Adobe vá lỗi flash, kẻ tấn công nhắm mục tiêu người dùng firefox

Adobe đã vá ba lỗi bảo mật mới trong Flash Player gần như phổ biến của nó, trong đó hai lỗi đã bị khai thác trong tự nhiên. Những kẻ tấn công đã đặc biệt nhắm mục tiêu người dùng Mozilla Firefox, công ty cho biết.

Hai lỗ hổng zero-day, CVE 2013-0643 và CVE 2013-0648, đã bị khai thác trong các cuộc tấn công nhắm mục tiêu trong đó người dùng bị lừa nhấp vào liên kết đến Trang web lưu trữ các tệp Flash độc hại, Adobe cho biết trong lời khuyên bảo mật được phát hành hôm thứ ba. Công ty đã không ghi nhận bất kỳ tổ chức hoặc nhà nghiên cứu nào tìm thấy các lỗ hổng zero-day, nhưng đã ghi nhận lực lượng X của IBM để báo cáo lỗ hổng bảo mật thứ ba.

Các kỹ sư bảo mật Adobe tại Hội nghị RSA cũng từ chối cung cấp bất kỳ thông tin bổ sung nào.

Phần mềm khai thác cho Cve 2013-0643 và CVE 2013-0648 được thiết kế để nhắm mục tiêu vào trình duyệt Firefox, theo Adobe Adobe trong lời khuyên.

Những kẻ tấn công có thể kích hoạt các lỗ hổng để khiến Flash Player gặp sự cố và giành quyền kiểm soát máy tính từ xa, Adobe cho biết. Các lỗi zero-day có liên quan đến vấn đề cấp phép với hộp cát Flash Player Firefox và một lỗ hổng trong tính năng ActionScript của InternalInterface, có thể bị khai thác để thực thi mã độc. Lỗi thứ ba, hiện chưa được khai thác, lỗi là lỗi tràn bộ đệm trong dịch vụ môi giới Flash Player và có thể được sử dụng để thực thi mã độc, Adobe nói.

Bản cập nhật ảnh hưởng đến tất cả các phiên bản Flash trên Windows, Mac OS X và Linux. Người dùng có thể tải xuống phiên bản mới nhất từ ​​trang web Adobe hoặc bật cập nhật nền và để phần mềm tự động lấy phiên bản. Google và Microsoft sẽ cập nhật Flash trên Chrome và Internet Explorer 10 (dành cho Windows 8).

Bản cập nhật Flash này là bản vá ngoài băng thứ hai cho Flash Player trong tháng này, bản vá Adobe thứ ba trong tháng 2 và bản vá thứ tư như vậy được phát hành vào năm 2013 cho đến nay.

Đã gần một năm kể từ khi Adobe bật các bản cập nhật tự động cho Flash và Reader và tốc độ cập nhật rất lớn, Brad Arkin, giám đốc bảo mật và quyền riêng tư cao cấp của Adobe, nói với SecurityWatch tại Hội nghị RSA. Mô hình trước đây nơi người dùng được nhắc tải xuống các bản cập nhật mới nhất là không đủ để khiến người dùng thực sự vá Flash Player, Arkin nói. Với việc chuyển sang cập nhật nền, tỷ lệ thành công là rất đáng kể.

Để xem tất cả các bài đăng từ phạm vi bảo hiểm RSA của chúng tôi, hãy xem trang Hiển thị Báo cáo của chúng tôi.