Zero day-lek in Flash Player gebruikt voor aanvallen op IE
Adobe heeft een beveiligingsupdate voor Flash Player uitgebracht die in totaal 17 kwetsbaarheden verhelpt, waaronder een zero day-lek dat bij gerichte aanvallen tegen gebruikers van Microsoft Internet Explorer werd ingezet, zo heeft het softwarebedrijf bekendgemaakt.
De kwetsbaarheid, aangeduid als CVE-2016-7892, zou op beperkte schaal bij gerichte aanvallen zijn gebruikt tegen 32-bit versies van Internet Explorer op Windows. Via het beveiligingslek kan een aanvaller de computer volledig overnemen. Het openen van een besmette of gehackte pagina of het te zien krijgen van een besmette advertentie is hiervoor voldoende. Het beveiligingslek werd door een anonieme onderzoeker aan Adobe gerapporteerd.
Adobe adviseert Mac- en Windows-gebruikers om binnen 72 uur naar Flash Player versie 24.0.0.186 te updaten. Dit kan via de automatische updatefunctie of Adobe.com. In het geval van Google Chrome, Internet Explorer 11 op Windows 8.1 en Internet Explorer 11 en Microsoft Edge op Windows 10 zal de embedded Flash Player via de browser worden geüpdatet. Via deze pagina van Adobe kan worden gecontroleerd welke versie op het systeem is geïnstalleerd.
Geachte Redactie van security.nl,
Wij verzoeken u vrijwillig berichtgeving over zero-days en beschikbare updates voor software te staken.
U frustreert met deze berichtgeving ons legale opsporingswerk daar wij gebruikmaken van zero-days.
Wij willen u er ten overvloede op wijzen dat uw nieuws artikelen in strijd zijn met uw eigen regels
"Plaats geen illegale content of links naar deze content."
Het frustreren van politiewerk achten wij als wettelijk ongewenst.
Om te voorkomen dat wij genoodzaakt zijn de rechter te laten beoordelen waar de grens ligt tussen de door u genomen vrijheden en wettelijk ongewenst danwel illegaal, verzoeken wij u met klem gehoor te geven aan uw eigen gedragscode en berichtgeving over zero-days en software patches per onmiddelijke ingang te staken.
Op uw medewerking per omgaande vertrouwende,
Hoogachtend, '
Is het denkbaar in de toekomst, een dergelijk verzoek op basis van de bekende vraagweg om rechterlijke bemoeienis te omzeilen?
Je kan het altijd proberen.
Niet geschoten is altijd mis.
Waar ligt de grens en voor wie?
Adobe heeft dit ook duidelijk aangegeven.
Maar het vervelende is dat de links op die website ook (nog) niet werken!
De plugin voor Firefox wel, maar de ActiveX voor IE niet.
Zijn er nog meer mensen met dit probleem?
Install:
msiexec /i install_flash_player_24_active_x.msi /qb /norestart ISCHECKFORPRODUCTUPDATES=0
msiexec /i install_flash_player_24_plugin.msi /qb /norestart ISCHECKFORPRODUCTUPDATES=0
Vergeet de mms.cfg niet in c:\Windows\System32\Macromed\Flash voorzien met de inhoud:
AutoUpdateInterval=0
AutoUpdateDisable=1
SilentAutoUpdateEnable=0
Cheers,
Gundog
Dank adobe.
https://helpx.adobe.com/flash-player/kb/installation-problems-flash-player-windows.html
BelarcAdvisor noemt versie 24.0.0.186 vulnerable zonder beschikbare security update. Misverstand of is er nog een zero day?
En wat als je dat nu niet doet, wat zijn dan de konsekwenties? Komt Adobe het persoonlijk voor je updaten? Waarom moet dit binnen die 72 uur? Stopt je computer met werken als uur 73 nadert? Loopt er ergens een timer die de stroom eraf gooit als hij op nul komt? Of word je persoonlijk aangevallen als je na die 72 uur de update nog niet binnen hebt?
Deze posting is gelocked. Reageren is niet meer mogelijk.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
