Ve Flash Playeru objevena již třetí díra zero-day během 1 měsíce

4. 2. 2015 | Martin Stančík

Články - Ve Flash Playeru objevena již třetí díra zero-day během 1 měsíce  

Společnost Adobe Systems již potřetí za poslední měsíc varovala uživatele před útočníky, kteří zneužívají zranitelnost ve Flash Playeru k infikování počítačů viry.

Podle Adobe je díra v současné době aktivně zneužívána, přičemž útočníci se zaměžují především na uživatele s webovými prohlížeči Internet Explorer a Mozilla Firefox na Windows 8.1 – v bezpečí však nejsou ani uživatelé Linuxu. Společnost podle svých slov aktualizaci vydá na konci tohoto týdne.

Zranitelnost, která je označována jako CVE-2015-0313 se nachází ve Flash Playeru na všech podporovaných platformách: je v Adobe Flash Playeru 16.0.0.296 a starších verzích určených pro Windows a Mac OS X a Adobe Flash Playeru verze 11.2.202.440 a starších pro Linux. Podle Adobe na díru upozornili bezpečnostní experti ze společností Trend Micro a Microsoft.

Trend Micro uvedl, že útočníci zranitelnost zneužívají pomocí tzv. malvertisingu, v rámci kterého zobrazují podvodné reklamy na legitimních webových stránkách typu dailymotion.com. Jakmile uživatel na takovou reklamu klikne, jeho počítač je infikován virem. „Je pravděpodobné, že není zneužíván pouze Dailymotion, jelikož infekce pochází přímo z reklamní platformy, ne samotné webové stránky,“ uvedl na blogu analytik Trend Micro Peter Pi. „Sledujeme tyto útoky od 14. ledna,“ dodal pak Pi s tím, že většina napadených uživatelů pochází ze Spojených států.

Adobe v uplynulých dvou týdnech vydalo již dvě aktualizace pro Flash Player – Flash Player 16.0.0.287 a 16.0.0.296 – které opravují dvě díry, jež byly taktéž zneužívané pomocí malvertisingu. Tyto díry, označované jako CVE-2015-0310 a CVE-2015-0311, byly zneužívány pomocí nástroje zvaného jako Angler Exploit Kit. Podle analýzy Trend Micro byla do Angleru již přidána i podpora CVE-2015-0313. Nezávislý expert, který se zabývá sledováním podobných exploit kitů a na internetu vystupuje pod přezdívkou Kafeine, však uvedl, že podle jeho názoru jsou nové kybernetické útoky prováděny pomocí nástroje zvaného jako Hanjuan Exploit Kit.

Ať už je díra zneužívána pomocí kterékoli aplikace, uživatelé by se měli mít do té doby, než Adobe vydá svou opravu, na pozoru. Podvodné reklamy je obtížné blokovat, jelikož jsou zobrazovány skrze legitimní relamní sítě a objevují na se na populárních webech, kterým lidé věří. Experti doporučují, aby si uživatelé ve svých prohlížečích zapnuli funkci „click-to-play“, která zamezí tomu, aby se jim flashový obsah automaticky spouštěl. Navíc by uživatelé měli udržovat aktualizovaný svůj antivirový program, jelikož Adobe sdílí informace o exploitech s výrobci antivirů, kteří na základě nich následně aktualizují databáze elektronických vzorků virů.

Diskuse k tomuto článku

[pavel]

Zrovna o vikendu jsem si preinstaloval desktop a rozhodl se, ze tam Flash vubec nedam. Proc bych take mel?

[beer]

Může někdo vyzkoušet, jestli edithosts hrozbu zablokuje? (http://edithosts.meitner.cz)

[Petr Tomášek]

Máš tam nějakou náhradu flashe, nebo vůbec?

[pavel]

Nemam tam nic. Zatim jsem si nevsiml, ze by neco nefungovalo. Videa hraji bez problemu (youtube, stream.cz apod)

[Petr Tomášek]

To ja si bohuzel vsimnul (prave u videi..)

[heh]

Nápodobně. Akorát se mi flash navalil automaticky v rámci instalačního scénáře. Tak jsem ho vyhodil a zabanoval.

Prasoweby, které požadují flash už sledovat nebudu.

[solca]

Nektera embedovana youtube videa, podpora pro FullHD a 60 FPS (MSE jeste furt ve firefoxu kulha), bohuzel i google play music. Duvody bohuzel porad jsou.

[Kvakor]

Za poslední rok jsem se osobně setkal jen s jedniným případem, kdy jsem potřeboval Flash plugin, a to byl online katastr nemovitostí. Vetšinu embeddovaných Flash videí jde přehrát přes už zmiňovaný youtube-dl, ale občas to znamená kouknout se do HTML stránky a vytáhnou odkaz ručně.

[janc1c1]

v praci na desktope som nemal flash vobec, a tak som na domacom laptop prave odinstaloval flash ...

