Schlagwort: Adobe Systems Inc

Adobe Experience Manager könnte Daten leaken | heise Security

Die Content-Management-Lösungen für Websites Experience Manager und Experience Manager Forms von Adobe sind verwundbar. Angreifer könnten drei Sicherheitslücken (CVE-2018-19724, CVE-2018-19726 und CVE-2018-19727) ausnutzen, um mittels XSS-Attacken Zugriff auf eigentlich abgeschottete Informationen zu bekommen.

Der Schwergrad ist mit “moderat” und “wichtig” eingestuft. Weitere Details zu den Schwachstellen und möglichen Angriffsszenarien beschreibt Adobe in den Sicherheitswarnungen zu Experience Manager und Experience Manager Forms derzeit nicht. Dort findet man aber Hinweise zu abgesicherten Versionen. Alle Plattformen sollen betroffen sein.

Adobe patcht die Anwendungen außer der Reihe. Eigentlich veröffentlicht der Softwarehersteller Sicherheitsupdates ein Mal pro Monat am Patchday. Notfallpatches gibt es eigentlich immer nur für als kritisch eingestufte Lücken oder wenn Angreifer Adobe-Software aktiv attackieren. Beides ist laut den Warnmeldungen dieses Mal aber nicht der Fall.

(des)

Source

Categories: Sicherheit

Tags:

Zwei kritische Lücken in Adobe Acrobat und Reader | heise Security

Es gibt wichtige Sicherheitsupdates für Adobe Acrobat und Reader. Die PDF-Anwendungen sind über zwei als kritisch eingestufte Schwachstellen unter macOS und Windows attackierbar. Abgesicherte Versionen stehen zur Installation bereit.

In den Standardeinstellungen sollten sich die Anwendungen automatisch aktualisieren. Passiert das nicht, kann man den Vorgang unter dem Menüpunkt “Hilfe” anstoßen. Für eine effizientere Verteilung können Admins Enterprise Installer von Acrobat und Reader herunterladen und die Updates über verschiedene Methoden – beispielsweise SCUP/SCCM oder SSH – installieren.

Die Entwickler haben die Lücken in Acrobat DC/Reader DC (Continuous Track) 2019.010.20069, Acrobat 2017/Reader DC 2017 2017.011.30113 und Acrobat DC/Reader DC (Classic 2015) 2015.006.30464 geschlossen. Alle vorigen Versionen sind einer Warnmeldung von Adobe zufolge von den Sicherheitslücken betroffen.

Remote Code Execution

Eine Schwachstelle (CVE-2018-16011) sollen Angreifer ohne Authentifizierung aus der Ferne ausnutzen können, um auf Computern Schadcode mit den Nutzerrechten eines Opfers auszuführen. Die zweite Lücke (CVE-2018-16018) könnten Angreifer zum Umgehen von Sicherheitsmechanismen ausnutzen. Weitere Details dazu sind derzeit nicht bekannt. Die Entdeckung von beiden Schwachstellen geht auf Sicherheitsforscher von Trend Micros Zero Day Initiative zurück.

(des)

Source

Categories: Sicherheit

Tags:

Flash-Updates, die mit Sicherheit nichts zu tun haben | heise Security

Connect und Digital Editions von Adobe sind verwundbar – die Sicherheitslücken gelten aber nicht als kritisch. Die als “wichtig” eingestuften Updates sind ab sofort verfügbar.

Connect ist einer Sicherheitswarnung von Adobe zufolge für alle Plattformen angreifbar. Die Ausgabe 10.1 ist abgesichert. Bedroht sollen alle Versionen bis einschließlich 9.8.1 sein. Nutzt ein Angreifer die Schwachstelle (CVE-2018-19718) aus, könnte er Details von Sessions auslesen (Session Token Exposure).

Digital Editions ist in der Version 4.5.10 für Android, iOS, macOS und Windows abgesichert. Alle vorigen Ausgaben sollen von der Lücke (CVE-2018-12817) betroffen sein. Ein erfolgreiches Ausnutzen der Schwachstelle soll zu einem Datenleck führen, warnt Adobe.

