Microsoft waarschuwt voor veiligheidslek Flash-player

Microsoft heeft voor het eerst in de geschiedenis een veiligheidswaarschuwing voor een product van anderen afgegeven, meldt eWeek. Het desbetreffende programma is Macromedia's Flash Player, waar afgelopen week een nieuwe versie van uitkwam. In de nieuwe versie is een bug verholpen die hackers in staat stelt om eigen code op een veroverd systeem te draaien; malware die via Internet Explorer van de exploit gebruikmaakt schijnt al in het wild te zijn aangetroffen. Microsoft maant alle gebruikers van Flash Player om Macromedia's update uit te voeren of anders het gebruik van het pakket in hun computer onmogelijk te maken. De kwetsbare versies zijn de Windows-edities van Flash Player 6 en 7. De gewraakte spelers zijn meegeleverd met Windows 98/SE/ME en met de Service Packs van Windows XP, wat verklaart waarom ook Microsoft gebruikers tegen het veiligheidslek wil waarschuwen.

Reacties (38)

hoe zie ik welke versie ik heb?

Op http://www.macromedia.com/software/flash/about/ kun je zien welke versie van Flash geïnstalleerd is.

rechtermuis klik op een flash object

rechtermuis klik op een flash object

... en dan natuurlijk niet op een flash object waar het probleem bij uitgebuit wordt...

De 'veiligste' methode en mischien ook handig om (in de toekomst) te kijken wat voor plugins je nog meer hebt geinstalleerd onder IE is:

extra / internetopties / programma's en dan invoegtoepassingen beheren

willekeurige flashreclame op tweakers.net rechtermuisknop

Geldt dit ook voor de bewuste versies van Flash Player icm Firefox?

Ik blokkeer voortaan op elke site flash/javascript/java en andere plugins. Dan voel je je toch een stuk fijner, je hebt opeens een stuk minder last van irritante reclame en het surfen gaat een stuk sneller.

Tsja, ik heb met lynx ook nooit last van dit soort dingen...echt heerlijk relaxes surfen ook

Nu je 't zegt, om even snel iets op te zoeken is Lynx idd best fijn. Wat overigens niet zegt dat ik niet hou van een JavaScript interface hier en daar...

Tuurlijk, terug naar de middeleeuwen. Ware het niet dat die net zo onveilig waren. Waarom neem je geen tekstbrowser?

ja. Bij mij werd er verzocht om te updaten. netjes hoor. Ging allemaal vanzelf.

Toch best apart want waarom heeft Firefox hier bijv. geen last van?
Daar draait namelijk ook gewoon flash 6 of 7 op. Het blijft flash, alleen klaargemaakt voor Firefox.

Zou je in dit geval dus niet kunnen zeggen dat het IE is die een klein bugje bevat wat icm de flashplayer kan leiden tot het uitvoeren van 'malicious code' ?

Als het echt een probleem was in de afhandeling van flash op zich dan zou Firefox eigenlijk ook last van moeten hebben. Of het moet te maken hebben met IE dat dieper in het systeem genesteld zit, maar dan spreken we dus alsnog over een IE 'flaw'.

Ik heb nog geen proof of concept bekeken o.i.d. maar apart is het toch wel en helemaal omdat MS zich er nu dus mee bemoeit en 'zogenaamd' voor het eerst een warning geeft over andermas software.

Toch best apart want waarom heeft Firefox hier bijv. geen last van?

Het grappige is dat als je op de update link van Macromedia klikt; je het volgende kan lezen:

Updated versions of Flash Player 7 for Linux and Solaris, which contain a fix for the vulnerability, are also available from the Macromedia Player Download Center

Dus ik vermoed dat je hele verhaal niet opgaat en dat het zelfs cross-platform een probleem is.

Inderdaad, in het bericht staat ook alleen maar dat er 'live'-exploits voor IE zijn gevonden. Dat wil niet zeggen dat ze voor andere browsers/os-en niet mogelijk zijn.

