Adobe gaat kritieke Flash-kwetsbaarheid verhelpen

Adobe gaat deze week een kritiek beveiligingslek in Flash Player verhelpen, belooft het bedrijf. Gebruikers van Chrome kunnen donderdag een update verwachten; vrijdag volgen overige browsers. De kwetsbaarheid werd actief misbruikt.

Deze week werd bekend dat aanvallers e-mails verspreidden met Word-bestanden waarin een besmet Flash-bestand was ingesloten. Zo konden hackers toegang krijgen tot computers van gebruikers.

Voor zover bekend werd de Flash Player-kwetsbaarheid alleen in Windows misbruikt, maar Adobe gaat later deze week beveiligingsupdates uitbrengen voor zijn Flash Player-software voor Windows, Mac OS X, Linux en Solaris, schrijft Cnet.

Gebruikers van Google Chrome kunnen donderdag al profiteren van de beveiligingsupdate. Gebruikers van overige browsers kunnen vrijdag een update tegemoet zien. Het is nog onduidelijk wanneer de Android-versie van Flash Player een update krijgt.

Reacties (42)

[Limaad]

"..De kwetsbaarheid werd actief misbruikt.."

Is het zo dat er al een soort tussenoplossing is hiervoor? Of wOrdt het nogsteeds misbruikt?

edit voor reacties hieronder:
Het hele artikel is in de verleden tijd geschreven, alsof het probleem al verholpen is. (Of dat er in ieder geval een tussenoplossing is, maar daar wordt verder niet over gesproken.)
Het niet downloaden van Wordbestanden is natuurlijk geen oplossing.

[Reactie gewijzigd door Limaad op 27 juli 2024 14:56]

[Dlocks]

Tussenoplossing is het niet openen van Word-bestanden die je via e-mail van mensen ontvangt die je niet kent en/of van mensen die je wel kent maar waar je normaal gesproken geen Word-bestanden van ontvangt.

En misschien houden virus-scanners dit tegen?

--edit--

Het niet downloaden van Wordbestanden is natuurlijk geen oplossing.

Nee, maar wel een tussenoplossing.

[Reactie gewijzigd door Dlocks op 27 juli 2024 14:56]

[Keypunchie]

Wat ik vaak zie, en waar familieleden van mij wel eens wat mee oplopen.:

Dan wordt er zo'n "grappige" presentatie rondgestuurd. Je weet wel, van die flauwe kantoorhumor over "het verschil tussen mannen en vrouwen". Hele afdeling ligt dubbel en o ja, er is een virus naar binnen gesneakt.

Op corporate IT niveau is dat mooi het probleem van beheerders, die virus-updates e.d. up-to-date moeten houden.

Op huishoudelijk IT niveau, is er nauwelijks beginnen aan om uit te leggen dat familieleden GEEN vage word-bestanden moeten openen en moet je maar hopen dat je inrichting met het automatisch ophalen van updates e.d. ook netjes wordt nageleefd en niet door de gebruiker gemold is. (Om door middel van Active Directory policies aan je vader en moeder op te dringen gaat wat ver).

Een andere, maar ook weer wat drastische oplossing, is om als huishoudelijk IT-ondersteuner Ubuntu Linux te installeren.

*zucht*

[Ruben314]

Of we web-browser standaard in een sandbox laten draaien. Werkt hier prima.

[kmf]

flashblock? en die word-bestanden handmatig downloaden?

[DamonTheron]

Mooi, maar dat smeekt wel om de vraag hoe lang deze kwetsbaarheid al bekend was. Ik hoor toch al een flinke tijd over dergelijke kwetsbaarheden maar ik zal aannemen dat het in die gevallen om andere fouten ging.

Netjes dat het nu gedicht wordt. Ik wordt wel redelijk moe van dit soort ellende. Gelukkig is het vrij simpel te omzeilen door geen onbekende word-documenten te openen wat voor alle tweakers hier toch standaard procedure zou moeten zijn. Wat ik me afvraag is of dit sooft flash-bestanden niet online kunnen worden embed, zodat gebruikers via bijvoorbeeld een www.mlcr0s0ft.com link naar een dergelijke website kunnen worden gebracht en zo worden geïnfecteerd. Daar zouden mensen een stuk sneller vatbaar voor zijn. Zeker als ze verouderde browsers gebruiken die geen sandboxing toepassen.

[Zapato]

Iedere word document dat ik niet zelf heb gemaakt en nooi eerder heb geopend is voor mij onbekend. Geen word documenten van anderen openen is denk ik geen optie in de praktijk.