Was ist mit Flash?

Der Flash Player bekommt auch an diesem Patchday ein Update, dieses schließt aber ungewöhnlicherweise keine Sicherheitslücke, sondern es soll die Performance steigern.

Die aktuelle Version 32.0.0.114 steht für Chrome OS, Linux, macOS und Windows zum Download bereit. Unter Windows 8.1 und 10 holen sich Internet Explorer 11 und Edge das Update automatisch. Auch Chrome macht das so.

(des)

Source

Categories: Sicherheit

Tags:

Adobe stopft kritische Lücke in Digital Editions | heise Security

Patchday: Adobe stopft kritische Lücke in Digital Editions


Alert!

10.10.2018 10:57 Uhr
Fabian A. Scherschel

Patchday: Adobe stopft kritische Lücke in Digital Editions

(Bild: heise online)

Ein Sicherheitsupdate für Flash, das keins ist, und die Abwesenheit von Reader-Patches sorgen bei Adobe für einen eher untypischen Patchday.

An seinem monatlichen Patchday stopft Adobe Sicherheitslücken in Digital Editions, dem Adobe Experience Manager, in seiner Technical Communications Suite und in Framemaker. Ein Flash-Update ist auch dabei, schließt aber entgegen seiner Namensgebung keine Sicherheitslücken. Patches für Adobe Reader gibt es keine, allerdings hatte die Firma erst Anfang des Monats Reader-Patches außerhalb des normalen Patch-Zykluses verteilt.

Die Ebook-Software Digital Editions enthält eine kritische Sicherheitslücke, über die ein Angreifer dem Anwender Schadcode unterschieben und im Kontext dessen Nutzerkontos ausführen kann. Der Angreifer hätte damit Zugriff auf dieselben Daten wie der Anwender. Betroffen sind die Versionen für Windows, macOS und iOS; Version 4.5.9 der Software behebt das Problem. Sowohl die Adobe Technical Communications Suite als auch das Dokumentenverarbeitungsprogramm Framemaker haben ein Problem mit ihrem Installer, das dazu missbraucht werden kann, die Rechte von vorhandenem Schadcode auszuweiten.

Mit neuen Versionen des Adobe Experience Manager schließen die Entwickler außerdem mehrere kleinere Sicherheitslücken in dieser Software. Auch Flash erhält Updates, die bei Adobe als “Sicherheitsupdates” gelistet sind. Laut den Entwicklern beheben sie allerdings nur “Funktions- und Performance-Bugs” auf Windows, macOS, Linux und Chrome OS.

(fab)

Source

Categories: Sicherheit

Tags:

Haufenweise Lücken in Adobe Reader und Acrobat geschlossen | heise Security

Jetzt patchen: Haufenweise Lücken in Adobe Reader und Acrobat geschlossen


Alert!

02.10.2018 11:08 Uhr
Fabian A. Scherschel

Jetzt patchen: Haufenweise Lücken in Adobe Reader und Acrobat geschlossen

Wieder ein Sicherheitsupdate von Adobe für Reader und Acrobat. Und wieder werden kritische Lücken geschlossen.

Nach dem kritischen Update von vor zwei Wochen hat Adobe nun ein weiteres Update außer der Reihe für seine PDF-Programme Acrobat und Reader veröffentlicht. Insgesamt schließt das Update 85 verschiedene Sicherheitslücken, von denen viele abermals als kritisch eingestuft sind. Wie bei solchen Updates üblich, empfiehlt die Firma ihren Nutzern die Software so schnell wie möglich zu aktualisieren. Bisher sind laut Adobe keine akuten Angriffe auf die Lücken bekannt, der Erfahrung nach führt die exponierte Lage der PDF-Reader allerdings oft dazu, dass sich dies sehr bald ändern kann.

Welche Versionen sind sicher?

