Flash Player: Adobe bezieht Stellung zum Update

In der vergangenen Woche teilte der Sicherheitsexperte Tavis Ormandy von Google mit, dass Adobe im Zuge der Veröffentlichung der letzten Flash-Player-Version deutlich mehr Lücken als angegeben geschlossen hat. Auf diesen Sachverhalt hat nun der Sicherheitsbeauftragte Brad Arkin von Adobe reagiert und eine offizielle Stellungnahme dazu veröffentlicht. Seinen getroffenen Angaben zufolge wurde die von Ormandy gefundenen Fehler nicht explizit als Sicherheitslücken angesprochen, da sie im Rahmen des Secure Product Lifecycle (SPLC) ausfindig gemacht wurden.

Aus diesem Grund hat Adobe die Schwachstellen auch nicht mit einer eindeutigen CVE-Nummer versehen. Dafür sind nur öffentlich bekannt gewordene Lücken vorgesehen. Offenbar hält Adobe an dieser Handhabung auch dann fest, wenn ein Mitarbeiter eines anderen Unternehmen darauf aufmerksam macht. Im Hinblick auf Sicherheitslücken im Flash Player arbeiten Google und Adobe seit einiger Zeit zusammen.

400 Sicherheitslücken soll Adobe unterschlagen haben, behauptete der Sicherheitsexperte des US-amerikanischen Internetkonzerns in der letzten Woche. Im Hause Adobe ist man der Meinung, dass Ormandy in Wirklichkeit gut 100 Fehler finden konnte, welche zu über 400 Abstürzen geführt haben.

Für seine großartige Hilfe im Hinblick auf die Verbesserung der Sicherheit beim Flash Player dankte Adobe dem Google-Mitarbeiter bereits bei der Veröffentlichung der neuen Flash-Player-Version. Da sich Ormandy damit aber nicht zufrieden gab, hat man für die gefundenen Fehler nun eine eigene CVE-Nummer (CVE-2011-2424) erstellt. Darunter wird die komplette Fehlersammlung zusammengefasst.