Rejtélyes hibák a Flash Playerben

Az Adobe fejlesztői mostanában biztosan nem unatkoznak, hiszen csak néhány nappal ezelőtt került napvilágra egy Adobe Reader és Acrobat szoftvereket érintő, nulladik napi sebezhetőség, és máris újabb biztonsági hibákra derült fény. Ezúttal a Flash Player került célkeresztbe.

A hibákra az Intevydis kutatói akadtak rá, és rögtön közölték is, hogy nem tervezik kiadni az Adobe számára a biztonsági réssel kapcsolatos összes információjukat. Ez nem igazán meglepő, hiszen Evgeny Legerov, a cég elnök-vezérigazgatója már két évvel ezelőtt jelezte, hogy nem fognak megosztani mélyreható információkat a felfedezéseikről, legalábbis ingyen nem. Az általuk feltárt rendellenességekkel kapcsolatos technikai adatokat és a kifejlesztett exploitokat leginkább arra kívánják felhasználni, hogy a védelmi alkalmazásaikat felkészítsék a legújabb fenyegetettségekre, és ezáltal védjék az ügyfeleik rendszereit. Ezzel a szemléletmóddal egyébként nincs egyedül a cég, hiszen például a francia Vupen is csak a megfelelő szolgáltatására előfizető ügyfeleinek ad ki részletes technikai információkat.

A Flash Player két sérülékenységéről azonban ezúttal annyi információ mégis kiszivárgott, amennyi alapján a US-CERT meg tudta erősíteni azok létezését. Bebizonyosodott, hogy a biztonsági rések kihasználásával kártékony kódok jogosulatlan távoli futtatására nyílhat lehetőség. Legerov szerint az általuk kifejlesztett exploit révén megkerülhetővé válhatnak a Windows DEP és ASLR védelmi vonalai, és egyes esetekben a böngészőkbe integrált sandbox-ok is. Az exploit jelenleg Windows operációs rendszeren működik, de a kutatók ígéretet tettek arra, hogy a Mac OS X kompatibilis változatot is elkészítik.

A most napvilágra került sebezhetőségek speciálisan összeállított Flash állományok megnyitásakor, lejátszásakor jelenthetnek kockázatot. A kutatók állítása szerint károkozásra akkor is lehetőség nyílhat, ha a káros Flash objektumok PDF-fájlokban kapnak helyet.

Az Adobe egyelőre nem adott ki biztonsági közleményt a két sérülékenységgel kapcsolatban.