Adobe-Sicherheitsbulletin

Freigabedatum: 13. Oktober 2015

Letzte Aktualisierung: 7. Januar 2016

Kennung der Sicherheitslücke: APSB15-25

Priorität: Siehe Tabelle unten

CVE-Nummern: CVE-2015-5569, CVE-2015-7625, CVE-2015-7626, CVE-2015-7627, CVE-2015-7628, CVE-2015-7629, CVE-2015-7630, CVE-2015-7631, CVE-2015-7632, CVE-2015-7633, CVE-2015-7635, CVE-2015-7636, CVE-2015-7637, CVE-2015-7638, CVE-2015-7639, CVE-2015-7640, CVE-2015-7641, CVE-2015-7642, CVE-2015-7643, CVE-2015-7644

Plattform: Alle Plattformen

Adobe hat Sicherheits-Updates für Adobe Flash Player veröffentlicht.  Diese Updates beheben kritische Sicherheitslücken, die einem Angreifer die Übernahme des betroffenen Systems ermöglichen.

• Um die Versionsnummer Ihrer Adobe Flash Player-Installation herauszufinden, öffnen Sie entweder die Info-Seite zu Flash Player oder klicken mit der rechten Maustaste auf einen beliebigen Inhalt im Flash Player und wählen im Kontextmenü den Befehl „Über Adobe (bzw. Macromedia) Flash Player“. Wenn Sie mit mehreren Browsern arbeiten, führen Sie die Prüfung für jeden Browser aus.  

• Um die Versionsnummer Ihrer Adobe AIR-Installation herauszufinden, befolgen Sie die Anweisungen in der TechNote zu Adobe AIR. 

Adobe empfiehlt allen Anwendern die Installation der neuesten Version und stuft die Priorität dieser Updates wie folgt ein:

• Adobe empfiehlt Anwendern von Adobe Flash Player Desktop Runtime für Windows und Macintosh, das Update auf Adobe Flash Player 19.0.0.207 aus dem _deDownload Center für Adobe Flash Player zu installieren oder die automatische Aktualisierungsfunktion zu nutzen, wenn sie bei der Verwendung des Produkts dazu aufgefordert werden [1].
• Adobe empfiehlt Anwendern des Adobe Flash Player Extended Support Release das Update auf Version 18.0.0.252 von http://helpx.adobe.com/flash-player/kb/archived-flash-player-versions.html.
• Anwendern von Flash Player für Linux wird das Update auf Version 11.2.202.535 empfohlen, die sie vom _deDownload Center für Adobe Flash Player herunterladen können. 
• Die Version von Adobe Flash Player in Google Chrome wird automatisch auf die neueste Google Chrome-Version aktualisiert, die Adobe Flash Player 19.0.0.207 für Windows, Macintosh, Linux und Chrome OS beinhaltet.
• Die Version von Adobe Flash Player in Microsoft Edge für Windows 10 wird automatisch auf Adobe Flash Player 19.0.0.207 aktualisiert.
• Die Version von Adobe Flash Player in Internet Explorer 10 und 11 für Windows 8.0 und 8.1. wird automatisch auf Adobe Flash Player 19.0.0.207 aktualisiert.
  
• Adobe empfiehlt Anwendern von AIR-Desktop-Runtime, AIR SDK und AIR SDK & Compiler ein Update auf Version 19.0.0.213 über das AIR Download Center oder das AIR Developer Center. 
• Rufen Sie die Seite Hilfe zu Flash Player auf, um Informationen zur Installation von Flash Player zu erhalten.

• Diese Updates schließen Sicherheitslücken, die dazu genutzt werden konnten, die Same-Origin-Policy zu umgehen, was zur Informationspreisgabe führte (CVE-2015-7628).
• Diese Updates beinhalten eine Defense-in-Depth-Sicherheitsfunktion in der Flash-Broker-API (CVE-2015-5569).
• Diese Updates schließen Use-after-free-Sicherheitslücken, die die Ausführung von Code ermöglichen (CVE-2015-7629, CVE-2015-7631, CVE-2015-7635, CVE-2015-7636, CVE-2015-7637, CVE-2015-7638, CVE-2015-7639, CVE-2015-7640, CVE-2015-7641, CVE-2015-7642, CVE-2015-7643, CVE-2015-7644).
• Mit den Updates wird eine Sicherheitslücke geschlossen, die aufgrund eines Pufferüberlaufs entsteht und die Ausführung von Code ermöglichen könnte (CVE-2015-7632).
• Die Updates schließen Sicherheitslücken, die aufgrund eines beschädigten Speichers entstehen können und die Ausführung von Code ermöglichen (CVE-2015-7625, CVE-2015-7626, CVE-2015-7627, CVE-2015-7630, CVE-2015-7633).
  

Adobe bedankt sich bei den folgenden Personen für das Melden dieser Sicherheitslücken und deren Beitrag zum Schutz der Sicherheit unserer Kunden: 

• Dave „Dwizzzle“ Weston (CVE-2015-5569)
• bee13oy in Zusammenarbeit mit dem Chromium Vulnerability Reward Program (CVE -2015-7633)
• instruder vom Alibaba Security Threat Information Center in Zusammenarbeit mit der Zero Day Initiative von HP (CVE-2015-7629)
• Anonymous in Zusammenarbeit mit der Zero Day Initiative von HP (CVE-2015-7632)
• Nicolas Joly und Natalie Silvanovich vom Google Project Zero (CVE-2015-7644)
• bilou in Zusammenarbeit mit der Zero Day Initiative von HP (CVE-2015-7631)
• bilou in Zusammenarbeit mit der Zero Day Initiative von HP und Yuki Chen von Team Qihoo 360 Vulcan (CVE -2015-7643)
• instruder vom Alibaba Security Threat Information Center (CVE-2015-7630)
• Jincheng Liu und Lijun Cheng vom Alibaba Security Research Team (CVE-2015-7625, CVE-2015-7626)
• Kai Kang vom Xuanwu LAB von Tencent (CVE-2015-7627)
• Yuki Chen vom Vulcan Team bei Qihoo 360 (CVE-2015-7635, CVE-2015-7636, CVE-2015-7637, CVE-2015-7638, CVE-2015-7639, CVE-2015-7640, CVE-2015-7641, CVE-2015-7642, CVE-2015-7643)
  
• Tokuji Akamine (CVE-2015-7628)
  

14. Oktober 2015: Eine Danksagung für die CVEs von Yuki Chen vom Vulcan Team bei Qihoo 360 wurde hinzugefügt.

5. November 2015: CVE-2015-7634 wurde aus dem Bulletin entfernt.  Diese CVE wurde ursprünglich als Sicherheitslücke klassifiziert, anschließend aber als nicht ausnutzbarer NULL-Zeiger-Dereferenzierungsfehler eingestuft.

7. Januar 2016: Danksagung hinzugefügt für Tokuji Akamine für das Melden von CVE-2015-7628