CVE-2018-4878
Adobe Flash Player Use-After-Free Vulnerability
Beschreibung
CVE-2018-4878 ist eine Use-After-Free-Schwachstelle mit hohem Schweregrad in Adobe Flash Player vor Version 28.0.0.161. Die Schwachstelle entsteht durch einen Dangling Pointer im Primetime SDK im Zusammenhang mit der Verarbeitung von Listener-Objekten des Media Players, wodurch Angreifer beliebigen Code ausführen können. CVE-2018-4878 wurde im Januar und Februar 2018 aktiv ausgenutzt, wobei nordkoreanische Bedrohungsakteure südkoreanische Ziele angriffen. CISA hat diese Adobe Flash Player-Schwachstelle in den Known Exploited Vulnerabilities-Katalog aufgenommen, und mit einem EPSS-Score von 93,3 % (99,8. Perzentile) ist eine Ausnutzung nahezu sicher. Diese Schwachstelle wird auch in Ransomware-Kampagnen eingesetzt.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:HIm Rechner öffnenBetroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| adobe | flash player | < 28.0.0.161 |
| redhat | enterprise linux desktop | 6.0 |
| redhat | enterprise linux server | 6.0 |
| redhat | enterprise linux workstation | 6.0 |
Mehrere CVSS-Bewertungen
CVSS:3.1/AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H
CVSS:3.1/AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H
Referenzen
- http://blog.talosintelligence.com/2018/02/group-123-goes-wild.html(Technical Description, Third Party Advisory)
- http://www.securityfocus.com/bid/102893(Broken Link)
- http://www.securitytracker.com/id/1040318(Broken Link)
- https://access.redhat.com/errata/RHSA-2018:0285(Third Party Advisory)
- https://blog.morphisec.com/flash-exploit-cve-2018-4878-spotted-in-the-wild-massive-malspam-campaign(Third Party Advisory)
- https://github.com/InQuest/malware-samples/tree/master/CVE-2018-4878-Adobe-Flash-DRM-UAF-0day(Third Party Advisory)
- https://github.com/vysec/CVE-2018-4878(Third Party Advisory)
- https://helpx.adobe.com/security/products/flash-player/apsb18-03.html(Vendor Advisory)
- https://securingtomorrow.mcafee.com/mcafee-labs/hackers-bypassed-adobe-flash-protection-mechanism/(Exploit, Third Party Advisory)
- https://threatpost.com/adobe-flash-player-zero-day-spotted-in-the-wild/129742/(Third Party Advisory)
- https://www.darkreading.com/threat-intelligence/adobe-flash-vulnerability-reappears-in-malicious-word-files/d/d-id/1331139(Press/Media Coverage, Third Party Advisory)
- https://www.exploit-db.com/exploits/44412/(Exploit, Third Party Advisory, VDB Entry)
- https://www.fireeye.com/blog/threat-research/2018/02/attacks-leveraging-adobe-zero-day.html(Third Party Advisory)
- https://www.trendmicro.com/vinfo/us/security/news/vulnerabilities-and-exploits/north-korean-hackers-allegedly-exploit-adobe-flash-player-vulnerability-cve-2018-4878-against-south-korean-targets(Technical Description, Third Party Advisory)
- https://github.com/cisagov/vulnrichment/issues/196(Issue Tracking)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2018-4878(Third Party Advisory, US Government Resource)
Schwachstellentyp
CWE-416: Verwendung nach Freigabe
In Adobe Flash Player tritt die Use-After-Free-Schwachstelle auf, wenn das Primetime SDK weiterhin auf ein Media-Player-Listener-Objekt verweist, nachdem der Speicher freigegeben wurde. Sobald der Speicher freigegeben ist, kann er für andere Zwecke neu allokiert werden, und wenn der Dangling Pointer anschließend dereferenziert wird, können Angreifer beliebigen Code ausführen, indem sie den Inhalt des freigegebenen Speicherbereichs kontrollieren.
Weitere Informationen: CWE-416 — Verwendung nach Freigabe
Auswirkungsanalyse
CVE-2018-4878 hat einen CVSS 3.1-Score von 7,8 (HIGH) und stellt eine ernsthafte Sicherheitsbedrohung dar. Die Schwachstelle erfordert lokalen Zugriff und Benutzerinteraktion zur Ausnutzung, typischerweise durch ein bösartiges Dokument oder eine Webseite, die die Use-After-Free-Bedingung in Flash Player auslöst. Es ist keine Authentifizierung erforderlich, und die Angriffskomplexität ist gering. Eine erfolgreiche Ausnutzung führt zu hohen Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit und gewährt Angreifern volle Kontrolle über das betroffene System. Der EPSS-Score von 93,3 % zeigt eine nahezu sichere Ausnutzungsaktivität an, und die Schwachstelle wird bekanntermaßen in Ransomware-Kampagnen eingesetzt, was das Risiko für Organisationen mit noch laufenden Flash Player-Installationen erheblich erhöht.