[Slavko]

Konečne rukolapný dôkaz, aká škodlivá je reklama :-P

[bbelements]

Reklama neni skodliva, ale na webu prevazuje vynucena za kazdou cenu a s cilem oklamat v jeji implementaci. Pokud ma pod obsahem stejnou url jako kam skutecne miri ( ne vyrobek se znackou mirici do Heureka, namisto kdo ho skutecne vyrabi apod.) a je tematicky v souladu s obsahem webu na niz je, me nevadi a neblokuji ji. Pokud je na webu o Linuxu reklama o čemkoliv co nema nic spolecneho s vyp. technikou pracujici s Linuxem, takovou pak blokuju.

[Linus Torvalds]

Nepoužívam od tý doby co mam Gnome Shell (nepodporuje ho :D) a s příchodem Fedory 22 už ho nehodlam instalovat ani u zákazníků...

Alternativu nainstalovanou nemám, porno jede v html5, youtube taky, ruský stream servery většinou taky, grooveshark má html5 stránku, tak na co?

[Phokz]

Víte někdo jak na ivysílání bez flashe (ale v prohlížeči)?

[Michal Kubeček]

Já bych spíš potřeboval vyřešit download. Asi tak do prosince to šlo v pohodě přes rtmpproxy a rtmpdump, ale nedávno to změnili na nějakou šílenost, která stahuje jednotlivé kousky přes HTTP (s obfuskovanými URL) a na tu jsem zatím žádné řešení nenašel. :-(

[coder]

Youtube-dl v pohodě na ivysilani funguje a možná v brzké době bude opraven i tv-dl.

[radeczek]

Tak to jsem nevěděl, že má i abstrakci na jiné weby. iVysilání funguje dobře. Chci se zeptat, zda jste nějak nerozběhal i živé (sportovní) přenosy. Dík

[David Heidelberg]

ten název je strašně matoucí, taky až po dlouhé době mě napadlo zkusit s youtube-dl i jiné weby a vida, funguje to! :)

[Fuky]

Zkoušel jsi FreeRapid Downloader?

[Jendа]

ctstream mi ještě nedávno fungoval, akorát stažený soubor byl absurdně velký (šlo provést rekompresi).

[Satan]

Flash bych nepoužíval, kdyby mi jakákoli akce v přehrávači HTML5 videí neshodila celej prohlížeč (Iceweasel).

[Lol Phirae]

Zkus fungující prohlížeč.

[TM]

Video přes HTML5?
Problémy s hw akcelerací, o plynulém přehrávání si můžete na některých PC nechat jen zdát. Prohlížeč, žeroucí spoustu RAM, na některých PC podivně dlouhá prodleva před vlastním startem přehrávání.... ~nehotová implementace v prohlížečích, založených na Mozille.... Prostě problém, kam se člověk podívá.
Flash je sice do jisté míry shit s mizernou bezpečností, ale v tomto zatím jednoznačně technicky lepší. Je asi cool, chlubit se v diskusích, "jak jsem s ním zatočil a hrdinně jej nenainstaloval," ale chudák uživatel, kterému svoji víru vnutíte na jeho domácí PC.

Nevím jak to vypadá ve Windows a na Macu - popisoval jsem zkušenost s HTML5 videem na Lunuxových distrech. Cokoliv jiného je pro online video lepší - nativní flash player 11.2, windows verze přes wine a Pipelight, pepper flash z Chrome přes wrapper pro Mozillu.....

[pavel]

Nikomu nevnucuji svoji viru, pocitac instaluji a spravuji pro sebe. A nejde o zadnou viru, ale o racionalni rozhodnuti tam Flash nedavat. Flash pro mne byl vzdy synonymem nenazranosti CPU, zfusovane implementace a nemoznosti indexace.

Technologie prichazeji a odchazeji. Flash je technologie vcerejska, dneska frci HTML5.

[TM]

Možná frčí, ale momentálně funguje obecně hůře než to co chce nahradit. Navíc spousta webů u flashe nadále zůstává, takže bez něj prostě uživatel pocítí nepohodlí.
Tak trochu náhrada špatného něčím stejně špatným nebo ještě horším.
Vypadalo to skvěle, nakonec ani ty kodeky nejsou úplně svobodné a tak se roztáčí nové kolo nových problémů. Nechápu to nadšení.

[Jendа]

Možná frčí, ale momentálně funguje obecně hůře než to co chce nahradit.

Mně se ještě nestalo, že by mplayer nějaké nesežral. Ale implementace v prohlížečích je strašlivá (ono prohlížeče jsou strašlivé obecně), když musím kvůli přehrání zvuku patchovat Firefox tak jako… krucifix.

[coder]

Já na Archu mám hardwarově akcelerované HTML5 video ve Firefoxu pomocí gstreamer-vaapi. Jelikož jsem se v posledních dnech taky rozhodl "zabanovat" flash, nabyl jsem spoustu poznatků a mám na toto téma rozepsaný blogový zápisek. Soudě podle reakcí (nejenom tady) v diskuzích se to bude hodit. Rád někomu ušetřím to dlouhé googlení a průzkum.

