Régi lemez: nulladik napi biztonsági hiba az Adobe Flash-ben

A legjobb karácsonyi ajándék, mellyel nemcsak magunkat, hanem barátainkat, családtagjainkat is megajándékozhatjuk, ha elfelejtjük az Adobe Flash használatát. A szoftver olyan sok biztonsági sebből vérzik, hogy az Adobe egyre gyakrabban kényszerül frissíteni az amúgy bő egy év múlva nyugdíjba vonuló megoldást.

Az Adobe december elején, a mikulás érkezése előtt egy nappal adott ki egy sürgősségi frissítést az Adobe Flash szoftveréhez. Az ok: a biztonsági szakemberek újabb súlyos sebezhetőséget fedeztek fel a megoldásban. A szokástól eltérően ezúttal nem egy weboldal meglátogatása után fertőződhetünk meg.

A támadás e-mailben érkezik, egy fertőzött word-dokumentum formájában. Ha a használó kinyitja a dokumentumot, a háttérben egy ActiveX komponens segítségével elindítják a Flash Playert, majd segítségével futtatják a támadási kódot. A kártevő a CVE-2018-15982 sebezhetőséget használja ki, majd letölti a kártékony kódot – egy távoli irányítást lehetővé tevő megoldást, mely rendszer-információkat küld egy központba.

A hiba súlyosságát jelzi, hogy az Adobe a szokásos frissítési menetrendtől eltérően adott ki sürgősségi foltozást a Flash Player-re. Ha nélkülözhetetlen a számunkra a Flash használata, akkor mindenképp frissítsük a szoftvert, ha viszont nem a válasz, akkor szabaduljunk meg tőle minél hamarabb.

Az Adobe már másfél éve, 2017 nyarán jelezte, hogy 2020-ban nyugdíjba vonultatja a Flasht, addig fokozatosan a HTML5, WebGL vagy WebAssembly alapú fejlesztések veszik át annak szerepkörét. A biztonsági hibák azonban a bejelentés előtt és utána is sorozatosan jelentkeztek, 2015-ben top tíz biztonsági hibából nyolc az Adobe megoldásához kapcsolódott.

A jó hír, hogy a G Data védelmet használók védettek a sebezhetőséggel szemben, az Exploit Protection (sérülékenység-védelem) modul észleli a támadást.