CVE-2015-5123
Adobe Flash Player Use-After-Free Vulnerability
Beschreibung
CVE-2015-5123 ist eine Use-After-Free-Schwachstelle in Adobe Flash Player, die einem entfernten Angreifer die Ausführung beliebigen Codes auf dem System des Opfers durch speziell präparierte Flash-Inhalte über einen Webbrowser ermöglicht. Die Schwachstelle wurde im Rahmen des Hacking-Team-Datenlecks 2015 offengelegt und wurde als Zero-Day aktiv ausgenutzt, bevor ein Patch verfügbar war. CISA hat CVE-2015-5123 in den Known Exploited Vulnerabilities-Katalog aufgenommen. Mit einem EPSS-Score von 97,3 % (99,9. Perzentile) gehört diese Schwachstelle zu den am häufigsten ausgenutzten Flash-Player-Schwachstellen der Geschichte.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:HIm Rechner öffnenBetroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| redhat | enterprise linux desktop | 5.0; 6.0 |
| redhat | enterprise linux server | 5.0; 6.0 |
| redhat | enterprise linux server eus | 6.6 |
| redhat | enterprise linux workstation | 5.0; 6.0 |
| opensuse | evergreen | 11.4 |
| suse | linux enterprise desktop | 11; 12 |
| suse | linux enterprise workstation extension | 12 |
| adobe | flash player | >= 11.0, <= 11.2.202.481; >= 13.0, <= 13.0.0.302; >= 18.0, <= 18.0.0.203 |
| adobe | flash player desktop runtime | >= 18.0, <= 18.0.0.203 |
Mehrere CVSS-Bewertungen
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
CVSS:3.1/AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H
Referenzen
- http://blog.trendmicro.com/trendlabs-security-intelligence/new-zero-day-vulnerability-cve-2015-5123-in-adobe-flash-emerges-from-hacking-team-leak/(Broken Link, Third Party Advisory)
- http://lists.opensuse.org/opensuse-security-announce/2015-07/msg00028.html(Mailing List, Third Party Advisory)
- http://lists.opensuse.org/opensuse-security-announce/2015-07/msg00029.html(Mailing List, Third Party Advisory)
- http://lists.opensuse.org/opensuse-security-announce/2015-07/msg00032.html(Mailing List, Third Party Advisory)
- http://marc.info/?l=bugtraq&m=144050155601375&w=2(Mailing List, Third Party Advisory)
- http://rhn.redhat.com/errata/RHSA-2015-1235.html(Third Party Advisory)
- http://www.kb.cert.org/vuls/id/918568(Third Party Advisory, US Government Resource)
- http://www.securityfocus.com/bid/75710(Broken Link, Third Party Advisory, VDB Entry)
- http://www.securitytracker.com/id/1032890(Broken Link, Third Party Advisory, VDB Entry)
- http://www.us-cert.gov/ncas/alerts/TA15-195A(Third Party Advisory, US Government Resource)
- https://h20564.www2.hp.com/portal/site/hpsc/public/kb/docDisplay?docId=emr_na-c04796784(Broken Link, Third Party Advisory)
- https://helpx.adobe.com/security/products/flash-player/apsa15-04.html(Broken Link, Vendor Advisory)
- https://helpx.adobe.com/security/products/flash-player/apsb15-18.html(Broken Link, Vendor Advisory)
- https://security.gentoo.org/glsa/201508-01(Third Party Advisory)
- https://github.com/cisagov/vulnrichment/issues/196(Issue Tracking)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2015-5123(US Government Resource)
Schwachstellentyp
CWE-416: Use After Free
CWE-416 beschreibt eine Schwachstelle, bei der Software auf Speicher zugreift, nachdem dieser freigegeben wurde, was zu Programmabstürzen, Ausführung beliebigen Codes oder anderem unerwarteten Verhalten führen kann. Bei CVE-2015-5123 enthält Adobe Flash Player eine Use-After-Free-Bedingung in der DisplayObject-Klasse, die durch speziell präparierte Flash-Inhalte ausgelöst werden kann.