Die Updates betreffen die Windows- und macOS-Versionen der Software. Wer die Continuous-Ausgabe von Acrobat DC und Acrobat Reader DC verwendet, sollte sicherstellen, dass Version 2019.008.20071 der Software installiert ist, um auf der sicheren Seite zu sein. Anwender von Acrobat 2017 und Acrobat Reader DC 2017 sollten auf Version 2017.011.30105 aktualisieren. Acrobat DC und Acrobat Reader DC in der Classic-2015-Ausgabe sollten auf Version 2015.006.30456 geupdated werden. Mehr Informationen finden sich, wie üblich, bei Adobe in der Sicherheitsmeldung APSB18-30.

Interessanterweise ist die Nummer der neuen Sicherheitsmeldung niedriger als die der Lücken, die Adobe Ende September in der selben Software gestopft hatte. Das könnte darauf hindeuten, dass Adobe momentan kontinuierlich damit beschäftigt ist, Lücken in seinen PDF-Readern zu stopfen. Normalerweise werden solche Updates im Rahmen des Patchdays der Firma am zweiten Dienstag jeden Monats veröffentlicht. Patches außer der Reihe gibt es eigentlich nur, wenn Adobe akute Angriffe auf die Lücken bemerkt hat oder davon ausgeht, dass diese unmittelbar bevorstehen.

PDF-Reader schnell absichern!

Da Kriminelle bei Phishing-Attacken oft versuchen, den Opfern manipulierte PDF-Dateien unterzujubeln, die dann einen Trojaner auf dem System installieren, sind PDF-Programme oft Angriffen ausgesetzt. Daher ist es wichtig, Sicherheitslücken in Software dieser Art so schnell wie möglich zu beseitigen. Sich bei der Verteidigung allein auf Antiviren-Programme zu verlassen endet bei akuten Angriffswellen leider auch schon mal mit einer Infektion des Systems, wenn der Virenscanner nicht rechtzeitig mit aktuellen Signaturen versorgt wurde.

(fab)

Source

Categories: Sicherheit

Tags:

Kritische Sicherheitsupdates für Adobe Reader und Acrobat | heise Security

Kritische Sicherheitsupdates für Adobe Reader und Acrobat


Alert!

20.09.2018 15:51 Uhr
Fabian A. Scherschel

Kritische Sicherheitsupdates für Adobe Reader und Acrobat

Anwender der Adobe-Programme Acrobat und Reader sollten diese Programme schnellstmöglich aktualisieren.

Adobe hat kritische Sicherheitsupdates für Adobe Reader und Acrobat herausgegeben. Die Firma empfiehlt, die Updates so schnell wie möglich einzuspielen. Sie beheben eine Reihe von Sicherheitslücken, die schwerwiegendste davon (CVE-2018-12848) erlaubt es Angreifern aus der Ferne, beliebigen Schadcode mit den Rechten des Anwenders auszuführen, wenn dieser ein präpariertes Dokument öffnet.

Nutzer von Acrobat DC und Acrobat Reader DC sollten auf Version 2018.011.20063 aktualisieren. Die Classic-2015-Version dieser Programme sollte mindestens Version 2015.006.30452 haben, um sicher zu sein. Acrobat 2017 und Reader DC 2017 sollten Update 2017.011.30102 eingespielt bekommen. Die Sicherheitslücken betreffen Windows und macOS. Details zu diesen Sicherheitslücken hat Adobe in der Sicherheitsmeldung APSB18-34 veröffentlicht.

(fab)

Source

Categories: Sicherheit

Tags:

Flash könnte Daten leaken, ColdFusion ist für Schadcode anfällig | heise Security

Patchday Adobe: Flash könnte Daten leaken, ColdFusion ist für Schadcode anfällig


Alert!

12.09.2018 09:51 Uhr
Dennis Schirrmacher

Patchday Adobe: Flash kann Daten leaken, ColdFusion ist für Schadcode anfällig

Adobe hat wichtige Sicherheitsupdates veröffentlicht, die unter anderem kritische Lücken schließen.

