Adobe-Sicherheitsbulletin

Veröffentlichungsdatum:11. August 2015

Letzte Aktualisierung: 2. September 2015

Kennung der Sicherheitslücke: APSB15-19

Priorität: Siehe Tabelle unten

CVE-Nummern: CVE-2015-5125, CVE-2015-5127, CVE-2015-5129, CVE-2015-5130, CVE-2015-5131, CVE-2015-5132, CVE-2015-5133, CVE-2015-5134, CVE-2015-5539, CVE-2015-5540, CVE-2015-5541, CVE-2015-5544, CVE-2015-5545, CVE-2015-5546, CVE-2015-5547, CVE-2015-5548, CVE-2015-5549, CVE-2015-5550, CVE-2015-5551, CVE-2015-5552, CVE-2015-5553, CVE-2015-5554, CVE-2015-5555, CVE-2015-5556, CVE-2015-5557, CVE-2015-5558, CVE-2015-5559, CVE-2015-5560, CVE-2015-5561, CVE-2015-5562, CVE-2015-5563, CVE-2015-5564, CVE-2015-5565, CVE-2015-5566, CVE-2015-6682

Plattform: Alle Plattformen

Adobe hat Sicherheits-Updates für Adobe Flash Player veröffentlicht.  Diese Updates beheben kritische Sicherheitslücken, die einem Angreifer die Übernahme des betroffenen Systems ermöglichen.

• Um die Versionsnummer Ihrer Adobe Flash Player-Installation herauszufinden, öffnen Sie entweder die Info-Seite zu Flash Player oder klicken mit der rechten Maustaste auf einen beliebigen Inhalt im Flash Player und wählen im Kontextmenü den Befehl „Über Adobe (bzw. Macromedia) Flash Player“. Wenn Sie mit mehreren Browsern arbeiten, führen Sie die Prüfung für jeden Browser aus.  

• Um die Versionsnummer Ihrer Adobe AIR-Installation herauszufinden, befolgen Sie die Anweisungen in der TechNote zu Adobe AIR. 

Adobe empfiehlt allen Anwendern die Installation der neuesten Version und stuft die Priorität dieser Updates wie folgt ein:

• Adobe empfiehlt Anwendern von Adobe Flash Player Desktop Runtime für Windows und Macintosh, das Update auf Adobe Flash Player 18.0.0.232 aus dem _deDownload Center für Adobe Flash Player zu installieren oder die automatische Aktualisierungsfunktion zu nutzen, wenn sie bei der Verwendung des Produkts dazu aufgefordert werden [1].
• Adobe empfiehlt Anwendern des Adobe Flash Player Extended Support Release [2] das Update auf Version 18.0.0.232 über http://helpx.adobe.com/de/flash-player/kb/archived-flash-player-versions.html.
• Anwendern von Flash Player für Linux wird das Update auf Version 11.2.202.508 empfohlen, die sie vom _deDownload Center für Adobe Flash Player herunterladen können. 
• Die Version von Adobe Flash Player in Google Chrome wird automatisch auf die neueste Google Chrome-Version aktualisiert, die Adobe Flash Player 18.0.0.232 für Windows und Macintosh und Version 18.0.0.233 für Linux und Chrome OS beinhaltet.
• Die Version von Adobe Flash Player in Microsoft Edge für Windows 10 wird automatisch auf Adobe Flash Player 18.0.0.232 aktualisiert.
• Die Version von Adobe Flash Player in Internet Explorer 10 und 11 für Windows 8.0 und 8.1. wird automatisch auf Adobe Flash Player 18.0.0.232 aktualisiert.
  
• Adobe empfiehlt Anwendern von AIR-Desktop-Runtime, AIR SDK und AIR SDK & Compiler ein Update auf Version 18.0.0.199 über das AIR Download Center oder das AIR Developer Center. 
• Rufen Sie die Seite Hilfe zu Flash Player auf, um Informationen zur Installation von Flash Player zu erhalten.

