CVE-2018-5002
Adobe Flash Player Stack-based Buffer Overflow Vulnerability
Beschreibung
CVE-2018-5002 ist eine stackbasierte Pufferüberlauf-Schwachstelle im Adobe Flash Player, die zu Remote-Code-Ausführung führen kann. Durch Ausnutzung dieses Fehlers kann ein Angreifer über speziell präparierte Flash-Inhalte beliebigen Code auf betroffenen Systemen ausführen. CISA hat die aktive Ausnutzung bestätigt und CVE-2018-5002 in den Known Exploited Vulnerabilities Katalog aufgenommen, mit der Maßgabe, dass das betroffene Produkt das Lebensende erreicht hat und bei weiterer Nutzung getrennt werden sollte. Mit einem EPSS-Perzentil von 97,5 % bleibt diese Schwachstelle eine erhebliche Bedrohung für jedes System, auf dem noch Adobe Flash Player installiert ist.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:HIm Rechner öffnenCWEs
Betroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| adobe | flash player desktop runtime | <= 29.0.0.171 |
| adobe | flash player | <= 29.0.0.171 |
| redhat | enterprise linux desktop | 6.0 |
| redhat | enterprise linux server | 6.0 |
| redhat | enterprise linux workstation | 6.0 |
Mehrere CVSS-Bewertungen
CVSS:3.1/AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H
CVSS:3.1/AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H
Referenzen
- http://www.securityfocus.com/bid/104412(Broken Link, Third Party Advisory, VDB Entry)
- http://www.securitytracker.com/id/1041058(Broken Link, Third Party Advisory, VDB Entry)
- https://access.redhat.com/errata/RHSA-2018:1827(Third Party Advisory)
- https://helpx.adobe.com/security/products/flash-player/apsb18-19.html(Patch, Vendor Advisory)
- https://security.gentoo.org/glsa/201806-02(Third Party Advisory)
- https://github.com/cisagov/vulnrichment/issues/196(Issue Tracking)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2018-5002(Third Party Advisory, US Government Resource)
Schwachstellentyp
CWE-121: Stackbasierter Pufferüberlauf
CWE-121 beschreibt eine Schwachstelle, bei der ein Programm Daten in einen Puffer auf dem Stack kopiert, ohne ordnungsgemäße Grenzüberprüfungen durchzuführen, was einem Angreifer ermöglicht, benachbarten Stack-Speicher einschließlich Rücksprungadressen und lokaler Variablen zu überschreiben. Bei CVE-2018-5002 versagt Adobe Flash Player bei der ordnungsgemäßen Validierung der Datenmenge, die in einen Stack-Puffer geschrieben wird, was einem Angreifer ermöglicht, den Puffer zu überlaufen und die Ausführung auf vom Angreifer kontrollierten Code umzuleiten.
Weitere Informationen: CWE-121 — Stack-based Buffer Overflow
Auswirkungsanalyse
CVE-2018-5002 ist eine stackbasierte Pufferüberlauf-Schwachstelle im Adobe Flash Player, die Remote-Code-Ausführung ermöglicht. Der Angriff ist netzwerkbasiert und kann durch bösartige Flash-Inhalte ausgelöst werden, die in Webseiten, Dokumente oder E-Mails eingebettet sind. Keine Authentifizierung ist erforderlich, und die Benutzerinteraktion beschränkt sich auf das Öffnen oder Betrachten von Inhalten mit dem bösartigen Flash-Objekt. Eine erfolgreiche Ausnutzung ermöglicht die Ausführung beliebigen Codes mit den Privilegien des Benutzers, was zu vollständiger Systemkompromittierung führen kann. Das EPSS-Perzentil von 97,5 % weist auf eine extrem hohe Ausnutzungswahrscheinlichkeit hin. Obwohl Flash Player im Dezember 2020 das Lebensende erreicht hat, bleiben alle Systeme, auf denen es noch läuft, kritisch verwundbar für diese und zahlreiche andere Flash-Schwachstellen.
Exploit-Reifegrad
CISA hat die aktive Ausnutzung von CVE-2018-5002 bestätigt und die Schwachstelle in den Known Exploited Vulnerabilities Katalog mit einer Behebungsfrist bis zum 13. Juni 2022 aufgenommen. CISAs erforderliche Maßnahme besagt ausdrücklich, dass das betroffene Produkt das Lebensende erreicht hat und bei weiterer Nutzung getrennt werden sollte. Das EPSS-Perzentil von 97,5 % spiegelt umfangreiche historische und fortlaufende Ausnutzungsaktivität wider. CVE-2018-5002 wurde als Zero-Day in gezielten Angriffen mittels bösartiger Excel-Dokumente ausgenutzt, die eingebettete Flash-Inhalte enthielten. Der Exploit wurde über Spear-Phishing-Kampagnen gegen bestimmte Organisationen ausgeliefert, wobei der Flash-Inhalt Shellcode von einem vom Angreifer kontrollierten Server herunterlud und ausführte.
