:

Szerző: Bodnár Ádám

2009. július 24. 12:44

Kritikus sebezhetőség az Adobe több szoftverében

Egyelőre nincs javítás az Adobe Flash egyik komponensében felfedezett kritikus sebezhetőségre, amely miatt a Reader és az Acrobat is sérülékennyé vált.

Biztonsági szakértők olyan sebezhetőségre bukkantak, amely több Adobe-terméket is érint. A Flash hibája miatt az Acrobat és a Reader is sérülékennyé vált -- ismerte be a szoftvercég, amely a jövő hét végére ígéri a frissítést.

A kritikus sérülékenységet a Flash egyik komponense tartalmazza, amelyet az Acrobat, az Adobe Reader, valamint a Flash Player is használ, így ezek a termékek mind sebezhetővé váltak és mindegyiket javítani kell. A sebezhetőséget kihasználva támadók távolról átvehetik az uralmat az áldozat gépe felett, saját szoftvert telepíthetnek és futtathatnak, adatokat törölhetnek vagy lophatnak, a gépet más támadások indítására használhatják fel.

Biztonsági cégek először vadon terjedő preparált PDF-állományokat észleltek, így először úgy tűnt, hogy csak a népszerű Reader sebezhetőségéről van szó, de később kiderült, hogy valójában ezek a Flasht támadják. A több sérülékeny termék egyben azt is jelenti, hogy a hibát többféleképp ki lehet használni, akár egy PDF-állománnyal, akár egy megfelelően előkészített Flasht tartalmazó weboldallal, amelyet a felhasználónak csak meg kell látogatnia, aki észre sem veszi és máris megfertőződött.

Az Adobe azt ígéri, a jövő hét második felére a Readert, az Acrobatot és a Flash Playert is frissíteni fogja. A maximális biztonság érdekében addig nem lehet mást tenni, el kell kerülni az érintett szoftverek használatát. Az Adobe azt javasolja, a felhasználók töröljék az Acrobat és a Reader által használt authplay.dll állományt, ezzel ugyan elveszik a beágyazott Flasht tartalmazó PDF-ek megnyitásának lehetőségét. A böngészőbe épülő Flash sérülékenység kockázatának csökkentésére azonban nem ad tanácsot az Adobe, az egyetlen módszernek a scriptek letiltása és a Flash kikapcsolása látszik egyelőre -- a SANS Internet Storm Center szerint szerencsére egyelőre csak kevés olyan ártó szándékú weboldalt találni, amelyek ezt a sebezhetőséget használják ki a látogatók megtámadására. Természetesen a víruskeresők naprakészen tartása ajánlott.

November 25-26-án 6 alkalmas K8s security és 10 alkalmas, a Go és a cloud native szoftverfejlesztés alapjaiba bevezető képzéseket indítunk. Az élő képzések órái utólag is visszanézhetők, és munkaidő végén kezdődnek.

a címlapról