Die Middleware ColdFusion von Adobe ist unter anderem über mehrere als kritische eingestufte Sicherheitslücken angreifbar. Für den Flash Player gibt es eine neue Version, in der die Entwickler ein Informationsleck gestopft haben. Reparierte Version stehen zum Download bereit. Diese sollten Anwender zügig installieren.

Nutzen Angreifer die Lücken in ColdFusion aus, könnten sie zum Beispiel Informationen abziehen, Dateien überschreiben und sogar Schadcode einschleusen und ausführen. In der Sicherheitswarnung listet Adobe die CVE-Nummern der Lücken auf. Dort findet man auch die betroffenen Versionen. Diese sind unter allen Plattformen angreifbar.

Abgesichert sind die Ausgaben ColdFusion 2018 Update 1, 2016 Update 7 und ColdFusion 11 Update 15. Damit die Patches wirken, müssen Andwender je nach ColdFusion-Version ein aktuelles Java Development Kit (JDK) installiert haben. Näheres dazu steht in der Sicherheitswarnung. Zusätzlich verweist Adobe auf allgemeine Sicherheitshinweise für ColdFusion 11, ColdFusion 2016 und ColdFusion 2018.

Flash

Der Flash Player ist für Chrome OS, Linux, macOS und Windows in der aktuellen Version 31.0.0.108 erschienen. Darin haben die Entwickler eine Sicherheitslücke geschlossen, über die Angreifer unberechtigt auf Informationen auf einem Computer zugreifen könnten. Adobe zufolge sind alle vorigen Ausgaben für derartige Angriffe anfällig. Sie stufen das Sicherheitsupdate als “wichtig” ein.

Auf einer Webseite von Adobe kann man prüfen, welche Version installiert ist. Auf der offiziellen Downloadseite findet man die aktuelle Ausgabe. Wer Windows 8.1 oder 10 mit Internet Explorer 11 oder Edge nutzt, bekommt das Sicherheitsupdate automatisch serviert. Das ist auch bei Chrome der Fall.

(des)

Source

Categories: Sicherheit

Tags:

Angreifer könnten Tor Browser 7 ausspionieren | heise Security

Sicherheitslücke: Angreifer könnten Tor Browser 7 ausspionieren


Alert!

11.09.2018 12:43 Uhr
Dennis Schirrmacher

Sicherheitslücke: Angreifer könnten Tor Browser 7 ausspionieren

Das NoScript-Add-on im anonymisierenden Tor Browser ist mit vergleichsweise einfach Mitteln deaktivierbar. So könnte die Identität von Nutzern aufliegen.

Der eigentlich anonymisierende Tor Browser ist im Versionsstrang 7.x für Spionage-Attacken anfällig. Das soll selbst mit der höchsten Sicherheitseinstellung im Webbrowser der Fall sein. Davor warnt das auf Zero-Day-Exploits spezialisierte Unternehmen Zerodium auf Twitter.

Bedrohte Versionen

Die Schwachstelle findet sich in der Erweiterung NoScript, die standardmäßig beim Tor Browser dabei ist. Das Add-on blockiert auf Webseiten aktive Inhalte wie Adobe Flash oder JavaScript. Aufgrund der Anfälligkeit könnten Angreifer das Add-on abschalten. NoScript soll in den älteren Ausgaben 5.0.4 bis 5.1.8.6 für die Attacke anfällig sein.

Diesen Versionsstrang pflegt der Entwickler noch für Nutzer von Firefox 52 ESR weiter – der dem Tor Browser 7.x als Unterbau dient. Nun hat er die abgesicherte Ausgabe 5.1.8.7 veröffentlicht. Die aktuellen Versionen von NoScript (10.x) für Firefox sind nach derzeitigem Kenntnisstand nicht auf diese Weise angreifbar. Auch der jüngst erschienene Tor Browser 8 soll nicht betroffen sein.

Vergleichsweise einfacher Angriff

Um die Lücke auszunutzen, muss ein Angreifer lediglich den Content-Type einer Webseite ins JSON-Format ändern (“text/html;/json”). Anschließend blockt NoScript keine aktiven Inhalte mehr und Angreifer könnten beispielsweise die IP-Adresse von Opfern auslesen. Wie einfach man NoScript über diesen Weg ausknipsen kann, zeigt ein kurzes Video.