Dopředu však mohu prozradit, že to funguje na Archu a teoreticky na distribucích s posledními verzemi souvisejícího softwaru a knihoven. Např. na Ubuntu 14.04 LTS, přestože to má poslední Firefox 35 přeložený oproti gstreameru 1.x to nefungovalo...

Jo a nečekej zázraky. Přehrávání videa v HD je plynulé a celkově svižné, ale díky tomu, jak Firefox "krade" z video paměti ty akcelerované snímky a dělá s nimi svoje věci, tak to vytěžuje CPU poměrně značně, oproti tomu, když to video přehraješ přímo z disku pomoci gst-lauch.

[Nicky726]

Tak to si rád přečtu.

[Michal Kubeček]

Problémy s hw akcelerací, o plynulém přehrávání si můžete na některých PC nechat jen zdát.

Moje zkušenost je přesně opačná, HTML5 videa přehrávám ve firefoxu ve fullscreen bez problémů, zatímco přes flash v Opeře nemám nejmenší šanci.

[TM]

Můžete prosím napsat, jaké verze čeho a odkud máte v té souvislosti nainstalovány? Pokud vím, používáte OpenSUSE, tak jestli jste to třeba zkoušel ve verzi 13.1.... Grafiku mám všude s čipy od Nvidie s firemním ovladačem, Vdpau funguje naprosto bez problémů, flash player také..... Je to fakt zoufalství.

[Michal Kubeček]

Můžete prosím napsat, jaké verze čeho a odkud máte v té souvislosti nainstalovány?

OpenSUSE 13.1, firefox je vlastní přeložený snapshot, ale IIRC by měl být v pohodě i distribuční. Jádro je 3.12 odsud (ale fungovalo to i s distribučním). Používám standardní radeon driver z distribuce, karta je Radeon HD6450.

Grafiku mám všude s čipy od Nvidie s firemním ovladačem

Tak tomu se snažím vyhýbat, fglrx ani driver od NVidie mi na počítač nesmějí.

[TM]

Žádné experimenty např. s gstreamer-vaapi nebyly třeba? Pak to moc nechápu a nechce se mně věřit, že by na vině byl ovladač grafiky. Není sice otevřený, ale za tu spoustu let, co s ním žiju, musím říci, že je spolehlivý a narozdíl od těch otevřených pokrývá plně schopnosti hardwaru.
Navíc mám stejné problémy i na PC, kde je integrovaná grafika od Intelu...

[Michal Kubeček]

Spíš bych tipoval nějaký problém v komunikaci po cestě od prohlížeče přes Mesu, X a další vrstvy. Jinak dokud jsem měl monitor s rozlišením 1600x1200, tak fullscreen zvládal i ten flash, ale 2560x1440 už nestíhá.

[heh]

po přechodu flash -> html5 jede na mojí pleččce video o něco lépe

[Jendа]

Implementace ve Firefoxu je tragická, proto je přehrávám normálně mplayerem (btw. nevíte jak vyřešit v mplayeru podporu https? někdy přes to média jsou).

Žraní výkonu naopak pozoruju ve Flashi. Hlavně na fullscreen. Neumí totiž xv nebo opengl akceleraci.

[Semo]

wget -O - | mplayer

?

[Jendа]

Občas to blbne (a blbě se v tom seekuje dozadu, když už to vyteče z cache), ale lepší než nic. (na https jsem používal VLC)

[R]

Kedze mam CPU bez SSE2, tak Adobe "vyriesil" problem za mna.

[David Heidelberg]

a co že to je za zázrak? Sehnat X86 bez SSE2, to musí být nějaká exotika nebo muzejní kousek

[BFU]

https://www.apm.com/products/data-center/x-gene-family/x-c1-development-kits/ treba tento ?

[Petr Tomášek]

A kde tam vidíš X86?

[Peter Golis]

A čo ARM, ten ostane ako obvykle napadnuteľný? Užívatelia Androidu ktorí urobili tú chybu že si to kedysi nainštalovali, tak mudú mať nadosmrti smolu.

[nyan]

Kolik znas vyrobcu, kteri se o android staraji, pote co prodali svuj vyrobek ?

Dke mych zkusenosti maji uzivatele Androidu smulu by default.

Dokonce bych si troufal rici, ze 99% BFU nechape k cemu jsou updaty dobre, a je to pro ne nic vic nez otravna kravina.

[Peter Golis]

Chyba v produkte firmy Adobe nemá nič spoločného s ignoranciou výrobcov telefónov a tabletov aj keď sa k tomu chovajú podobne laxatívne.

Teda, update dajú aspoň keď vyšli s modelom ktorého uvedenie na trh nestihlo najnovšiu verziu distribúcie aj keď ju zvláda a dajú ho aj keď sa prevalí závažná bezpečnostná chyba počas záruky (neplatí pre stroje zapadnuté prachom u distribútorov).

Ale bol by som rád keby sa Adobe na toto z vysoka nevytoto.

[hlasovani]

Před chvílí zase spadl aktuální AF. tj čekejme další zero day díru