Sicherheitsloch in Macromedia Flash
Browser mit Macromedias Flash-Plugin sind auf allen Plattformen anfällig für eine gefährliche Sicherheitslücke. Nach einer Meldung auf der Sicherheits-Mailingliste
Bugtraq[1] ist es dadurch nicht nur möglich, Abstürze hervorzurufen, sondern ebenso beliebigen Programmcode durch einen Buffer Overflow auf allen
Betriebssystemen auszuführen.
Der Buffer Overflow tritt auf, sobald falsche oder fehlende Längenangaben für einzelne Tags in Flash auftreten. Nach Angaben von Neal Krawetz, Entdecker der
Sicherheitslücke, sei es ohne größere Probleme möglich, eine SWF-Datei (Flash-Format) anzulegen, die Plattform-spezifische Overflows für verschiedene Systeme
(Solaris, Linux, Windows, Irix etc.) enthält.
Macromedia wurde bereits vor einem halben Jahr über den Fehler informiert: Krawetz entdeckte die Lücke im Juli vergangenen Jahres und hatte Macromedia
umgehend benachrichtigt - ohne Reaktion. Zwischenzeitlich neu herausgebrachte Flash-Versionen enthielten den Fehler immer noch. Selbst ein erneuter Hinweis
bei einem Senior Manager von Macromedia im Dezember brachte laut Krawetz keine weitere Reaktion. Es bleibt zu hoffen, dass eine Veröffentlichung auf Bugtraq
einen nachhaltigeren Eindruck hinterlässt.
Betroffen sind alle Browser-Versionen mit Flash-Plugin. Insbesondere sollten Windows-Benutzer aufpassen, da Flash bei der Installation von Netscape oder dem
Internet Explorer automatisch mit eingerichtet wird. Benutzer des Internet Explorer können einfach "ActiveX Steuerelemente und Plugins ausführen" in den
Sicherheitseinstellungen des Browsers deaktivieren. Netscape-User unter Windows müssen das Plugin komplett entfernen. Das geht entweder über den von
Macromedia bereitgestellten Link[2] oder durch manuelles Entfernen der npswf32.dll im Plugin-Verzeichnis von Netscape. (pab[3]/c't)
URL dieses Artikels:
www.heise.de/newsticker/data/pab-03.01.01-000/
Links in diesem Artikel:
[1] www.securityfocus.com/
[2] www.macromedia.com/support/flash/ts/documents/remove_player.htm
[3] mailto:pab@ct.heise.de
Browser mit Macromedias Flash-Plugin sind auf allen Plattformen anfällig für eine gefährliche Sicherheitslücke. Nach einer Meldung auf der Sicherheits-Mailingliste
Bugtraq[1] ist es dadurch nicht nur möglich, Abstürze hervorzurufen, sondern ebenso beliebigen Programmcode durch einen Buffer Overflow auf allen
Betriebssystemen auszuführen.
Der Buffer Overflow tritt auf, sobald falsche oder fehlende Längenangaben für einzelne Tags in Flash auftreten. Nach Angaben von Neal Krawetz, Entdecker der
Sicherheitslücke, sei es ohne größere Probleme möglich, eine SWF-Datei (Flash-Format) anzulegen, die Plattform-spezifische Overflows für verschiedene Systeme
(Solaris, Linux, Windows, Irix etc.) enthält.
Macromedia wurde bereits vor einem halben Jahr über den Fehler informiert: Krawetz entdeckte die Lücke im Juli vergangenen Jahres und hatte Macromedia
umgehend benachrichtigt - ohne Reaktion. Zwischenzeitlich neu herausgebrachte Flash-Versionen enthielten den Fehler immer noch. Selbst ein erneuter Hinweis
bei einem Senior Manager von Macromedia im Dezember brachte laut Krawetz keine weitere Reaktion. Es bleibt zu hoffen, dass eine Veröffentlichung auf Bugtraq
einen nachhaltigeren Eindruck hinterlässt.
Betroffen sind alle Browser-Versionen mit Flash-Plugin. Insbesondere sollten Windows-Benutzer aufpassen, da Flash bei der Installation von Netscape oder dem
Internet Explorer automatisch mit eingerichtet wird. Benutzer des Internet Explorer können einfach "ActiveX Steuerelemente und Plugins ausführen" in den
Sicherheitseinstellungen des Browsers deaktivieren. Netscape-User unter Windows müssen das Plugin komplett entfernen. Das geht entweder über den von
Macromedia bereitgestellten Link[2] oder durch manuelles Entfernen der npswf32.dll im Plugin-Verzeichnis von Netscape. (pab[3]/c't)
URL dieses Artikels:
www.heise.de/newsticker/data/pab-03.01.01-000/
Links in diesem Artikel:
[1] www.securityfocus.com/
[2] www.macromedia.com/support/flash/ts/documents/remove_player.htm
[3] mailto:pab@ct.heise.de
