Hai ngày trước, Bản Tin Hacker (THN) đã báo cáo về lỗ hổng Zero-day trong bản vá mới Trình phát Adobe Flash. Lỗ hổng này đã được khai thác bởi một nhóm tin tặc nổi tiếng của Nga, có tên là “Cơn bão cầm đồ,” để nhắm mục tiêu một số bộ ngoại giao trên toàn thế giới.
Lỗ hổng zero-day cho phép tin tặc có toàn quyền kiểm soát máy của người dùng, có khả năng khiến tất cả người dùng Flash Player gặp rủi ro cao.
Kể từ đó, không có bản vá nào có sẵn để làm cho tiện ích bị lỗi trở nên an toàn.
Tuy nhiên, Adobe hiện đã vá lỗ hổng zero-day, cùng với một số lỗ hổng nghiêm trọng mà chi tiết vẫn chưa được tiết lộ.
Hôm qua, công ty đã xuất bản một bài đăng trên bản tin bảo mật chính thức của họ (APSB15-27) nêu chi tiết các rủi ro liên quan đến lỗ hổng zero-day và cách người dùng có thể loại bỏ chúng.
Các lỗ hổng nghiêm trọng được gán các số CVE sau:
- CVE-2015-7645
- CVE-2015-7647
- CVE-2015-7648
Ngoài ra, Adobe được biết rằng các tin tặc đã khai thác lỗ hổng zero-day (CVE-2015-7645) để thực hiện các cuộc tấn công có mục tiêu, hạn chế. Do đó, nó nhận được điểm nghiêm trọng CVSS là 9,3 (Cao), được đo bằng Cơ sở dữ liệu dễ bị tổn thương quốc gia (NVD).
Danh mục bài viết
Các phiên bản và phần mềm bị ảnh hưởng
Lỗ hổng zero-day đã ảnh hưởng đến:
- Adobe Flash Player 18.x đến 18.0.0.252 trên Windows và Mac OS X của Microsoft.
- Adobe Flash Player 19.x đến 19.0.0.207 trên Windows và Mac OS X của Microsoft.
- Adobe Flash Player 11.x đến 11.2.202.535 trên Linux.
Ngoài ra, kết quả là, zero-day cho phép những kẻ xâm nhập thực thi từ xa một số mã ngẫu nhiên thông qua một SWF được tạo thủ công (Định dạng web nhỏ), là định dạng Tệp Adobe Flash để phân phối hiệu quả video và âm thanh trên web.
Đồng thời, với bản vá Adobe cũng liệt kê một số sản phẩm Adobe Flash bị ảnh hưởng cụ thể:
- Thời gian chạy máy tính để bàn Adobe Flash Player
- Bản phát hành hỗ trợ mở rộng Adobe Flash Player
- Adobe Flash Player cho Google Chrome
- Adobe Flash Player cho Google Chrome
- Adobe Flash Player cho Microsoft Edge và Internet Explorer 11
- Adobe Flash Player cho Internet Explorer 10 và 11
- Adobe Flash Player cho Linux
Ngoài ra, Adobe và PSIRT của nó (Nhóm ứng phó sự cố bảo mật sản phẩm) cảm ơn Xu hướng micro Và Dự án Google số không để phát hiện và phân tích khai thác và nghiên cứu lỗ hổng tương ứng.
Tóm lại, với tất cả các cuộc tấn công mạng nghiêm trọng nhắm vào Adobe Flash Player trong quá khứ và hiện tại; Flash phải biến mất!
Cũng như thời gian này, các bộ ngoại giao đang rơi vào bẫy nguy hiểm”Tấn công lừa đảo,” trong đó nạn nhân nhận được email có chủ đề chứa các diễn biến hiện tại và thư chứa liên kết (URL) chuyển hướng nạn nhân đến khai thác do kẻ tấn công thiết lập.
Đã đến lúc nói lời tạm biệt với Flash
Đã 20 năm Adobe Flash làm cho Web trở thành một nơi tương tác và thú vị hơn một chút. Nhưng…
…trong vòng ba tháng năm nay (Từ tháng 7 đến nay) Adobe Flash player đã xuất hiện thường xuyên trên bảng thông báo với nhiều lỗ hổng Không xác định được phát hiện và có thể khai thác trong đó.
Hơn nữa, đổi lại khiến nhiều người dùng gặp rủi ro.
Vào đầu năm nay, YouTube đã loại bỏ Flash để phân phối video. Hơn nữa, Firefox cũng chặn hoàn toàn plugin Flash.
Giám đốc An ninh của Facebook đã công khai kêu gọi Adobe công bố một ‘giết ngày cho Flash.’ Google Chrome cũng đã bắt đầu chặn quảng cáo Flash tự động phát theo mặc định.
Do đó, nếu bạn muốn thông tin của mình chỉ ở với bạn thì hãy nói “Tạm biệt Flash.”
