For tredje gang på omtrent to uker må Adobe fjerne en alvorlig nulldagssårbarhet (CVE-2015-0313) i selskapets Flash Player. En sikkerhetsfiks kan dog ventes senere denne uken.
Sårbarheten kan som så ofte tidligere utnyttes i «drive-by»-angrep i Internet Explorer, men denne gang også i Firefox. Det er altså nok at en bruker besøker et nettsted infisert med angrepskode for at angrepet skal kunne skje. Verktøy som hindrer automatisk kjøring av Flash-innhold på websider, vil nødvendigvis stopper angrepet, så lenge brukeren ikke velger at innholdet skal kjøres. Alternativ bør Flash Player deaktiveres eller avinstalleres inntil en sikkerhetsfiks foreligger. Et vellykket angrep kan i alle fall føre til en krasj, men kan også gjøre det mulig for en angriper å oppnå kontroll over det berørte systemet.
Les også: – Du bør skru av Flash i noen dager
I de fleste nettlesere kan Flash Player og andre plugins administreres ved å skrive about:plugins i adressefeltet. Unntaket er Internet Explorer. En gjennomgang av hvordan det gjøres der, finnes på denne siden.
Ifølge Adobe har selskapet blitt varslet om sårbarheten av både Microsoft og Trend Micro. Sistnevnte har en større artikkel om det hele.
Angrepene
Trend Micro skal ha oppdaget angrep som utnytter denne sårbarheten allerede den 14. januar. Det er uklart hvorfor dette først blir kjent nå. Mange av dem som har blitt angrepet skal ha besøkt nettstedet dailymotion.com og via annonser blitt omdirigert via flere ulike sider før de har endt opp på siden http://www.retilio.com/skillt.swf, som inneholdt angrepskoden.
Sikkerhetsselskapet mener at det er sannsynlig at angrepet ikke er begrenset til Dailymotion, siden det var annonseplattformen og ikke nettstedet direkte som var blitt infisert. De fleste av de angrepne skal være fra USA.
Den nyeste utgaven av Flash Player til Windows og OS X er 16.0.0.296. Den er sårbar. Akkurat denne sårbarheten finnes dog ikke i Flash Player 11.x og eldre. Den nyeste utgaven til Linux er 11.2.202.440. Den inkluderer dermed ikke denne sårbarheten.
Flash Player følger med Google Chrome og vil ved behov bli oppdatert automatisk når nettleseren startes på nytt. Flash Player i Internet Explorer for Windows 8 oppdateres via Windows Update. Det er ikke gitt at installasjonen skjer uten at brukeren setter den i gang – det avhenger av innstillingene. Flash Player til andre nettlesere kan bli automatisk oppdatert ved hjelp av Adobes eget oppdateringsverktøy, men brukere som ikke ønsker å vente på dette, kan laste ned den nyeste versjonen enten her eller her.
Les også:
- [26.01.2015] Lappet skrekkelig Flash-hull i helgen
- [23.01.2015] – Du bør skru av Flash i noen dager
