Ungepatchte Sicherheitslöcher in Flash und Windows

Vor wenigen Tagen wurde bekannt, dass ein italienischer Hersteller von Überwachungs-Software namens „Hacking Team“ selbst von bislang unbekannten Angreifern gehackt worden war. Zu den Kunden des Unternehmens sollen neben vielen privaten Firmen auch Behörden aus zahlreichen Staaten gehören, darunter dem Vernehmen nach Ägypten, der Libanon, Oman, Russland, Saudi Arabien, Sudan und die USA. Auch die Kantonspolizei Zürich hat die Software gekauft.

Die Eindringlinge veröffentlichten im Torrent-Netz ein rund 400 GByte grosses Paket mit internen Daten von Hacking Team. Wie nun bekannt wurde, enthält dieses Paket auch Informationen über zwei noch nicht gepatchte Sicherheitslöcher in Adobe Flash und im Windows-Kernel.

Die erste Lücke gefährdet alle Nutzer des Internet Explorers, Firefox, Chrome und Safari, die Flash installiert haben. Das Ausführen des Flash-Codes im Browser ermöglicht es einem Angreifer, beliebigen Code auf dem Zielsystem auszuführen. Adobe arbeitet nach eigenen Angaben bereits an einem Patch, um die Lücke zu stopfen. Bis dahin sollten Anwender auf Flash verzichten. Die Exploit-Kits Angler und Neutrino sollen  die Lücke bereits aktiv ausnutzen und versuchen, darüber etwa Erpresser-Trojaner zu verbreiten.

Die zweite Lücke wurde in einer Adobe-DLL gefunden, die standardmässig in Windows enthalten ist. Sie dient zur Darstellung von Schriften und findet sich in allen Windows-Versionen von XP bis 8.1. Das Sicherheitsloch soll es Angreifern ermöglichen, durch das Einschleusen einer manipulierten Font-Datei Admin-Rechte auf dem PC zu erlangen. Microsoft stuft diese Lücke als nicht-kritisch ein, weil sie nur in Verbindung mit anderen schädlichen Aktivitäten ausgeführt werden könne. Man arbeite aber trotzdem an einem Patch.

Sobald ein Update für Flash bereitsteht, finden Sie die aktualisierte Version in unserem Download-Bereich. Der Windows-Patch wird über Windows-Update verbreitet.