Wer den Tor Browser nutzt, sollte zügig die aktuelle Ausgabe 8 installieren. Wer noch Firefox 52 ESR in Kombination mit NoScript nutzt, sollte auf die Version 5.1.8.7 des Add-ons aktualisieren.

Ende 2015 hat Zerodium eigenen Angaben zufolge eine Million US-Dollar an einen Hacker gezahlt, der einen Jailbreak (untethered) für Apples iOS 9.1 ausfindig gemacht hat. Chaouki Bekrar, Gründer von Zerodium, ist für seine alte Firma Vupen bekannt, die Zero-Day-Exploits unter anderem an die National Security Agency (NSA) verkauft hat.

(des)

Source

Categories: Sicherheit

Tags:

Adobe patcht Creative Cloud außer der Reihe | heise Security

Adobe patcht Creative Cloud außer der Reihe


Alert!

28.08.2018 14:40 Uhr
Dennis Schirrmacher

Adobe patcht Creative Cloud außer der Reihe

Es gibt einen Notfallpatch für das Software-as-a-Service-Angebot von Adobe.

Wer Adobe Creative Cloud unter macOS oder Windows nutzt, sollte sicherstellen, dass die aktuelle Version installiert ist. Ansonsten könnten Angreifer verwundbare Computer attackieren und sich höhere Rechte aneignen. Wie ein Angriff auf die Lücke (CVE-2018-12829) ablaufen könnte, beschreibt Adobe in der Sicherheitswarnung nicht.

Die Softwarefirma stuft das Sicherheitsupdate als “wichtig” ein. Die abgesicherte Ausgabe 4.6.1 steht zum Download bereit. Alle vorigen Versionen sollen angreifbar sein.

(des)

  • Security Consulter
  • Netzwerkcheck
  • Anti-Virus
  • Emailcheck
  • Browsercheck
  • Krypto-Kampagne

Anzeige

Application Software

Anzeige

  • DSGVO: Personenbez. Daten finden und schützen
  • Finden Sie Ihren neuen Job am 26.09. in Karlsruhe
  • Interessante Arbeitgeber: IT-Jobtag Nürnberg
  • 06.09. IT-Jobtag in der IHK Stuttgart
  • Web-Betrug: Wenn Bots Login-Daten missbrauchen
  • Auf digitaler Spurensuche: IT-Forensik als Beruf
  • Special: Erfolg im digitalen Zeitalter
  • eBook: Die Zukunft des IT-Service-Managements
  • Sicherheitslücken – Kampf um ein begehrtes Gut

Online-Sandbox-Services sind echte Fundgruben für Sicherheitsforscher. Hybrid Analysis erleichtert ihnen die Malware-Jagd jetzt mit YARA-Regeln.

Hintergrund

Parisa Tabriz steuert maßgeblich Googles Sicherheits-Aktivitäten und ist damit eine der einflussreichsten Persönlichkeiten der Security-Szene. In ihrer Keynote erklärt sie, worauf es ankommt.

Lesetipp

103 Kommentare

Mit einem ungewohnt ausgefeilten Trojaner machen Online-Ganoven derzeit Jagd auf Gamer: Der Schädling installiert ein Root-Zertifikat und manipuliert damit TLS/SSL-Verbindungen. Er wird über YouTube verbreitet.

Hintergrund


  1. Sind Zeitreisen jetzt doch möglich


    oder wenigstens für Infomationen. So eine Art Zeitfax.

    die Überschrift liest sich so…

    Forum:
    Android-Smartphones durch AT-Modembefehle aus den 80ern angreifbar

    linus22 hat keinen Avatarvon linus22;


  2. Re: Soso, ein Heise Security Alert.


    Irgendjemand muss es ja betreiben. Und cert.org ist jetzt nicht gerade Uni-spezifisch.

