Mairon Oct 29 2010 at 01:58

В продуктах Adobe снова уязвимости. Под ударом Flash, Reader/Acrobat

2 min

1.6K

Information Security*

+40

Comments 45

Nico_izo Oct 29 2010 at 02:02

Что?! 9 ноября?! 15 ноября?! 3.14здец

Masterkey Oct 29 2010 at 08:36

в ближайший год мы выпустим кумулятивный патч для этой и еще 2-х дыр, которые найдутся в ближайшие пол года

amarao Oct 29 2010 at 02:03

I ♥ Adobe. В физическом смысле.

squint Oct 29 2010 at 02:38

Стокгольмский синдром?

amarao Oct 29 2010 at 02:42

Нет, форма abuse.

crea7or Oct 29 2010 at 03:15

Скорее Adobe ♥ You

amarao Oct 29 2010 at 03:21

В силу того, что PDF'ы я читаю чем попало, а не адобом, меня это чуть-чуть волнует в смысле флеша. В остальном — все их э… движения мимо.

litos Oct 29 2010 at 09:11

Да, я вообще не вижу смысла использовать Adobe Reader, альтернатив достойных полно… А вот flash закрытый и эта закрытость в буквальном смысле губит интернет…

BlooDHounD Oct 29 2010 at 09:54

флэш закрыт не больше ридера. просто для ридера кто-то написал альтернативу, а для флэша — нет.

dmbreaker Oct 29 2010 at 14:17

В процессе: sourceforge.net/apps/trac/lightspark

AlDev Oct 29 2010 at 15:34

Мало того, что Flash Player в некоторых местах по-разному работает под разными платформами и браузерами — так надо будет еще писать под разные Flash Player-ы. ОМГ. ОМФГ.

Thomas Oct 29 2010 at 02:10

>Уязвимость обнаружена в свежей версии Flash Player 10.1.85.3 на Linux
Я только недавно обновился чтоб спать спокойно. И тут снова здрасьте…

amarao Oct 29 2010 at 02:32

У меня давно флеш выключен по-умолчанию, а есть он только в одном браузере, на случай «кровь из носу нужно посмотреть».

Thomas Oct 29 2010 at 02:54

Ну у меня Flashblock стоит. Включаю отдельные ролики когда нужно и уверен что ролики не исполняются без разрешения (во всяком случае в Firefox).
Кстати автор поста просил указать временные решения. Думаю что это один из вариантов защиты. Плюс в том что флеш из доверенного источника можно посмотреть без особых проблем.

Mairon Oct 29 2010 at 02:57

Да, благодарю.
FlashBlock'om не пользуюсь, ибо в Хромиуме он нативно встроен.
Сейчас дополню.

ekungurov Oct 29 2010 at 21:14

Представьте… Собрание общества анонимных параноиков:
— Раньше я блокировал Javascript на всех сайтах, кроме доверенных. Теперь я блокирую еще и модули.
— Спасибо. А теперь о себе нам расскажет…

ZooKeeper Oct 29 2010 at 03:35

Как же он задолбал обновляться…

Scorpil Oct 29 2010 at 03:53

Неужели кто-то удивился?

ozs Oct 29 2010 at 04:12

к сожалению нет

3al Oct 29 2010 at 04:13

Ни Adobe, ни Secunia не нашли никаких костылей для временной обороны от дырки с ультра-высоким уровнем опасности, кроме стандартных «не посещайте вредоносных сайтов или отключите плагин».

Значит, 10.2 тоже? Прекрасно.

rolltin Oct 29 2010 at 04:37

Для Opera также подойдёт глобальный запрет подключаемых модулей с разрешением для доверенных сайтов (Общие настройки — Расширенные — Содержимое — Снять галку с «Включить плагины» (Включать локально через настройки для сайтов)).

Так же можно использовать опцию: opera:config#UserPrefs|EnableOnDemandPlugin.
Действует примерно как FlashBlock.

Mairon Oct 29 2010 at 05:52

Обновил, спасибо. Взял на заметку.

azxc Oct 29 2010 at 05:21

меня удивляет почему у Adobe занимает столько времени выпустить патч для критической уязвимости? помнится, в июне апдейт для Acrobat'а ждали почти месяц. сейчас неделю-другую.

Mairon Oct 29 2010 at 05:54

Исходники только у жены шефа. Пока вспомнит, где записала пароль доступа к репам, проходит неделя, пока починят ещё неделя. А потом жена опять меняет пароль ;-)

Aeron Oct 29 2010 at 06:01

Adobe, которые сами же и рекомендуют (исходя из текста статьи) отключить плагин Flash’а безопасности ради… Какая ирония.
Благо, что на Safari давно стоит ClickToFlash (родное расширение), чтобы б-гомерзкая технология нос без дозволения не показывала.
Хочется больше сказать в сторону «прекрасной» технологии, как разработчику, но холивара не избежать… посему оставим, все итак всё знают.

cemaprjl Oct 29 2010 at 09:18

и многих уже через эту дырку сломали?
на доверенных сайтах шанс такое словить минимален, а на других… кто ищет тот всегда найдет, словить вирус, можно и более простым способом
за информацию спасибо, но паника в комментах мне непонятна

xen Oct 29 2010 at 10:01

1. Заливаешь зараженный ролик в ротацию через популярные системы рекламы
2.…
3. PROFIT

cemaprjl Oct 29 2010 at 11:44

ну да, вариант возможный, но нормальные системы ротации рекламы разве не проверяют содержимое которое показывают?
я правда не настоящий сварщик, но в паре мест где я общался с людьми по ротации баннеров в общественных местах чуть ли не максимальная версия была разрешена под 7-8 флешплейер и с большими ограничениями, так что лишнего не сделаешь. может это неправильные агенства были

и при добавлении баннера в такую систему никаких договоров не подписывается между рекламщиками и клиентами? есть там что-нибудь об ответственности за нанесение вреда?

xen Oct 29 2010 at 13:47

а как они проверят? антивирусы не показывают, аудит кода не проводится. Договор заключается через акцепт офферты с паленой карточки.

Ок, повернем вопрос в другую сторону, кто мешает недобросовестным уродцам которые уже украли код фермочки на пару дней залить код на вконтактовское приложение? За каждый зараженный комп платятся конкретные деньги которые можно собрать за пару дней в карман.

wolf13h Oct 29 2010 at 10:45

я уже забыл когда последний раз заражался вирусами а тут пару недель назад нашел один который через адобе ридер работал. Эхх как то напрягает.

alist Oct 29 2010 at 10:49

Вот мне интересно: они пишут, что вот нашли уязвимость и уже есть флешки, которые ею вовсю пользуются. Откуда они знают, что такие флешки есть? У меня впечатление, что есть где-то товарищ или группа товарищей, которые ищут уязвимости во флеше и выкладывают результаты поисков на своем зловредном сайте. А спецы по безопасности Адоб и Секуния об этом сайте знают и на rss подписаны (:

UFO landed and left these words here

bear11 Oct 29 2010 at 11:20

Поможет ли havp + clamwin на proxy?

dmitriid Oct 29 2010 at 12:03

все таки правы были apple, исключая их из своих продуктов…

xen Oct 29 2010 at 13:48

тебе же вроде бы это не должно быть выгодно, стрим видео смотрят через Flash плееры.

dmitriid Oct 29 2010 at 15:14

Стриминг, если не ошибаюсь, можно и на html5 сделать. А для мобильных устройств, как показыывает опыт того же Apple'а, вполне ожно делать специализированные приложения (как apple сделали для Youtube'а и как сделал Netflix)