Adobe dicht drie lekken in zijn Flash-speler

Adobe heeft een noodpatch voor de Flash Player uitgebracht die drie lekken in de software dicht, waarvan er twee actief misbruikt werden door kwaadwillenden. Twee weken geleden bracht Adobe ook al een patch tegen kritieke lekken in de Flash-speler uit.

Een van de exploits richt zich met name op een kwetsbaarheid in Flash voor Firefox. Adobe introduceerde een jaar geleden sandbox-functionaliteit bij Flash voor Firefox om gebruikers te beschermen tegen misbruik van lekken. Een mogelijkheid om met toestemming uit de beschermde omgeving te komen wordt nu in de praktijk misbruikt. Kwaadwillenden probeerden gebruikers te laten klikken op een link, die naar websites met waarop besmette Flash-content leidde.

De update van Flash Player, met versienummer 11.6.602.171, is vanaf woensdag te downloaden maakte Adobe bekend. Adobe classificeert de drie oplapmiddelen voor Windows en Mac op niveau 1, wat inhoudt dat installeren de hoogste prioriteit heeft. Voor Linux-versies ligt de prioriteit op niveau 3; wat aangeeft dat gebruikers de update moeten installeren wanneer het kan.

De patch die Adobe uitbrengt is de vierde in een maand. Op 7 februari werd er een patch online gezet om andere beveiligingsproblemen te dichten. Daarbij kon met een gemanipuleerd pdf-bestand de sandbox-beveiliging van Reader worden omzeild, waardoor hackers eigen code konden uitvoeren.

Op 12 februari werd er een patch online gezet die onderdeel was van de reguliere update-ronde van Adobe en ook op 20 februari kwam Adobe met een patch. Het ging om twee vergelijkbare bugs, die het allebei mogelijk maakten om de zogeheten sandbox-beveiliging te omzeilen.

Reacties (48)

[Jimmy89]

Nieuwe informatie over de aanval:

http://blog.crysys.hu/2013/02/miniduke/

https://www.security.nl/a...an_MiniDuke-backdoor.html

MiniDuke is een in Assembler geschreven backdoor met een omvang van slechts 20kb. De backdoor zit verstopt in PDF-bestanden die misbruik van een recent gepatcht beveiligingslek in Adobe Reader maken. De aanvallers zijn nog steeds actief en de laatst ontdekte versie dateert van 20 februari, de dag dat Adobe een update voor het lek uitbracht.

Volgens Kaspersky Lab is de veiligheid van een aantal prominente doelwitten, waaronder overheidsinstellingen in de Oekraïne, België, Portugal, Roemenië, Tsjechië en Ierland, al in het geding gekomen door de MiniDuke-aanvallen. Hetzelfde geldt voor een onderzoeksinstituut, twee denktanken en een zorgverlener in de Verenigde Staten, evenals een prominente onderzoeksinstelling in Hongarije.

De gebruikte PDF-bestanden bevatten onder andere informatie over een mensenrechtenseminar (ASEM) en plannen over het buitenlands beleid van de Oekraïne en het NAVO-lidmaatschap.

[Reactie gewijzigd door Jimmy89 op 24 juli 2024 06:48]

[johnny2000]

Wordt helemaal ziek van Flash en Java. Weet iemand een plugin voor Firefox welke Java/Flash standaard uitzet (klick-to-play is prima) en de mogelijkheid geeft om websites te whitelisten. Wij gebruiken bepaalde corporate Java applet applicaties, dus java plugin moet aanwezig blijven.

[Maurits van Baerle]

Ik gebruik al jaren Flashblock en ben daar heel tevreden mee. Het valt daarmee voornamelijk op hoe weinig je Flash tegenwoordig nog nodig hebt voor belangrijke zaken/cruciale functionaliteit.

https://addons.mozilla.org/en-US/firefox/addon/flashblock/

[Reactie gewijzigd door Maurits van Baerle op 24 juli 2024 06:48]

[johnny2000]

Bedankt! Die had ik al inderdaad, voor java is wat moeilijker geloof ik (incl. site whitelisten)

[Maurits van Baerle]

Volgens mij zijn ze bezig om Click to Play standaard te maken voor alle plugins.

Putting Users in Control of Plugins Ik weet niet hoe ver ze daar al mee zijn maar misschien is het al experimenteel aanwezig en moet je het alleen aanzetten.

[Argantonis]

En de Chrome variant: https://chrome.google.com...mkpinhpoiabjplobcaignabnl

[The Zep Man]

Wordt helemaal ziek van Flash en Java. Weet iemand een plugin voor Firefox welke Java/Flash standaard uitzet (klick-to-play is prima) en de mogelijkheid geeft om websites te whitelisten. Wij gebruiken bepaalde corporate Java applet applicaties, dus java plugin moet aanwezig blijven.

about:config -> plugins.click_to_play -> true

Click-to-play zit al in Firefox, maar is nog niet te activeren via de GUI. Natuurlijk zijn er ook extensies die kunnen helpen (zie de post van Maurits).

[Reactie gewijzigd door The Zep Man op 24 juli 2024 06:48]

[ppl]

Let op! Click to play heeft geen whitelist mogelijkheid. Als je dat zoekt zul je Flashblock moeten gebruiken. Dit is bijv. nodig voor Vimeo filmpjes.

[Jimmy89]

Ik vraag me af hoe snel Internet Explorer 10 deze update mee neemt, aangezien ze nu dezelfde Flash enbedded update methode als Chrome hanteren. Weet iemand hier meer vanaf?

Edit: deze versie heeft het advies meegekregen om binnen 72 uur te installeren.

