Adobe verspreidt noodpatch voor Flash Player

In een toelichting op zijn website meldt Adobe dat 'in het wild' al gerichte aanvallen zijn gesignaleerd die het lek in Flash Player uitbuiten. Deze aanvallen mikken tot dusver alleen op gebruikers van Internet Explorer (IE), de webbrowser van Microsoft. Maar in principe gaan alle versies van Flash Player, ook die voor andere browsers, mank aan het euvel.

Redactie AG ConnectMeer van deze auteur

Adobe heeft aan de extra beveiligingsupdate prioriteit 1 meegegeven, wat erop duidt dat een beveiligingslek al wordt misbruikt of dat de kans groot is dat dit binnenkort gebeurt. Gebruikers van alle browsers doen er daarom verstandig aan de patch zo snel mogelijk – Adobe adviseert: binnen 72 uur – aan te brengen.

Aanvaller kan controle over pc overnemen

Over de exacte aard van de kwetsbaarheid laat Adobe in zijn waarschuwing weinig los. In zijn security bulletin van 4 mei spreekt het bedrijf van een ‘object confusion vulnerability’, met als toelichting dat deze kwetsbaarheid “kan veroorzaken dat de applicatie crasht en een aanvaller potentieel toestaat de controle over het aangetaste systeem te krijgen”.

De gesignaleerde aanvallen op gebruikers van Internet Explorer zijn doelgericht. Ze zijn ontworpen om de gebruiker ertoe te verleiden op een kwaadaardig bestand te klikken dat via een e-mailbericht binnenkomt. In het geval van IE is de Flash Player een ‘plug-in’ die is gebaseerd op ActiveX, een technologie die alleen Microsoft gebruikt. De uitbreidingen voor andere browsers maken gebruik van een andere plug-in-methodiek.

Updates verschillen per besturingssysteem en browser

Voor Windows, Linux en Mac OS X geldt dat de versies 11.2.202.233 en ouder van Flash Player kwetsbaar zijn. De update zorgt ervoor dat op de pc versie 11.2.202.235 wordt geïnstalleerd. Voor als men geen updates kan uitvoeren heeft Adobe ook een nieuwe versie voor download beschikbaar.
Gebruikers van Google Chrome hoeven niet actief in te grijpen, omdat deze browser automatisch updates ontvangt. Google blijkt de patch van Adobe al op 30 april stilletjes te hebben verspreid.
Gebruikers van Android 4.x met Flash Player 11.1.115.7 en eerder dienen een update uit te voeren naar versie 11.1.115.8. Wie met Android 3.x werkt en nu nog Flash Player 11.1.111.8 of ouder heeft, moet updaten naar versie 11.1.111.9 om veilig te zijn voor de genoemde aanval. De updates zijn te vinden op Google Play, de online-appstore voor Android.

In het security bulletin legt Adobe uit hoe gebruikers zelf kunnen vaststellen welke versie van Flash Player op hun systeem is geïnstalleerd.