Mairon28 окт 2010 в 21:58

В продуктах Adobe снова уязвимости. Под ударом Flash, Reader/Acrobat

2 мин

1.6K

Информационная безопасность *

+40

Комментарии 45

Nico_izo 28 окт 2010 в 22:02

Что?! 9 ноября?! 15 ноября?! 3.14здец

Masterkey 29 окт 2010 в 04:36

в ближайший год мы выпустим кумулятивный патч для этой и еще 2-х дыр, которые найдутся в ближайшие пол года

amarao 28 окт 2010 в 22:03

I ♥ Adobe. В физическом смысле.

squint 28 окт 2010 в 22:38

Стокгольмский синдром?

amarao 28 окт 2010 в 22:42

Нет, форма abuse.

crea7or 28 окт 2010 в 23:15

Скорее Adobe ♥ You

amarao 28 окт 2010 в 23:21

В силу того, что PDF'ы я читаю чем попало, а не адобом, меня это чуть-чуть волнует в смысле флеша. В остальном — все их э… движения мимо.

litos 29 окт 2010 в 05:11

Да, я вообще не вижу смысла использовать Adobe Reader, альтернатив достойных полно… А вот flash закрытый и эта закрытость в буквальном смысле губит интернет…

BlooDHounD 29 окт 2010 в 05:54

флэш закрыт не больше ридера. просто для ридера кто-то написал альтернативу, а для флэша — нет.

dmbreaker 29 окт 2010 в 10:17

В процессе: sourceforge.net/apps/trac/lightspark

AlDev 29 окт 2010 в 11:34

Мало того, что Flash Player в некоторых местах по-разному работает под разными платформами и браузерами — так надо будет еще писать под разные Flash Player-ы. ОМГ. ОМФГ.

Thomas 28 окт 2010 в 22:10

>Уязвимость обнаружена в свежей версии Flash Player 10.1.85.3 на Linux
Я только недавно обновился чтоб спать спокойно. И тут снова здрасьте…

amarao 28 окт 2010 в 22:32

У меня давно флеш выключен по-умолчанию, а есть он только в одном браузере, на случай «кровь из носу нужно посмотреть».

Thomas 28 окт 2010 в 22:54

Ну у меня Flashblock стоит. Включаю отдельные ролики когда нужно и уверен что ролики не исполняются без разрешения (во всяком случае в Firefox).
Кстати автор поста просил указать временные решения. Думаю что это один из вариантов защиты. Плюс в том что флеш из доверенного источника можно посмотреть без особых проблем.

Mairon 28 окт 2010 в 22:57

Да, благодарю.
FlashBlock'om не пользуюсь, ибо в Хромиуме он нативно встроен.
Сейчас дополню.

ekungurov 29 окт 2010 в 17:14

Представьте… Собрание общества анонимных параноиков:
— Раньше я блокировал Javascript на всех сайтах, кроме доверенных. Теперь я блокирую еще и модули.
— Спасибо. А теперь о себе нам расскажет…

ZooKeeper 28 окт 2010 в 23:35

Как же он задолбал обновляться…

Scorpil 28 окт 2010 в 23:53

Неужели кто-то удивился?

ozs 29 окт 2010 в 00:12

к сожалению нет

3al 29 окт 2010 в 00:13

Ни Adobe, ни Secunia не нашли никаких костылей для временной обороны от дырки с ультра-высоким уровнем опасности, кроме стандартных «не посещайте вредоносных сайтов или отключите плагин».

Значит, 10.2 тоже? Прекрасно.

rolltin 29 окт 2010 в 00:37

Для Opera также подойдёт глобальный запрет подключаемых модулей с разрешением для доверенных сайтов (Общие настройки — Расширенные — Содержимое — Снять галку с «Включить плагины» (Включать локально через настройки для сайтов)).

Так же можно использовать опцию: opera:config#UserPrefs|EnableOnDemandPlugin.
Действует примерно как FlashBlock.

Mairon 29 окт 2010 в 01:52

Обновил, спасибо. Взял на заметку.

azxc 29 окт 2010 в 01:21

меня удивляет почему у Adobe занимает столько времени выпустить патч для критической уязвимости? помнится, в июне апдейт для Acrobat'а ждали почти месяц. сейчас неделю-другую.

Mairon 29 окт 2010 в 01:54

Исходники только у жены шефа. Пока вспомнит, где записала пароль доступа к репам, проходит неделя, пока починят ещё неделя. А потом жена опять меняет пароль ;-)

Aeron 29 окт 2010 в 02:01

Adobe, которые сами же и рекомендуют (исходя из текста статьи) отключить плагин Flash’а безопасности ради… Какая ирония.
Благо, что на Safari давно стоит ClickToFlash (родное расширение), чтобы б-гомерзкая технология нос без дозволения не показывала.
Хочется больше сказать в сторону «прекрасной» технологии, как разработчику, но холивара не избежать… посему оставим, все итак всё знают.

cemaprjl 29 окт 2010 в 05:18

и многих уже через эту дырку сломали?
на доверенных сайтах шанс такое словить минимален, а на других… кто ищет тот всегда найдет, словить вирус, можно и более простым способом
за информацию спасибо, но паника в комментах мне непонятна

xen 29 окт 2010 в 06:01

1. Заливаешь зараженный ролик в ротацию через популярные системы рекламы
2.…
3. PROFIT

cemaprjl 29 окт 2010 в 07:44

ну да, вариант возможный, но нормальные системы ротации рекламы разве не проверяют содержимое которое показывают?
я правда не настоящий сварщик, но в паре мест где я общался с людьми по ротации баннеров в общественных местах чуть ли не максимальная версия была разрешена под 7-8 флешплейер и с большими ограничениями, так что лишнего не сделаешь. может это неправильные агенства были

и при добавлении баннера в такую систему никаких договоров не подписывается между рекламщиками и клиентами? есть там что-нибудь об ответственности за нанесение вреда?

xen 29 окт 2010 в 09:47

а как они проверят? антивирусы не показывают, аудит кода не проводится. Договор заключается через акцепт офферты с паленой карточки.

Ок, повернем вопрос в другую сторону, кто мешает недобросовестным уродцам которые уже украли код фермочки на пару дней залить код на вконтактовское приложение? За каждый зараженный комп платятся конкретные деньги которые можно собрать за пару дней в карман.

wolf13h 29 окт 2010 в 06:45

я уже забыл когда последний раз заражался вирусами а тут пару недель назад нашел один который через адобе ридер работал. Эхх как то напрягает.

alist 29 окт 2010 в 06:49

Вот мне интересно: они пишут, что вот нашли уязвимость и уже есть флешки, которые ею вовсю пользуются. Откуда они знают, что такие флешки есть? У меня впечатление, что есть где-то товарищ или группа товарищей, которые ищут уязвимости во флеше и выкладывают результаты поисков на своем зловредном сайте. А спецы по безопасности Адоб и Секуния об этом сайте знают и на rss подписаны (:

НЛО прилетело и опубликовало эту надпись здесь

bear11 29 окт 2010 в 07:20

Поможет ли havp + clamwin на proxy?

dmitriid 29 окт 2010 в 08:03

все таки правы были apple, исключая их из своих продуктов…

xen 29 окт 2010 в 09:48

тебе же вроде бы это не должно быть выгодно, стрим видео смотрят через Flash плееры.

dmitriid 29 окт 2010 в 11:14

Стриминг, если не ошибаюсь, можно и на html5 сделать. А для мобильных устройств, как показыывает опыт того же Apple'а, вполне ожно делать специализированные приложения (как apple сделали для Youtube'а и как сделал Netflix)