Flash 被爆頂級漏洞 威脅百萬用戶
谷歌信息安全工程師米歇爾·斯帕格諾洛（Michele Spagnuolo）周二在博客稱，Flash Player的升級補丁存在漏洞。用戶在訪問eBay，Tumblr，推ter或Instagram等網站后，其計算機可能被駭客控制，數百萬用戶的身份認證因此面臨風險。
從Adobe的公告欄中我們了解到，這個提供給Windows，Mac和Linux計算機用戶的補丁可以將軟件升級到版本14.0.0.145。目前Adobe已經將這次威脅設置為最高級別并于周二發出新的安全補丁，谷歌Chrome和微軟Internet Explorer用戶將會自動安裝新的安全補丁，但未及時下載這一補丁的用戶仍存在安全風險。
研究人員建議，大型網站的工程師應及時對服務器進行調整，主動降低風險。目前，推ter和谷歌的多個服務器已經對這一漏洞進行了修復。
導致這一漏洞的直接原因是常年以來，普通SWF文件均依賴代碼轉換為全部基于字母數字的內容。但在壓縮SWF文件使其支持JSONP技術的轉換過程中能夠設置瀏覽器Cookies，或執行其它任務。
一款名為Rosetta Flash的概念驗證工具通過使用一種新的編碼方法，能在只包含字符的SWF文件中加入惡意命令。這樣制作的SWF文件就能假冒訪客的Flash發送網絡請求，從而獲得JSONP網站設置的用戶身份認證Cookies和其它文件。
載自: 驅動之家
本文由用戶 jopen 自行上傳分享，僅供網友學習交流。所有權歸原作者，若您的權利被侵害，請聯系管理員。
轉載本站原創文章，請注明出處，并保留原始鏈接、圖片水印。
本站是一個以用戶分享為主的開源技術平臺，歡迎各類分享！