Adobe Flash Player

[altetigerin]

Der Flash Player kommt ja immer mal in die Schlagzeilen. Diesmal ist es heftiger als sonst. Bei Heise steht heute ein Artikel dazu, den sollte man ernst nehmen. Mal kurz das Wichtigste rauskopiert:

Während Adobe weiterhin keine konkreten Schutzmaßnahmen kennt oder nennt, rät das BSI ganz klar zur Deinstallation des Flash Player. Wer nicht handelt und Flash weiterhin aktiv lässt, geht ein großes Risiko ein.

Das Bürger-CERT hat aufgrund der akuten Gefahr eine Alarmmeldung herausgegeben.
Wer mit aktivem Flash-Plugin surft, ist in akuter Gefahr: Gegen die hochkritische Flash-Lücke ist nach wie vor kein Kraut gewachsen. Sie wird bereits seit geraumer Zeit von Online-Kriminellen zur Verbreitung von Schadcode missbraucht – und dieser kann prinzipiell überall lauern. Schützen kann man sich nur, indem man Flash deinstalliert oder die Ausführung des Plugins im Browser einschränkt. Das rät auch das Bürger-CERT des Bundesamts für Sicherheit in der Informationstechnik in seiner Alarmmeldung. Es hat der Lücke die höchstmögliche Risikostufe zugewiesen.

Adobe ist ratlos

Der Flash-Hersteller Adobe hält sich indes mit konkreten Handlungsempfehlungen zurück. Auf eine Anfrage von heise Security, wie sich Flash-Nutzer angesichts der realen Bedrohungslage verhalten sollten, antwortete das Unternehmen nur mit allgemeinen Sicherheits-Tipps: "regelmäßige Softwareupdates sowie die Nutzung von automatischen Softwareupdates" – es steht außer Frage, dass diese Maßnahmen im aktuellen Fall wirkungslos sind, schließlich bietet Adobe noch kein Sicherheitsupdate an, das die Lücke schließen würde.

Auch "der Einsatz von Schutzsoftware wie beispielsweise Firewall und Virenschutzprogrammen" ist keine Garantie dafür, dass der Angriffscode abgefangen wird. Schließlich gehört es zum Handwerk der Angreifer, die Exploits so lange zu modifizieren, bis sie nicht mehr von gängiger Schutzsoftware erkannt werden. Der Software-Hesteller verweist zudem auf einen Eintrag in seinem Security-Blog, in dem jedoch keine Schutzmöglichkeiten nennt. Das Advisory zur Lücke wurde indes überarbeitet und den 11er Versionszweig aus der Liste der betroffenen Flash-Versionen entfernt.
Flash abschalten

Ein Sicherheits-Update, das die Lücke schließt, soll noch im Laufe der aktuellen Woche erscheinen. Zumindest bis dahin sollte man Flash deaktivieren – und vor allem auch Freunden, Familie und Bekannten dazu raten. Entscheidend ist, dass der Browser nicht mehr auf das Flash-Plugin zugreifen kann. Im einfachsten Fall deinstalliert man Flash. Nutzer des Internet Explorer unter Windows 8.x sowie Chrome-Nutzer müssen Flash zudem in den Browser-Einstellungen deaktivieren, da die Browser separate Kopien des Plugins mitbringen.
Click-to-Play

Wer nicht ganz auf Flash verzichten möchte oder kann, aktiviert die Click-to-Play-Funktion, welche einige Browser inzwischen bieten. Dann führt der Browser ein Plugin erst aus, wenn man auf einen Platzhalter klickt. So kann man im Zweifelsfall etwa den Video-Player auf einer Seite nutzen, während die potenziell schädliche Flash-Werbung inaktiv bleibt. In den bisher bekannten Fällen wurde der Angriffscode über Anzeigennetzwerke ausgeliefert, wodurch er unter anderem beim Besuch des Videoportals DailyMotion ausgeliefert wurde.

Ich habe meinen Firefox auch so umgestellt, dass die Ausführung abgefragt wird. Da habe ich gleich noch den Nebeneffekt, dass ich merke, wo überall Flash eingesetzt wird.

[altetigerin]

Es gibt ein Update. Heise hat mich die Details wissen lassen. Bei mir ist das Update schon durch die Automatik installiert. Mal sehen, wie lange es diesmal bis zur nächsten bekannt gewordenen Lücke dauert...

[MadameKatz]

Ja, soll auch update machen... Muss sich aber erst mal mein Mann drüber hermachen. Alles Sicherungsmäßige unnso macht er...! Und danke für die Info... war wirklich schon wieder total verunsichert, weil der schon wieder ein Update machen wollte.

[altetigerin]

...weil der schon wieder ein Update machen wollte.

und auch nach einem Dreivierteljahr ist es noch so: wer Flash installiert hat, sollte unbedingt die angebotenen Updates installieren (und dabei aufpassen, dass unerwünschte Beigaben abgewählt werden). Bei Java ist es auch ganz genauso... auch mit den Beigaben