Am gestrigen Patchday hat Adobe Sicherheitsupdates veröffentlicht. Damit werden Lücken in der App-Entwicklungsplattform AIR und im Flash Player gestopft. Außerdem werden Lücken im Webapp-Server ColdFusion geschlossen. Dabei werden diese mit der Priorität 2, die Flash-Updates hingegen mit Priorität 1 als gefährlicher eingestuft.

Angreifer können die Flash-Lücken, die sich in den Speicherverwaltungsfunktionen der Runtime befinden, missbrauchen, um Schadcode aus dem Netz auszuführen. Diese werden allerdings laut Adobe zurzeit nicht aktiv ausgenutzt. Das Plug-in für den Internet Explorer 10 und 11, das Chrome-Plug-in bis einschließlich Version 15.0.0.152 sowie alle Versionen der Desktop-Runtime für Mac und Windows bis einschließlich Version 15.0.0.167 sind betroffen. Verwundbar sind außerdem noch die Extended-Support-Ausgabe von Flash bis einschließlich Version 13.0.0.244 und die Linux-Variante bis einschließlich Version 11.2.202.406.

Auf Mac- und Windows-Systemen sollte Flash auf 15.0.0.189 aktualisiert werden. Ansonsten kann alternativ die Extended-Support-Version 13.0.0.250 verwendet werden. Für Linux sollte die Flash-Version auf 11.2.202.411 geupdatet werden. Für Google Chrome wird Flash automatisch aktualisiert. Internet Explorer 11 für Windows 8.1 und Internet Explorer 10 für Windows 8 werden vollautomatisch mit Updates versorgt. Zu den Patches für die entsprechenden AIR-Versionen und für Flash hat Adobe auf einer Seite Informationen zusammengestellt.

Für den Application-Server ColdFusion sollten ebenfalls Updates eingespielt werden. Betroffen sind die Versionen 9.0, 9.0.1, 9.0.2, 10 und 11. Diese enthalten nämlich ein Problem bei der Einschränkung von IP-Adressen, die auf eine bestimmte Seite zugreifen können, Cross-Site Request Forgery (CSRF) und Cross-Site Scripting (XSS) Lücken. Alle Betriebssysteme, für die ColdFusion verfügbar ist, sind von den Sicherheitslücken betroffen.

(nd, hannover)

(siehe auch heise-News-Ticker:)

Hannover · EDV-Beratung · Linux · Novell · Microsoft · Seminar · IT-Consult · Netzwerk · LPIC · CLE