Mehr als 400 GB an Daten sind nicht so schnell zu durchforsten. Also tauchen auch fast eine Woche nach dem Leak von interner Kommunikation und Software des italienischen Hacking Team weiter laufend neue Informationen auf. Und dabei sind Sicherheitsexperten nun über zwei weitere Zero-Day-Lücken im Flash-Player von Adobe gestolpert.

Lücken

Die mittlerweile als CVE-2015-5122 und CVE-2015-5123 öffentlich gemachten Bugs werden beide als kritisch angesehen. Können sie doch genutzt werden, um Malware auf einem Zielrechner unterzubringen.

Reaktion

Adobe bestätigt die Fehler mittlerweile und kündigt an in den kommenden Tagen mit entsprechenden Tagen Updates liefern zu wollen. Betroffen sind alle aktuellen Versionen von Flash also auch jene, die in Chrome oder dem Internet Explorer enthalten sind. Die konkreten Versionen listet Adobe in seinem Security Advisory. Weitere Details liefern die jeweiligen Entdecker in Blog-Einträgen bei den Sicherheitsunternehmen Fireeye und Trend Micro.

Erpressungssoftware

Bleibt zu hoffen, dass Adobe – wie bei der ersten Hacking-Team-Lücke – wieder schnell reagiert. Kursieren doch auch dieses Mal bereits wieder Versionen des Angler Exploit Kit, die zumindest eine der beiden Lücken für aktive Angriffe nutzt. Dabei werden ungeschützte Rechner verschlüsselt, um von den Betroffenen dann Lösegeld für die Reaktivierung des Systems zu erpressen.

Click to Play

Bis es soweit ist, empfehlen Sicherheitsexperten die automatische Ausführung von Flash im Browser zu deaktivieren. Sowohl bei Chrome als auch beim Firefox können Plugins in den Einstellungen auf "Click to Play" gestellt werden, womit sie erst auf expliziten Wunsch ausgeführt werden. (apo, 12.7.2015)