Niebezpieczny Flash

Firma Foreground Security odkryła w Adobe Flash błąd, który naraża na niebezpieczeństwo użytkowników olbrzymiej liczby witryn WWW. Dzięki tej dziurze przestępcy mogą zaatakować osoby korzystające z takich stron, które umożliwiają użytkownikom wgrywanie doń własnej zawartości.

Mike Bailey z Foreground mówi, że problem leży w polityce bezpieczeństwa Flash. Daje ona dostęp plikom tego typu tylko do obiektów znajdujących się w tej samej domenie. To jednak oznacza, że przestępca może załadować odpowiednio spreparowany szkodliwy plik Flash np. na swoje konto w serwisie społecznościowym i zaatakować innych użytkowników tego serwisu.

Odkrywcy dziury mówią, że łatwo ją wykorzystać. Przygotowali też prototypowy atak i wyjaśnili jego działanie. Posłużyli się tutaj przykładem forum, na którym użytkownicy mogą umieszczać własne avatery. Cyberprzestępca może zatem wgrać na serwer szkodliwy plik Flash, który wygląda jak avater. Każdy, kto otworzy stronę z tym avaterem będzie narażony na atak.

Przedstawiciele Adobe, producenta Flasha, mówią, że problemu nie można usunąć wydając łatkę do Flasha. Ich zdaniem, problem leży w samym wykorzystywaniu aktywnych skryptów na witrynach WWW. Jeśli tylko użytkownicy mają prawo do wgrywania na witrynie własnych plików, mechanizm taki może zostać wykorzystany do przeprowadzenia ataku.

Bezpieczeństwo można zwiększyć przechowując pliki użytkowników w innej domenie, rezygnując z Flasha lub stosując mechanizmy blokujące tego typu elementy na stronie.