Nog een tip trouwens: Mocht je trouwens net zoals ik IE en FireFox draaien: dan moet je de update voor beide explorers draaien.

Firefox heeft er geen last van omdat die niet het ActiveX component gebruikt. Het lek zit niet in ActiveX maar in een applicatie die gemaakt is voor ActiveX.

Dus Microsoft kan hier weinig aan doen lijkt mij. Vindrt het wel goed dat Microsoft een bulitin uit stuurd.

is dit niet de taak van Macromedia? Het is en blijft de fabrikant!

is dit niet de taak van Macromedia? Het is en blijft de fabrikant!

Nee, het is niet alleen de taak van Macromedia aangezien Microsoft (ook) zelf de software distributie verzorgt.

Het is inmiddels de taak van Adobe geloof ik...

Klinkt als een manier om de penetratiegraad van Flash Player 8 wat op te krikken...

Als het met de Service Packs wordt meegeleverd, dan is het bereik al groot neem ik aan.

Aan de ene kant positief dat ze het melden, maar aan de andere kant... Ze leveren het zelf mee, dus zijn er ook (deels) verantwoordelijk voor. En ze plaatsen een concurrent ook in een negatief spotlight.

6 en 7 zijn met de Service Packs meegeleverd. 8 is redelijk nieuw.

Maar nu is het volgende dus wel totaal niet fijn. Flashplayer 8 werkt niet in combinatie met Adblock voor Firefox. Flashplayer 7 deed het dus wel perfect i.c.m. Adblock. Nu wil ik geen risico lopen en zal de flashplayer updaten. Met als gevolg: geen sites met flash meer kunnen bekijken...
Nu zeggen jullie natuurlijk allemaal: "waarom heb je dan Adblock als je flash wilt bekijken?"
Nou, het gaat me vooral om het blokkeren van irritante knipperende banners. En ik wil nog wel de sites bekijken die zo'n beetje volledig op flash draaien.

http://aasted.org/adblock/viewtopic.php?t=2264
Adblock - Fixed version here!

In deze fixed versie werkt Flash weer als vanouds

de pot verwijt de ketel

Nogal slapjes, vind je zelf niet. Het lijkt me echt geen steek richting Macromedia aangezien Microsoft Flash7 al een ruime tijd in haar OS meeleverd. Het betreft dus een ingevoegd onderdeel van hun OS en het zijn dus de nietsvermoedende klanten van MS die gevaar lopen; niet de klanten van Macromedia want die zitten al lang op Flash8 of zijn in ieder geval al op de hoogte gesteld van de gevaren. Ik vind deze berichtgeving van MS dan ook heel erg netjes.

De 'pot' verwijt niks, de 'pot' geeft alleen aan...

Ik vond het al zo vreemd dat ik vanochtend ineens een updateverzoek kreeg van mn flashplayer. Maar nu snap ik het ineens

hadden ze ook wel even in het updateschermpje mogen meldden, want ik had em al bijna weggeklikt

En een directe link naar de pagina om flash voor windows te updaten naar de meest recente versie (momenteel versie 8.0.22.0).

HO HO HO !! STOP ... deze link installeert volkomen ongevraagd ook yahoobar .. duitse versie nog wel. Nogal brutaal .. wordt nergens vermeld. Ik zal een andere link opzoeken.
Update:Dank je Thijs_cramer. Link aangepast. Geen yahoobar meer.

haal y en ?nc=1 van je link af en je hebt geen yahoo toolbar

dus alleen /flash.html

Bij mij komt ie niet verder dan versie 6,0,79,0
Is al verholpen...

Zo zie je maar weer, geen enkel stukje software is bugvrij....

Zo zie je maar weer, geen enkel stukje software is bugvrij....

Ooit een bug in Hello World gezien?

Ligt eraan in welke taal het geschreven is..

Of wie het geschreven heeft