شماره: IRCNE200902077
تاريخ: 07/12/87
امروز 7 اسفندماه، شركت Adobe يك اصلاحيه را براي 5 آسيبپذيري در نرم افزار فلش كه حداقل يكي از آنها بسيار مهم ارزيابي شده است، منتشر كرد. اين آسيبپذيري بر روي همه سيستم عاملهايي كه فلش بر روي آنها قابل اجرا است، مانند ويندوز، لينوكس و مك اينتاش اثر مي گذارد. نسخه Flash Player 10.0.12.36 متأثر از اين آسيبپذيري است و اصلاحيه فوق براي اين نسخه ارائه شده است.
در صورتي كه يك فايل خرابكار فلش كه با سوء استفاده از آسيبپذيري مهم مذكور ايجاد شده است، توسط رايانه قرباني اجرا شود، مهاجم مي تواند به اجراي كد دلخواه، در حد سطح دسترسي كاربر فعلي بپردازد. در راهنمايي امنيتي iDefence در اين مورد آمده است:
"در نرم افزار فلش، چندين آدرس مي توانند به يك شئ واحد اشاره كنند، زماني كه شئ مذكور از بين مي رود، طبيعتاً آدرس ها بايد پاك شوند. با اين حال در Shockwave Flash بعد از پاك شدن شئ، اشتباهاً يك آدرس باقي مي ماند كه به شئ نادرست يا در واقع به هيچ چيز اشاره مي كند. مهاجم با استفاده از اين آدرس، قادر است به اجراي كد دلخواه خود بپردازد."
براي اينكه حمله موفقيت آميز باشد، لازم است كاربر يك فايل خرابكار فلش را كه توسط مهاجم ايجاد شده است، دريافت و اجرا كند. اين قضيه مي تواند توسط فريب هاي مهندسي اجتماعي يا با تزريق فايل به وب سايتهاي قابل اعتماد كاربر يا از طريق تبليغات اتفاق افتد.
آسيبپذيري فوق كه در ماه آگوست گذشته تشخيص داده شده بود بر نسخه هاي قديمي تر نيز اثر مي گذارد كه هنوز اصلاح نشده اند. شركت Adobe در حال حاضر مشغول رسيدگي به حفره اخير در آكروبات است كه منجر به سوءاستفاده هاي امنيتي شده است.
- 2