Behebung
- Deinstallieren Sie Adobe Flash Player umgehend von allen Systemen. Flash Player hat im Dezember 2020 das Lebensende erreicht und erhält keine Sicherheitsupdates mehr. CISAs erforderliche Maßnahme besagt ausdrücklich, dass das Produkt bei weiterer Nutzung getrennt werden sollte.
- Blockieren Sie Flash-Inhalte an der Netzwerkperimeter mittels Web-Proxies, E-Mail-Gateways und Content-Filtering-Lösungen, um Flash-basierte Exploits daran zu hindern, Endgeräte zu erreichen.
- Überprüfen Sie, dass alle Webbrowser Flash Player deaktiviert oder entfernt haben. Moderne Browser haben die Flash-Unterstützung vollständig entfernt, aber Legacy-Browser-Versionen könnten sie noch aktiviert haben.
- Prüfen Sie Unternehmensumgebungen auf verbleibende Flash-Player-Installationen mittels Software-Inventarisierungstools.
- Falls bestimmte Geschäftsanwendungen Flash-Inhalte erfordern, evaluieren Sie die Migration zu modernen HTML5-basierten Alternativen und implementieren Sie strenge Netzwerkisolierung für Systeme, die Flash Player vorübergehend beibehalten müssen.
Technische Details
CVE-2018-5002 ist eine stackbasierte Pufferüberlauf-Schwachstelle in Adobe Flash Players ActionScript-3-Laufzeitumgebung. Die Schwachstelle besteht bei der Verarbeitung bestimmter ActionScript-Operationen, die Daten in stack-allokierte Puffer schreiben, ohne ordnungsgemäße Grenzvalidierung durchzuführen. Ein Angreifer kann Flash-Inhalte (SWF-Dateien) erstellen, die eine Pufferüberlauf-Bedingung auf dem Stack auslösen, wodurch die gespeicherte Rücksprungadresse und andere Kontrolldaten mit vom Angreifer angegebenen Werten überschrieben werden. Der Exploit wurde in freier Wildbahn über speziell präparierte Excel-Dokumente ausgeliefert, die eingebettete Flash-Objekte enthielten — beim Öffnen der Excel-Datei durch das Opfer wurde der Flash-Inhalt geladen und der Exploit ausgelöst. Der Exploit verwendete einen mehrstufigen Nutzlast-Zustellungsmechanismus, bei dem der initiale Flash-Inhalt zusätzlichen Shellcode von einem Remote-Server herunterlud.
Häufig gestellte Fragen
Wird CVE-2018-5002 aktiv ausgenutzt?
Ja, CVE-2018-5002 wurde als Zero-Day in gezielten Spear-Phishing-Kampagnen mit bösartigen Excel-Dokumenten ausgenutzt. CISA hat die Schwachstelle in den KEV-Katalog aufgenommen, und das EPSS-Perzentil von 97,5 % bestätigt umfangreiche Ausnutzung. Da Flash Player das Lebensende erreicht hat, werden keine weiteren Patches veröffentlicht.
Welche Produkte sind von CVE-2018-5002 betroffen?
CVE-2018-5002 betrifft Adobe Flash Player auf allen Plattformen. Da Flash Player im Dezember 2020 das Lebensende erreicht hat und keine Updates mehr erhält, sind alle verbleibenden Installationen dauerhaft verwundbar.
Wie behebe ich CVE-2018-5002?
Deinstallieren Sie Adobe Flash Player vollständig von allen Systemen. Es gibt keinen patchbasierten Fix, da Flash Player das Lebensende erreicht hat. Blockieren Sie Flash-Inhalte auf Netzwerkebene und überprüfen Sie, dass alle Browser die Flash-Unterstützung deaktiviert haben.
Wie schwerwiegend ist CVE-2018-5002?
CVE-2018-5002 ist ein kritischer Pufferüberlauf, der Remote-Code-Ausführung mit einem EPSS-Perzentil von 97,5 % ermöglicht. Die Schwere wird durch den End-of-Life-Status von Flash Player verstärkt, was bedeutet, dass die Schwachstelle nie gepatcht werden wird. Jedes System, auf dem noch Flash Player läuft, ist dauerhaft gefährdet.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.