Odkryto ogromną lukę w Adobe Flash, zalecamy natychmiastową aktualizację
Technologia Adobe Flash to coś, co pozwala nam na korzystanie w Internecie z multimediów, a zarazem coś, co bardzo często naraża nas na niebezpieczeństwo. Stało się tak ponownie, luka znaleziona we Flashu pozwala na dokonywanie bardzo rozległych ataków. Firma już zareagowała na jej zgłoszenie i wydała stosowną poprawkę. Jeżeli korzystacie z Flasha, zachęcamy do jak najszybszej aktualizacji, bo na zagrożenie można natknąć się nawet przy przeglądaniu bardzo popularnych i wydawać by się mogło w pełni bezpiecznych stron.
Podatność opisał Michele Spagnuolo, pracownik działu bezpieczeństwa Google. Narzędzie ataku zostało nazwane „Rosetta Flash”, wykorzystuje ono witryny korzystające z JSON lub JSONP do wymiany informacji między różnymi domenami internetowymi. Problem był znany od dawna, niemniej brakowało realnej możliwości jego zastosowania. Swoistym katalizatorem stał się właśnie nieszczęsny Adobe Flash. Podatność w plikach flashowych .swf jest wykorzystywana do przeprowadzenia ataku cross-site request forgery (CSRF) i kradzieży danych z komputera osoby, która odwiedza daną stronę. Co ważne, atak ten jest niezależny od systemu operacyjnego czy używanej przeglądarki, narażeni są na niego nie tylko użytkownicy Windowsa, ale również innych systemów.
W tym wypadku problem polega na tym, że wykorzystywane jest obejście stosowane przez samych programistów tworzących strony internetowe. W efekcie tego skala problemu jest ogromna, bo dotyczy nie tylko nieaktualnej, niezabezpieczonej wersji Flasha, ale również przeglądanych witryn. Google poinformowało, że podatne na ten atak były jego witryny obejmujące wyszukiwarkę, konta, mapy, a także inne usługi. Przed opublikowaniem raportu dokonano na nich zmian, które uniemożliwiają atak. Teraz stopniowo są one wprowadzane również przez innych gigantów internetowych: zabezpieczony został Twitter i Tumblr, niemniej podatności znaleziono także na Instagramie i eBayu. Facebook już potwierdził przygotowywanie poprawki dla Instagrama, zaznaczając przy okazji, że na zagrożonej witrynie nie są przechowywane żadne dane pozwalające na dokonanie skutecznego ataku i kradzież danych.
Nie wiadomo, czy ktoś wcześniej odkrył możliwość przeprowadzenia tego typu ataku i czy zostało to wykorzystane w praktyce. Teraz informacja jest publicznie dostępna, włącznie z dokładnym opisem. Całość opiera się na nieprzewidywanym wykorzystaniu punktów końcowych JSONP w celu np. pobrania danych logowania użytkownika zapisanych w ciasteczkach z przeglądanej witryny. Adobe załatało lukę poprzez odrzucanie szkodliwej zawartości zwrotnych danych z JSONP. Nie warto czekać, aż webmasterzy wprowadzą wymagane zmiany na stronach internetowych. Zalecamy natychmiastową aktualizację, bo wszystkie wersje Adobe Flasha starsze niż 14.0.0.145 umożliwiają przeprowadzenie ataku.
Użytkownicy przeglądarki Google Chrome oraz systemu Windows 8/8.1 otrzymają aktualizację wbudowanego w nie Flasha automatycznie, niemniej każdy może zrobić to szybciej ręcznie. Jeżeli natomiast nie korzystacie z tej technologii podczas przeglądania stron internetowych, zalecamy zupełne odinstalowanie Flasha. Podobnie jak środowisko uruchomieniowe dla Javy, jest on jedną z najczęściej atakowanych aplikacji. Zrezygnowanie z niego znacznie zwiększa bezpieczeństwo.