• Die Updates schließen Sicherheitslücken, die aufgrund einer Typenverwechslung entstehen können und die Ausführung von Code ermöglichen (CVE-2015-5554, CVE-2015-5555, CVE-2015-5558, CVE-2015-5562).
• Durch diese Updates wird weiter auf eine Migration eingegangen, die in Version 18.0.0.209 zum Schutz vor Vektorlängenfehlern (CVE-2015-5125) eingeführt wurde.
• Diese Updates schließen Use-after-free-Sicherheitslücken, die Ausführung von Code ermöglichen (CVE-2015-5550, CVE-2015-5551, CVE-2015-5556, CVE-2015-5130, CVE-2015-5134, CVE-2015-5539, CVE-2015-5540, CVE-2015-5557, CVE-2015-5559, CVE-2015-5127, CVE-2015-5563, CVE-2015-5561, CVE-2015-5564, CVE-2015-5565, CVE-2015-5566, CVE-2015-6682).
• Die Updates schließen Sicherheitslücken, die aufgrund eines Heap-Pufferüberlaufs entstehen können und die Ausführung von Code ermöglichen (-5129, CVE-2015-, CVE-2015-5541).
• Die Updates schließen Sicherheitslücken, die aufgrund eines Pufferüberlaufs entstehen können und die Ausführung von Code ermöglichen (CVE-2015-5131, CVE-2015-5132, CVE-2015-5133).
• Die Updates schließen Sicherheitslücken, die aufgrund eines beschädigten Speichers entstehen können und die Ausführung von Code ermöglichen (CVE-2015-5544, CVE-2015-5545, CVE-2015-5546, CVE-2015-5547, CVE-2015-5548, CVE-2015-5549, CVE-2015-5552, CVE-2015-5553).
• Diese Updates schließen eine Sicherheitslücke, die aufgrund eines Ganzzahlüberlaufs entsteht und die Ausführung von Code ermöglicht (CVE-2015-5560).

Adobe bedankt sich bei den folgenden Personen für das Melden dieser Sicherheitslücken und deren Beitrag zum Schutz der Sicherheit unserer Kunden: 

• Kai Lu von Fortinets FortiGuard Labs (CVE-2015-5129)
• Chris Evans, Ben Hawkes und Mateusz Jurczyk vom Google Project Zero (CVE-2015-5131, CVE-2015-5132, CVE-2015-5133, CVE-2015-5544, CVE-2015-5545, CVE-2015-5546, CVE-2015-5547, CVE-2015-5548)
• Wang Wei vom Alibaba Security Research Team (CVE-2015-5566)
• Natalie Silvanovich von Google Project Zero (CVE-2015-5550, CVE-2015-5551, CVE-2015-5554, CVE-2015-5555, CVE-2015-5556, CVE-2015-5134, CVE-2015-5539, CVE-2015-5540, CVE-2015-5557, CVE-2015-5558, CVE-2015-5562, CVE-2015-5560, CVE-2015-5564, CVE-2015-5565)
• Chris Evans von Google Project Zero (CVE-2015-5549, CVE-2015-5125)
• bilou in Zusammenarbeit mit dem Chromium Vulnerability Rewards Program (, CVE-2015-5563, CVE-2015-5561, CVE-2015-5130, CVE-2015-5127)
• Yuki Chen vom Qihoo 360 Vulcan Team (CVE-2015-5552, CVE-2015-5553, CVE-2015-5559)
• instruder vom Alibaba Security Research Team (CVE-2015-5541)
• Peter Pi von TrendMicro (CVE -2015-6682)

11. August 2015: Adobe Flash Player für Microsoft Edge und Internet Explorer 11 unter Windows 10 wurde in die Tabelle der betroffenen Versionen aufgenommen.  Außerdem wurde eine Referenz zu CVE-2015-5564 hinzugefügt, die im Bulletin versehentlich ausgelassen worden war.     

12. August 2015: Es wurde eine Referenz zu CVE-2015-5565, einem Use-after-free-Problem ähnlich CVE-2015-3107, hinzugefügt.  Eine Fehlerbehebung für CVE-2015-3107 wurde in APSB15-11 eingeführt und in APSB15-19 verstärkt.  CVE-2015-5128 wurde entfernt. Es wurde zuvor als Typenverwechslungsproblem eingestuft und wurde jetzt als nicht ausnutzbarer Absturz aufgrund eines Nullzeiger-Ausnahmefehlers neu eingestuft.

20. August 2015: CVE-2015-5124 wurde durch CVE-2015-5566 ersetzt. CVE-2015-5124 wurde in APSB15-16 behoben und fälschlicherweise in APSB15-19 erneut angegeben. 

2. September 2015: Verweis auf die Sicherheitslücke CVE-2015-6682 wurde hinzugefügt, die durch Weiterverwendung nach Speicherfreigabe verursacht und in dieser Version behoben wurde, was versehentlich nicht im Bulletin aufgeführt wurde.