Новое использование нулевого дня добавляет к безопасности Adobe Flash горе

Многократное применение нулевого дня отмечает тяжёлый запуск к 2015 для Adobe. Последняя уязвимость присутствует в Adobe Flash Player 16.0.0.296 и прошлых предположениях.Новый год прочь к сложному запуску для Adobe с Flash player компании, поражаемым многократным применением нулевого дня в лишь первые семь дней 2015.

Нулевой день применяет стенд в отличие от дисциплинированного режима безопасности, что существовал сейчас, что сторнировал неспециализированный тренд применения Flash нулевого дня, которое существовало назад в 2009.Последняя уязвимость нулевого дня была публично раскрыта Adobe в бюллетене, высвобожденном 2 февраля.

Новая уязвимость идентифицируется как CVE-2015-0313 и присутствует в Adobe Flash Player 16.0.0.296 и прошлых предположениях.«Успешная эксплуатация имела возможность вызвать катастрофический отказ и возможно разрешить атакующему брать под собственный контроль затронутую совокупность», Adobe предупредил на его консультации. «Мы знаем об отчетах, что эта уязвимость широко применяется в природе через нападения загрузки на автомобиле на совокупности, делающие MSIE и Firefox на Windows 8.1 и ниже».Применению CVE-2015-0313 предшествовали неприятности CVE-2015-0311, о которых предупредил Adobe в бюллетене, выпущенном 27 января.Для неприятности CVE-2015-0311 исследовательская несколько безопасности Cisco Talos сказала, что это имеет подтверждение, уязвимость употребляется в наборе применения Рыболова и уже заразила по крайней мере 1 800 известных доменов.

22 января Adobe выпустил предупреждение бюллетеня о CVE-2015-0310 уязвимости, которая также употреблялась в природе.Недостаток CVE-2015-0310 есть обходом смягчения рандомизации размещения адресного пространства (ASLR), тогда как CVE-2015-0311 и CVE-2015-0313 уязвимости являются неточностями повреждения памяти, сообщил Дэн Кэзелден, основной вредоносный исследователь в FireEye. «Для CVE-2015-0311 и CVE-2015 0313, существует тонна неспециализированных линия», сообщил Кэзелден eWEEK. «Применение в CVE-2015-0311 и CVE-2015-0313 также совместно применяет довольно много кода, и часть применения CVE-2015-0311 отбрасывает нужную нагрузку от той же семьи как применение CVE-2015-0313».

Нулевые дни Adobe Flash являются проблемами значительно управления памятью, по словам Карла Сиглера, аналитика угрозы в Trustwave. «Это разрешает преступнику продвигать вредоносный код в совокупность, руководя недостатками в том, как Flash обрабатывает память», растолковал Сиглер eWEEK. «Второе подобие — то, что все они были обнаружены, деятельно употребляясь преступниками в природе».Применение — все в так или иначе обходе тестовой среды безопасности Adobe, которая, как предполагается, ограничивает потенциальный риск применения. Приобретая доступ к памяти конкретно, это применение в состоянии обойти каждые средства обеспечения безопасности в Flash, сообщил Сиглер Траствава.В видео интервью 2013 года с eWEEK Брэд Аркин, главный менеджер по безопасности Adobe, растолковал, как компания повторно спроектировала собственный процесс разработки для создавания большего количества защищенных приложений.

Песочница есть главной ролью процесса.Adobe не реагировал на запрос комментария от eWEEK пресс-таймом по новым проблемам нулевого дня в 2015.

Не обращая внимания на то, что Adobe должен был бороться для исправления многократных неприятностей нулевого дня до сих пор в 2015, Sigler не видит неприятности, как являющейся о фундаментальном недостатке ненадежности в Flash, не смотря на то, что разработка не имеет громадных достижений безопасности.«Преступники знают это и выбирают приложения, которые активно применяются с бедной историей безопасности», сообщил Сиглер. «Учитывая, что все три были обнаружены, употребляясь наборами применения, быть может, что тот же исследователь либо команда исследователей нашли все три уязвимости лишь, введя по безотносительному адресу и подталкивая Flash».Аль Паскуаль, директор, безопасность и мошенничество, Исследование и Стратегия Копья, подчернули, что этот повсеместность Flash, это — привлекательный вектор атаки. Возраст Flash, что помогает для его еще более сложным с каждым обновлением, возможно додаёт столько дыр в совокупности безопасности, сколько исправлены по пути, и тренд применения Flash, возможно, не будет прекращаться, сказал он.

«Apple была верной избежать Flash как эпидемия, в особенности с таким числом менее уязвимых альтернатив, сейчас легко дешёвых», сообщил Паскуаль eWEEK.В 2014 фокусом для писателей применения был браузер MSIE (IE) Микрософт, сообщил Кэзелден. Микрософт выпустила некое аккуратное смягчение для применения кучи памяти, которое повредило способ, которым писатели применения стали довольными, он сообщил, добавив, что был негромкий период, где они искали «следующую вещь», и что следующей вещью есть Flash.

«[Flash] имеет подобную поверхность атаки как IE, и писатели применения уже применяли Flash для организации применения IE», сообщил Кэзелден. «Так, Все, что они должны были сделать, было переместить их ищущие неточность упрочнения от IE UAFs [уязвимости применения-после-свободного] к неточностям Flash, и они имели возможность использовать те же способы как в прошедшем сезоне для обхода ASLR и DEP [предотвращение исполнения данных]».Шон Майкл Кернер есть главным редактором eWEEK и InternetNews.com.

Следуйте за ним в Твиттере @TechJournalist.


4 comments

  1. Так пожалуй, ездить в Молдавию дешевле-одно и то-же,что Румыния, по-моему даже деньги одинаково называются

Добавить комментарий