CVE-2015-3113
Adobe Flash Player Heap-Based Buffer Overflow Vulnerability
Beschreibung
CVE-2015-3113 ist eine Heap-basierte Buffer-Overflow-Schwachstelle in Adobe Flash Player, die einem entfernten Angreifer die Ausführung beliebigen Codes auf dem System des Opfers durch speziell präparierte Flash-Inhalte ermöglicht. Die Schwachstelle wurde als Zero-Day von der APT3-Bedrohungsgruppe (auch bekannt als UPS) in gezielten Phishing-Kampagnen ausgenutzt, bevor ein Patch verfügbar war. CISA hat CVE-2015-3113 in den Known Exploited Vulnerabilities-Katalog aufgenommen. Mit einem EPSS-Score von 97,4 % (99,9. Perzentile) gehört diese Schwachstelle zu den weltweit am häufigsten ausgenutzten Flash-Player-Schwachstellen.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:HIm Rechner öffnenCWEs
Betroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| adobe | flash player | < 13.0.0.296; >= 14.0.0.125, < 18.0.0.194; < 11.2.202.468 |
| opensuse | evergreen | 11.4 |
| opensuse | opensuse | 13.1; 13.2 |
| suse | linux enterprise desktop | 12 |
| suse | linux enterprise workstation extension | 12 |
| hp | insight orchestration | < 7.5.0 |
| hp | system management homepage | < 7.5.0 |
| hp | systems insight manager | < 7.5 |
| hp | version control agent | < 7.5.0 |
| hp | version control repository manager | < 7.5.0; 7.6 |
| hp | virtual connect enterprise manager | < 7.5.0 |
| redhat | enterprise linux desktop | 6.0 |
| redhat | enterprise linux eus | 6.6 |
| redhat | enterprise linux server | 6.0 |
| redhat | enterprise linux workstation | 6.0 |
Mehrere CVSS-Bewertungen
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
CVSS:3.1/AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H
Referenzen
- http://lists.opensuse.org/opensuse-security-announce/2015-06/msg00020.html(Mailing List, Third Party Advisory)
- http://lists.opensuse.org/opensuse-security-announce/2015-06/msg00025.html(Mailing List, Third Party Advisory)
- http://lists.opensuse.org/opensuse-security-announce/2015-07/msg00002.html(Mailing List, Third Party Advisory)
- http://marc.info/?l=bugtraq&m=144050155601375&w=2(Mailing List)
- http://rhn.redhat.com/errata/RHSA-2015-1184.html(Third Party Advisory)
- http://www.securityfocus.com/bid/75371(Broken Link, Third Party Advisory, VDB Entry)
- http://www.securitytracker.com/id/1032696(Broken Link, Third Party Advisory, VDB Entry)
- https://bugzilla.redhat.com/show_bug.cgi?id=1235036(Issue Tracking)
- https://bugzilla.suse.com/show_bug.cgi?id=935701(Issue Tracking)
- https://h20564.www2.hpe.com/portal/site/hpsc/public/kb/docDisplay?docId=emr_na-c04952467(Broken Link)
- https://helpx.adobe.com/security/products/flash-player/apsb15-14.html(Broken Link, Patch, Vendor Advisory)
- https://security.gentoo.org/glsa/201507-13(Third Party Advisory)
- https://www.suse.com/security/cve/CVE-2015-3113.html(Third Party Advisory)
- https://github.com/cisagov/vulnrichment/issues/196(Issue Tracking)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2015-3113(US Government Resource)
Schwachstellentyp
CWE-122: Heap-based Buffer Overflow
CWE-122 beschreibt eine Schwachstelle, bei der ein Buffer Overflow im Heap-Speicherbereich auftritt, typischerweise durch das Schreiben von mehr Daten in einen heap-allokierten Puffer als dieser aufnehmen kann. Bei CVE-2015-3113 enthält Adobe Flash Player einen Heap-basierten Buffer Overflow, der bei der Verarbeitung speziell präparierter Flash-Inhalte ausgelöst wird und es einem Angreifer ermöglicht, angrenzenden Heap-Speicher zu überschreiben und die Code-Ausführung auf angreifergesteuerte Payloads umzuleiten.