Weitere Informationen: CWE-416 — Use After Free
Auswirkungsanalyse
CVE-2015-5123 ermöglicht vollständige Remote Code Execution über den Browser, wobei lediglich erforderlich ist, dass das Opfer eine Webseite besucht oder eine Werbung mit schädlichem Flash-Inhalt ansieht. Die Vertraulichkeitsauswirkung ist vollständig — der Code des Angreifers läuft mit den Rechten des Benutzers und kann auf alle Dateien, Zugangsdaten und Daten des Systems zugreifen. Die Integritätsauswirkung ist ebenso umfassend und ermöglicht die Installation von Malware, Backdoors und Rootkits. Die Verfügbarkeit kann durch Ransomware oder destruktive Payloads vollständig kompromittiert werden. Das Zero-Click-Ausnutzungsmodell über Web-Browsing und die Ausnutzung vor Verfügbarkeit eines Patches durch das Hacking Team demonstrieren die Schwere dieser Schwachstelle.
Exploit-Reifegrad
CVE-2015-5123 wurde als Zero-Day-Schwachstelle ausgenutzt, bevor ein Patch existierte, nachdem sie im geleakten Hacking-Team-Arsenal im Juli 2015 entdeckt wurde. Der EPSS-Score von 97,3 % (99,9. Perzentile) bestätigt sie als eine der am häufigsten ausgenutzten Flash-Player-Schwachstellen weltweit. Mehrere Exploit-Kits integrierten diese Schwachstelle für Drive-by-Download-Kampagnen, und staatliche Akteure nutzten sie für gezielte Überwachungsoperationen.
Behebung
- Pflichtmaßnahme laut CISA KEV und Adobe End-of-Life: Entfernen Sie Adobe Flash Player vollständig von allen Systemen — Flash Player hat am 31. Dezember 2020 das End of Life erreicht und erhält keine Sicherheitsupdates mehr.
- Verifizieren Sie, dass Flash Player von allen Systemen entfernt wurde, einschließlich älterer Installationen, die bei der Migration möglicherweise übersehen wurden.
- Konfigurieren Sie Webbrowser so, dass Flash-Inhalte blockiert werden, und stellen Sie sicher, dass eingebettete Flash-Plugins deaktiviert sind.
- Für Legacy-Anwendungen, die Flash erfordern, implementieren Sie Anwendungsisolierung durch virtuelle Maschinen oder Container ohne Netzwerkzugang zu sensiblen Ressourcen.
- Überprüfen Sie Systeme, die zuvor Flash Player ausgeführt haben, auf verbliebene Malware oder persistenten Zugang.
Technische Details
CVE-2015-5123 ist eine Use-After-Free-Schwachstelle in der DisplayObject-Klassen-Implementierung von Adobe Flash Player. Wenn speziell konstruierter ActionScript-Code bestimmte Objekt-Lebenszyklus-Operationen auslöst, gibt der Flash Player eine DisplayObject-Speicherzuweisung frei, behält aber eine Referenz auf die freigegebene Speicherstelle. Der nachfolgende Zugriff auf diesen Dangling Pointer ermöglicht es dem Angreifer, den Inhalt des neu zugewiesenen Speichers zu kontrollieren und mittels Heap-Spray-Techniken den Ausführungsfluss auf angreifergesteuerten Shellcode umzuleiten. Die Schwachstelle wird durch eingebettete SWF-Inhalte ausgelöst, die vom Flash-Player-Browser-Plugin verarbeitet werden.
Häufig gestellte Fragen
Wird CVE-2015-5123 aktiv ausgenutzt?
Ja. CVE-2015-5123 wurde ursprünglich als Zero-Day vom Hacking Team ausgenutzt und anschließend in mehrere Exploit-Kits integriert. Sie ist im CISA-KEV-Katalog mit einem EPSS-Score in der 99,9. Perzentile gelistet.
Welche Produkte sind von CVE-2015-5123 betroffen?
CVE-2015-5123 betrifft Adobe Flash Player auf allen Plattformen, einschließlich Windows, macOS und Linux. Flash Player hat im Dezember 2020 das End of Life erreicht und sollte vollständig von allen Systemen entfernt werden.
Wie behebe ich CVE-2015-5123?
Entfernen Sie Adobe Flash Player vollständig von allen Systemen. Flash Player ist End-of-Life und erhält keine Sicherheitsupdates mehr. Blockieren Sie Flash-Inhalte in allen Webbrowsern.
Wie schwerwiegend ist CVE-2015-5123?
CVE-2015-5123 ist eine kritische Remote-Code-Execution-Schwachstelle, die als Zero-Day ausgenutzt wurde. Der EPSS-Score in der 99,9. Perzentile bestätigt sie als eine der am häufigsten ausgenutzten Flash-Schwachstellen. Die primäre Abhilfe ist die vollständige Entfernung von Flash Player.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.