[Reactie gewijzigd door Jimmy89 op 24 juli 2024 06:48]

[sambalbaj]

Net de flash update voor IE gewoon handmatig over IE10 gezet.
Was me nog niet bewust van deze verandering, maar het werkt zo wel gewoon.

[S_Chief]

Ik vraag me af hoe snel Internet Explorer 10 deze update mee neemt, aangezien ze nu dezelfde Flash enbedded update methode als Chrome hanteren. Weet iemand hier meer vanaf?

Komt gewoon binnen via Windows Update.

[Verwijderd]

Adobe dicht drie lekken in zijn Flash-speler en stuurt bij de update bloatware mee in de vorm van McAfee Security Scan Plus http://forums.adobe.com/thread/722513

[Reactie gewijzigd door Verwijderd op 24 juli 2024 06:48]

[shicomm]

De installer vanaf ninite is clean :

http://www.ninite.com/flash

[Dark Angel 58]

en ook silent?
want ik wil DE melding van flash update NOOIT MEER ZIEN! ik wil dat automatisch downloaden en updaten van flash altijd in achtergrond gebeurt, zonder dat ik ervan merkt. na het updaten mag het wel een melding "flash update geslaagd" weergeven.

[Carlos0_0]

Gewoon de exe file downloade hierboven in een reactie, bij deze kan je na installatie aangeven of die automatisch mag updaten.
Verder kan je ook chrome gebruiken die update flash player bij elke versie van chrome, chrome update automatisch dus heb je nergens last van :-).

[Reactie gewijzigd door Carlos0_0 op 24 juli 2024 06:48]

[Henk Poley]

Installeer Secunia PSI voor Windows, die update de meeste high profile internet software automatisch op de achtergrond.

http://secunia.com/products/consumer/psi/

[Reactie gewijzigd door Henk Poley op 24 juli 2024 06:48]

[Señor Sjon]

Oracle is nog erger, die probeert je bij elke Jave update de Ask Toolbar door de maag te splitsen.

Het is irritant dat sommige sites het nog nodig hebben, maar het liefst ben ik z.s.m. van beide plugins af.

[Carlos0_0]

Ik heb nog nooit een toolbar gezien bij de java installatie, je moet gewoon de offline installer downloaden die heeft dat niet

[Onbekend]

Dit is de link naar de download:
http://download.macromedi.../install_flash_player.exe

[Rfce]

Hier de full downloads:
Windows exe installer IE
Windows MSI installer IE
Windows exe installer plugin based browsers
Windows MSI installer plugn based browsers

[BlackMage]

Ik gebuik al jaren Flashblock. Ik kan me echter niet eens meer herinneren wanneer ik voor het laatst flashcontent heb geactiveerd. Het zijn meestal banners of videoplayers waar ook wel HTML5 beschikbaar is.

Flash is dood. Het hangt nog aan de beademing vanwege de legacy-ondersteuning van de desktop-browsers maar het wordt tijd voor een DNR zodat we het in de geschiedenisboeken kunnen zetten.

[Verwijderd]

Er is eigenlijk helemaal niks mis met Flash. Alleen het wordt steeds zwaarder en zwaarder, eigenlijk iets wat je bij veel software ziet totdat iemand bedenkt dat het ook best weer lichter gemaakt kan worden. Flash games prima, Flash video's prima, maar Flash advertenties irritant .

[Verwijderd]

Kunnen ze Flash in Firefox niet eens beter optimaliseren voor oudere computers? Ik moet nu noodgedwongen Flash 10.3 draaien , enige voordeel is dat deze nog wordt gepatcht voor zakelijke gebruikers. Leuk weetje, nou ja leuk , Google Chrome werkt wel gewoon vloeiend met de laatste Flash versie geïnstalleerd.

[MMaI]

sandbox modus uitschakelen, en crash protectie uitzetten en je probleem is voorbij

[Carlos0_0]

Of chrome alleen nog gebruiken zoals je zegt werkt daar wel in :-)

[Verwijderd]

Ik heb nu onder Flash 11.6 Protected modus uitgezet met: ProtectedMode = 0

Geen verbetering.

[Reactie gewijzigd door Verwijderd op 24 juli 2024 06:48]

[Nafets]

Waren de lekken niet te misbruiken onder linux of werden deze niet gebruikt?

[metalmania_666]

Wel netjes dat ze zo snel reageren. Daar kan Oracle nog een puntje aanzuigen

[Tielenaar]

Inderdaad, maar aangezien de lekken al misbruikt werden toch nog ietwat te laat. Desalniettemin is het hoe dan ook verstandig om in je browser altijd plugins uit te schakelen.
Click to play, hoe irritant het ook kan zijn, kan een hele hoop ellende schelen.

[Dylan93]

Inderdaad, maar aangezien de lekken al misbruikt werden toch nog ietwat te laat. Desalniettemin is het hoe dan ook verstandig om in je browser altijd plugins uit te schakelen.
Click to play, hoe irritant het ook kan zijn, kan een hele hoop ellende schelen.

Dit heb ik inderdaad ook al tijden in Chrome ingeschakeld, sowieso een veel snellere internet experience omdat het niet constant op elke pagina Flash inhoud hoeft te laden en af te spelen, met als voordeel dat die Flash ads ook direct ophouden.
Ik klik zelf handmatig aan welke plugin ik in wil schakelen bv bij een Youtube video.

[Reactie gewijzigd door Dylan93 op 24 juli 2024 06:48]

[Cobalt]

Tweakers meld alleen nieuws over een Oracle/Java patch als Oracle of Java te bashen valt. De security update van 19 februari wordt gewoon niet vermeld.

[Damic]

mmh volgens firefox is mijn flashplayer up2date, niet dus 11.6 r602 168