Weitere Informationen: CWE-122 — Heap-based Buffer Overflow
Auswirkungsanalyse
CVE-2015-3113 ermöglicht vollständige Remote Code Execution über den Browser, wobei lediglich erforderlich ist, dass das Opfer eine Webseite oder E-Mail mit schädlichem Flash-Inhalt ansieht. Vertraulichkeit, Integrität und Verfügbarkeit des Zielsystems werden vollständig kompromittiert. Die Nutzung der Schwachstelle durch APT3 für gezielte Spionagekampagnen demonstriert ihre Wirksamkeit als Präzisionswaffe gegen hochwertige Ziele in den Bereichen Luft- und Raumfahrt, Verteidigung und Technologie. Der Heap Overflow machte diese Schwachstelle zudem über verschiedene Systemkonfigurationen hinweg zuverlässig ausnutzbar.
Exploit-Reifegrad
CVE-2015-3113 wurde als Zero-Day von der APT3-Gruppe in gezielten Phishing-Kampagnen gegen Organisationen in der Luft- und Raumfahrt sowie im Verteidigungssektor ausgenutzt, bevor ein Patch verfügbar war. Der EPSS-Score von 97,4 % (99,9. Perzentile) bestätigt nahezu sichere Ausnutzung. Nach der Offenlegung wurde die Schwachstelle schnell in kommerzielle Exploit-Kits für Massenausnutzung integriert.
Behebung
- Pflichtmaßnahme laut CISA KEV: Entfernen Sie Adobe Flash Player vollständig — Flash Player hat am 31. Dezember 2020 das End of Life erreicht und erhält keine Sicherheitsupdates mehr.
- Verifizieren Sie die vollständige Entfernung von Flash Player von allen Systemen, einschließlich Browser-Plugins und Standalone-Installationen.
- Blockieren Sie Flash-Inhalte an Netzwerkperimetern und in Browser-Richtlinien.
- Für Organisationen mit Legacy-Flash-Abhängigkeiten implementieren Sie striktes Application-Sandboxing und Netzwerkisolierung.
- Führen Sie eine forensische Überprüfung von Systemen durch, die Flash Player während des aktiven Ausnutzungszeitraums (Juni–Juli 2015) ausgeführt haben.
Technische Details
CVE-2015-3113 ist ein Heap-basierter Buffer Overflow in Adobe Flash Player, der durch fehlerhafte FLV-Daten (Flash Video) in SWF-Inhalten ausgelöst wird. Wenn der Flash Player den präparierten FLV-Stream verarbeitet, allokiert er einen Heap-Puffer, der für die eingehenden Daten nicht ausreicht, wodurch ein Schreibvorgang über die Puffergrenze hinaus erfolgt. Der Angreifer kontrolliert die Überlaufdaten sorgfältig, um angrenzende Heap-Metadaten oder Funktionszeiger zu überschreiben und die Programmausführung mittels Heap-Spray-Techniken auf Shellcode an einer vorhersagbaren Heap-Position umzuleiten. APT3 lieferte den Exploit über Spear-Phishing-E-Mails mit Links zu angreifergesteuerten Webservern aus.
Häufig gestellte Fragen
Wird CVE-2015-3113 aktiv ausgenutzt?
Ja. CVE-2015-3113 wurde als Zero-Day von APT3 ausgenutzt und anschließend in Exploit-Kits integriert. Sie ist im CISA-KEV-Katalog mit einem EPSS-Score in der 99,9. Perzentile gelistet.
Welche Produkte sind von CVE-2015-3113 betroffen?
CVE-2015-3113 betrifft Adobe Flash Player auf allen unterstützten Plattformen. Flash Player ist End-of-Life und sollte vollständig von allen Systemen entfernt werden.
Wie behebe ich CVE-2015-3113?
Entfernen Sie Adobe Flash Player vollständig. Es sind keine Patches verfügbar, da Flash Player eingestellt wurde. Blockieren Sie Flash-Inhalte in allen Browsern und an Netzwerkperimetern.
Wie schwerwiegend ist CVE-2015-3113?
CVE-2015-3113 ist ein kritischer Heap-Buffer-Overflow, der Remote Code Execution über Web-Browsing ermöglicht. Die Nutzung als Zero-Day durch eine staatliche Bedrohungsgruppe für gezielte Spionage bestätigt ihre Schwere als waffenfähige Schwachstelle.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.