    Der inzwischen wieder verfügbar ist. Und außerdem einen…

    Forum:
    Zero-Day-Lücke in Windows, Microsoft-Statement steht noch aus

    fr.osch hat keinen Avatarvon fr.osch;


  3. Re: Notifications unterdrücken ist genau das, was ich jetzt brauche.


    Echt jetzt?

    Um diese Benachrichtigungen zu deaktivieren, brauchst du aber keine Modem-Befehlsmagie, sondern Basiswissen, wie man…

    Forum:
    Android-Smartphones durch AT-Modembefehle aus den 80ern angreifbar

    ComputerNutzer hat keinen Avatarvon ComputerNutzer;

Source

Categories: Sicherheit

Tags:

Photoshop CC ist für Schadcode anfällig | heise Security

Notfall-Patch: Photoshop CC ist für Schadcode anfällig

(Bild: geralt)

Adobe hat außer der Reihe wichtige Sicherheitsupdates für Photoshop CC 2017 und 2018 veröffentlicht.

Nutzer von Photoshop CC 2017 und 2018 unter macOS und Windows sollten sicherstellen, dass sie die aktuellen Versionen installiert haben. Darin hat Adobe zwei kritische Sicherhetslücken geschlossen.

Beide Schwachstellen sollen sich aus der Ferne ausnutzen lassen und dazu führen, dass Angreifer Schadcode ausführen können, warnt Adobe in einer Sicherheitsmitteilung. Die Versionen 18.1.6 und 19.1.6 sind abgesichert. Alle Vorgänger sind Adobe zufolge angreifbar. Im Hilfe-Menü der Anwendungen kann man die Aktualisierung starten.

(des)

Source

Categories: Sicherheit

Tags:

Adobe Acrobat befindet sich in kritischem Zustand | heise Security

Patchday: Adobe Acrobat befindet sich in kritischem Zustand


Alert!

15.08.2018 09:56 Uhr
Dennis Schirrmacher

Patchday: Adobe Acrobat befindet sich in kritischem Zustand

Es gibt wichtige Sicherheitsupdates für Adobe Acrobat, Creative Cloud Desktop, Experience Manager, Flash und Reader.

In verschiedenen Anwendungen von Adobe klaffen zum Teil kritische Sicherheitslücken, für die es nun Patches gibt. Wer betroffene Software nutzt, sollte die abgesicherten Versionen zügig installieren.

Acrobat-Lücken

Verschiedene Ausgaben von Acrobat und Reader sind über als kritisch eingestufte Schwachstellen unter macOS und Windows angreifbar. Nutzen Angreifer die Lücken aus, könnten Sie Adobe zufolge Speicherfehler initiieren und im Anschluss Schadocde ausführen.

Die betroffenen Versionen listet Adobe neben den reparierten Ausgaben in einer Sicherheitswarnung auf. Die Anwendungen sollten sich automatisch aktualisieren. Alternativ kann man ein Update unter dem Menüpunkt “Hilfe” manuell anstoßen. Admins können die Installationsdateien auch herunterladen.

Flash & Co.

Für den Flash Player hat der Software-Hersteller die fehlerbereinigte Version 30.0.0.154 für Chrome OS, Linux, macOS und Windows veröffentlicht – alle vorigen Ausgaben sollen verwundbar sein. Das Update auf den aktuellen Flash Player ordnet Adobe als “wichtig” ein. Setzen Angreifer an den Lücken an, könnten sie sich unter anderem höhere Rechte aneignen und Informationen abziehen.

Drei Sicherheitslücken in Experience Manager hat Adobe mit dem Bedrohungsgrad “moderat” eingestuft. Davon sind verschiedene Ausgaben für alle Plattform betroffen, warnt Adobe. Creative Cloud Desktop Application unter Windows ist anfällig für eine Privilege-Escalation-Attacke. Die aktuelle Version 4.5.5.342 ist abgesichert und steht ab sofort zum Download bereit. Unter dem Reiter “Allgemein” kann man überprüfen, welche Ausgabe auf dem eigenen Computer installiert ist.

(des)

Source

Categories: Sicherheit

Tags: