Liebe Kolleginnen und Kollegen,
bitte beachten Sie die folgende Sicherheitsmeldung.
Historie:
Version 3 (11.05.2017):
Für die SUSE Linux Enterprise Produkte Workstation Extension und Desktop
in der Version 12 SP1 stehen Sicherheitsupdates auf die Flash Player
Version 25.0.0.171 bereit.
Version 2 (10.05.2017):
Microsoft informiert in seinem Sicherheitshinweis ADV170006 darüber, dass
die Betriebssystem-Versionen Windows 8.1, Windows RT 8.1, Windows Server
2012, Windows Server 2012 R2, Windows Server 2016 und Windows 10 durch die
Schwachstellen im Adobe Flash Player verwundbar sind. Sicherheitsupdates,
welche die in den Browsern Microsoft Internet Explorer 10 und 11 sowie
Microsoft Edge verwendeten Adobe Flash-Bibliotheken aktualisieren, sind
verfügbar. Außerdem stellt Microsoft detaillierte Informationen zur
Verfügung, die beschreiben, wie ein Angreifer Sicherheitsanfäligkeiten des
Flash Players ausnutzen kann und wie Anwender sich dagegen schützen
können. Für Red Hat Enterprise Linux 6 Supplementary in den Ausprägungen
Desktop, Server und Workstation stehen ebenfalls Sicherheitsupdates für
den Adobe Flash Player auf Version 25.0.0.171 bereit.
Version 1 (09.05.2017):
Neues Advisory
Betroffene Software:
Adobe Flash Player < 25.0.0.171 Adobe Flash Player < 25.0.0.171 for Google Chrome Adobe Flash Player < 25.0.0.171 for Microsoft Edge and Internet Explorer 11 Adobe Flash Player for Linux < 25.0.0.171 Betroffene Plattformen: SUSE Linux Enterprise Workstation Extension 12 SP1 Apple Mac OS X macOS Sierra GNU/Linux Chrome OS Microsoft Windows SUSE Linux Enterprise Desktop 12 SP1 Red Hat Enterprise Linux Desktop Supplementary 6 Red Hat Enterprise Linux Server Supplementary 6 Red Hat Enterprise Linux Workstation Supplementary 6 Ein entfernter, nicht authentifizierter Angreifer kann mehrere Schwachstellen im Adobe Flash Player bis inklusive Version 25.0.0.148 für Windows, Chrome OS und Linux beziehungsweise bis inklusive Version 25.0.0.163 für Macintosh-Systeme ausnutzen, um beliebigen Programmcode auszuführen und in der Folge möglicherweise sogar die Kontrolle über das betroffene System zu erlangen. Adobe informiert über die Schwachstellen und stellt aktualisierte Programmversionen des Flash Players zur Verfügung, um diese zu beheben. Benutzer von Adobe Flash Player Desktop für Windows, Macintosh und Linux werden gebeten, den Flash Player über den Update-Mechanismus innerhalb des Produktes auf Version 25.0.0.171 zu aktualisieren oder die aktualisierte Version aus dem Adobe Flash Player Download Center zu beziehen. Benutzern von Google Chrome sowie Microsoft Internet Explorer 11 und Edge werden die Sicherheitsupdates auf Version 25.0.0.171 automatisch zur Verfügung gestellt. Patch: Adobe Flash Player Download Center https://get.adobe.com/flashplayer/
Patch:
Adobe Security Bulletin APSB17-15
https://helpx.adobe.com/security/products/flash-player/apsb17-15.html
Patch:
Microsoft Sicherheitsupdates für Adobe Flash Player vom Mai 2017
https://portal.msrc.microsoft.com/de-de/security-guidance/advisory/ADV170006
Patch:
Red Hat Security Advisory RHSA-2017:1219
http://rhn.redhat.com/errata/RHSA-2017-1219.html
Patch:
SUSE Security Update SUSE-SU-2017:1238-1
http://lists.suse.com/pipermail/sle-security-updates/2017-May/002855.html
CVE-2017-3071: Schwachstelle in Adobe Flash Player ermöglicht Ausführung
beliebigen Programmcodes
Eine Schwachstelle im Adobe Flash Player führt dazu, dass Speicherbereiche
nach deren Freigabe weiter benutzt werden können (Use-after-free). Ein
entfernter, nicht authentifizierter Angreifer kann diese Schwachstelle
ausnutzen, um beliebigen Programmcode auszuführen. Die Schwachstelle wird
als kritisch angesehen, da der Angreifer durch Ausnutzung der Schwachstelle
möglicherweise die Kontrolle über das betroffene System erlangen kann.
CVE-2017-3068 CVE-2017-3069 CVE-2017-3070 CVE-2017-3072 CVE-2017-3073
CVE-2017-3074: Schwachstellen in Adobe Flash Player ermöglichen Ausführung
beliebigen Programmcodes
Es existieren mehrere Schwachstellen im Adobe Flash Player, durch die es zu
einer Speicherkorruption (Memory Corruption) kommen kann. Ein entfernter,
nicht authentifizierter Angreifer kann diese Schwachstellen ausnutzen, um
beliebigen Programmcode auszuführen. Die Schwachstellen werden als kritisch
angesehen, da der Angreifer durch Ausnutzung der Schwachstellen
möglicherweise die Kontrolle über das betroffene System erlangen kann.
Referenzen:
Dieses Advisory finden Sie auch im DFN-CERT Portal unter:
https://portal.cert.dfn.de/adv/DFN-CERT-2017-0805/
Adobe Flash Player Download Center:
https://get.adobe.com/flashplayer/
Adobe Security Bulletin APSB17-15:
https://helpx.adobe.com/security/products/flash-player/apsb17-15.html
Schwachstelle CVE-2017-3068 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2017-3068
Schwachstelle CVE-2017-3069 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2017-3069
Schwachstelle CVE-2017-3070 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2017-3070
Schwachstelle CVE-2017-3071 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2017-3071
Schwachstelle CVE-2017-3072 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2017-3072
Schwachstelle CVE-2017-3073 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2017-3073
Schwachstelle CVE-2017-3074 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2017-3074
Microsoft Sicherheitsupdates für Adobe Flash Player vom Mai 2017:
https://portal.msrc.microsoft.com/de-de/security-guidance/advisory/ADV170006
Red Hat Security Advisory RHSA-2017:1219:
http://rhn.redhat.com/errata/RHSA-2017-1219.html
Microsoft Knowledge Base Artikel 4020821:
https://support.microsoft.com/de-de/help/4020821
SUSE Security Update SUSE-SU-2017:1238-1:
http://lists.suse.com/pipermail/sle-security-updates/2017-May/002855.html
(c) DFN-CERT Services GmbH, all rights reserved!
Die Weiterverbreitung ist mit Hinweis auf den Copyrightinhaber innerhalb der
eigenen Einrichtung erlaubt. Eine darüber hinausgehende Verbreitung bedarf
des schriftlichen Einverständnisses des Rechteinhabers.