Exploit-Reifegrad
CVE-2018-4878 verfügt über einen umfangreichen Exploit-Reifegrad mit bestätigter aktiver Ausnutzung in freier Wildbahn. CISA hat diese Schwachstelle im Known Exploited Vulnerabilities-Katalog gelistet, und Ransomware-Betreiber nutzen sie bekanntermaßen aus. Öffentlich verfügbarer Exploit-Code für CVE-2018-4878 ist über die Exploit Database verfügbar, und zusätzlicher Proof-of-Concept-Code wird auf GitHub gehostet. Nordkoreanische Bedrohungsakteure nutzten diese Schwachstelle in gezielten Kampagnen gegen südkoreanische Organisationen mittels bösartiger Word-Dokumente mit eingebettetem Flash-Inhalt. Der EPSS-Score von 93,3 % (99,8. Perzentile) bestätigt eine nahezu sichere Ausnutzungsaktivität.
Behebung
- Adobe Flash Player sofort trennen und entfernen. Gemäß der CISA-KEV-Pflichtmaßnahme: Das betroffene Produkt ist End-of-Life und sollte getrennt werden, falls noch in Verwendung. Flash Player erreichte am 31. Dezember 2020 sein End-of-Life.
- Stellen Sie sicher, dass alle Instanzen von Adobe Flash Player vor Version 28.0.0.161 von allen Systemen deinstalliert wurden, einschließlich der mit Red Hat Enterprise Linux Desktop 6.0, Server 6.0 und Workstation 6.0 gebündelten Versionen.
- Blockieren Sie Flash-Inhalte am Netzwerkperimeter, indem Sie Web-Proxys und Firewalls konfigurieren, um SWF-Datei-Downloads und Flash-basierte Inhalte zu unterbinden.
- Setzen Sie Browser-Richtlinien ein, die Flash Player-Plugins in allen verwalteten Browsern deaktivieren und Click-to-Play-Einschränkungen als Fallback erzwingen.
- Führen Sie ein Threat Hunting auf Endpunkten durch, um nach Kompromittierungsindikatoren im Zusammenhang mit CVE-2018-4878-Ausnutzung zu suchen, einschließlich verdächtiger Word-Dokumente mit eingebetteten Flash-Objekten.
Technische Details
CVE-2018-4878 ist eine Use-After-Free-Schwachstelle im Adobe Flash Player Primetime SDK, speziell in der Verarbeitung von Media-Player-Listener-Objekten. Wenn ein Listener-Objekt freigegeben wird, aber sein Pointer weiterhin von der Flash-Runtime referenziert wird, ermöglichen nachfolgende Operationen auf dem Dangling Pointer Angreifern die Korruption des Heap-Speichers. Der CVSS-Vektor CVSS:3.1/AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H zeigt, dass der Angriffsvektor lokal ist (der Benutzer muss eine bösartige Datei öffnen), die Angriffskomplexität jedoch gering ist und keine Privilegien über die Benutzerinteraktion hinaus erforderlich sind. Die Ausnutzung erfolgte typischerweise über bösartige Microsoft Word-Dokumente mit eingebetteten Flash-SWF-Objekten, die die Use-After-Free-Bedingung auslösten und Angreifern die Ausführung von Shellcode mit den Privilegien des laufenden Prozesses ermöglichten.
Häufig gestellte Fragen
Wird CVE-2018-4878 aktiv ausgenutzt?
Ja. CVE-2018-4878 wird seit Januar 2018 aktiv ausgenutzt, hauptsächlich von nordkoreanischen Bedrohungsakteuren gegen südkoreanische Organisationen. CISA hat die aktive Ausnutzung durch Aufnahme in den KEV-Katalog bestätigt, und die Schwachstelle wird in Ransomware-Kampagnen eingesetzt.
Welche Produkte sind von CVE-2018-4878 betroffen?
CVE-2018-4878 betrifft Adobe Flash Player-Versionen vor 28.0.0.161 auf allen Plattformen. Zusätzlich sind Red Hat Enterprise Linux Desktop 6.0, Server 6.0 und Workstation 6.0 durch gebündelte Flash Player-Pakete betroffen.
Wie behebe ich CVE-2018-4878?
Die effektivste Behebung ist die vollständige Deinstallation von Adobe Flash Player, da das Produkt am 31. Dezember 2020 End-of-Life erreicht hat und keine Sicherheitsupdates mehr erhält. Blockieren Sie Flash-Inhalte auf Netzwerkebene und entfernen Sie alle Flash Player-Plugins aus verwalteten Browsern.
Wie schwerwiegend ist CVE-2018-4878?
CVE-2018-4878 hat einen CVSS 3.1-Score von 7,8 (HIGH) und einen EPSS-Score von 93,3 % (99,8. Perzentile), was eine nahezu sichere Ausnutzung anzeigt. Die Schwachstelle ermöglicht beliebige Code-Ausführung und wird aktiv in Ransomware-Kampagnen eingesetzt.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.