corruption”) führen. Ein entfernter,
nicht authentifizierter Angreifer kann diese Schwachstellen ausnutzen, durch
nicht näher beschriebene Aktionen, um einen Denial-of-Service-Angriff durch-
oder beliebigen Programmcode auszuführen.
CVE-2015-0313 CVE-2015-0315 CVE-2015-0320 CVE-2015-0322: Mehrere
Use-after-free-Schwachstellen in Adobe Flash Player ermöglichen Ausführen
beliebigen Programmcodes
Mehrere Use-after-free-Schwachstellen führen dazu, dass Speicherbereiche
nach deren Freigabe weiter benutzt werden können. Ein entfernter, nicht
authentifizierter Angreifer kann diese Schwachstellen ausnutzen, durch nicht
näher spezifizierte Aktionen, um beliebigen Programmcode auszuführen.
Referenzen:
Dieses Advisory finden Sie auch im DFN-CERT Portal unter:
https://portal.cert.dfn.de/adv/DFN-CERT-2015-0153/
Microsoft-Sicherheitsempfehlung 2755801:
https://technet.microsoft.com/de-de/library/security/2755801.aspx
Apple Security Advisory HT202681 (Flash Player / Englisch):
http://support.apple.com/en-us/HT202681
Schwachstelle CVE-2015-0313 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2015-0313
Adobe Security Bulletin APSB15-04:
https://helpx.adobe.com/security/products/flash-player/apsb15-04.html
Red Hat Security Advisory RHSA-2015:0140:
http://rhn.redhat.com/errata/RHSA-2015-0140.html
Schwachstelle CVE-2015-0314 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2015-0314
Schwachstelle CVE-2015-0315 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2015-0315
Schwachstelle CVE-2015-0316 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2015-0316
Schwachstelle CVE-2015-0317 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2015-0317
Schwachstelle CVE-2015-0318 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2015-0318
Schwachstelle CVE-2015-0319 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2015-0319
Schwachstelle CVE-2015-0320 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2015-0320
Schwachstelle CVE-2015-0321 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2015-0321
Schwachstelle CVE-2015-0322 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2015-0322
Schwachstelle CVE-2015-0323 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2015-0323
Schwachstelle CVE-2015-0324 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2015-0324
Schwachstelle CVE-2015-0325 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2015-0325
Schwachstelle CVE-2015-0326 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2015-0326
Schwachstelle CVE-2015-0327 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2015-0327
Schwachstelle CVE-2015-0328 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2015-0328
Schwachstelle CVE-2015-0329 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2015-0329
Schwachstelle CVE-2015-0330 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2015-0330
(c) DFN-CERT Services GmbH, all rights reserved!
Die Weiterverbreitung ist mit Hinweis auf den Copyrightinhaber innerhalb der
eigenen Einrichtung erlaubt. Eine darüber hinausgehende Verbreitung bedarf
des schriftlichen Einverständnisses des Rechteinhabers.