[DamonTheron]

Het is natuurlijk niet zo letterlijk als je het nu schetst bedoelt. Maar als je een word document van iemand toe krijgt gestuurd zonder dat dit vantevoren was afgesproken en zonder enige duidelijke aanleiding zou dit toch enkele belletjes moeten doen rinkelen. Dan zou ik als eerste even contact opnemen met die persoon om te zien of deze ook daadwerkelijk het bestand heeft verstuurd.

[Limaad]

Voor veel mensen niet blijkbaar.
En sowieso, je verwacht als 'normale internetter die alle mails leest' niet dat er uberhaupt een virusachtig iets in een word document kan zitten. Dus uit nieuwschierigheid zal die het openen.

dom, maar dat hou je niet tegen.

[MineTurtle]

Jeej ben ik een dag eerder als chromegebruiker

Wel raar dat ze het niet tegelijk uitgeven imo... Wel goed dat ze het lek proberen te dichten, gebeurt vaak zat dat ze er niet eens aan beginnen...

[Ventis]

Vreemd dat je het moet embedden in Word om gebruik te kunnen maken van de kwetsbaarheid. Is dit dan ook niet een lek in Word?

[Rafe]

Ik gok dat Flash geladen wordt via ActiveX. Mogelijk voorkomen strengere beveiligingsinstellingen in Office dat het lek misbruikt kan worden, maar dit is speculatie mijnerzijds.

[Dlocks]

Is dit dan ook niet een lek in Word?

Dat zou je wel denken. Als het via een browser én stand-alone SWF niet werkt maar dus -volgens het artikel- enkel en alleen in Word dan is het misschien een combinatie van kwestbaarheden?

_{Offtopic
Vreemd dat je omlaag gemod wordt.}

[Reactie gewijzigd door Dlocks op 27 juli 2024 14:56]

[xippie]

Oplossing is Active-X Flash player verwijderen, en een andere browser gebruiken zoals Chrome, Firefox of Safari
Chrome heeft als voordeel dat hij zelf zijn Flash update.

[ChrissieOne]

Meh, van mij mogen ze eerder die hele zooi uit de deur doen, gister is Chrome 4x in een uur gecrasht, vanwege een niet werkende Shockwave Flash player...
(of ze moeten dat onmiddelijk patchen, anders block ik het gewoon)

@worldcitizen: Ah, mijn fout, maar beide komt van Adobe

Gebeurde mij trouwens vroeger nooit, en niets geinstalleerd oid de laatste tijd, dus geen idee waar het aan kan liggen...

[Reactie gewijzigd door ChrissieOne op 27 juli 2024 14:56]

[DamonTheron]

Ben bang dat het in dit geval om een probleem aan jouw kant gaat. Ik draai Chrome nu al tijden en crashes met Shockwave Flash komen vrijwel nooit voor, alleen wanneer ik bijvoorbeeld enorm veel players tegelijk open zet en mijn arme laptopje het niet meer aankan.

[Zapato]

Volgens mij heeft dat er niets mee te maken. Het gaat om een kwetsbaarheid is Flash.

[Verwijderd]

vanwege een niet werkende Shockwave Flash player...

Shockwave en Flash zijn twee verschillende software producten.

In dit geval gaat het over de Flash player.

[humbug]

Of je gooit chrome eruit en neemt een browser die wel goed met flash overweg kan....

[BrutalDave]

Heb ook dit probleem sinds kort, terwijl ik nooit eerder problemen heb gehad met Flash in Chrome.
Een herinstallatie van Chrome of Flash heeft bij mij iig niet geholpen. Wat heb jij al geprobeerd?

edit: typo

[Reactie gewijzigd door BrutalDave op 27 juli 2024 14:56]

[Mitsuko]

Het kan helpen om Flash eerst volledig te verwijderen en dan opnieuw te installeren. Waarom dat soms nodig is weet ik niet, maar ik heb al meerdere malen gelezen dat hierdoor problemen werden opgelost.

[Verwijderd]

Het is gewoon een oud trucje; aan-uit zetten, opnieuw installeren, etc.

In dit geval zou het kunnen komen dat er gewoon verkeerde bestanden tussen staan, kapotte bestanden, verkeerde versies, dependencies die missen/comflicteren, instellingen van andere programma's die herrie schoppen, etc.

Bij herinstalleren wordt dat vrijwel allemaal even opgelost.

[RSpliet]

Kan iemand een belletje terug in de tijd naar Adobe doen? Vragen of ze de Square beta ook een update willen geven. Ik weet dat het een Beta is, maar het is het enige voorhanden om Flash normaal af te spelen (zonder nspluginwrapper-achtige techniek) op een 64-bit OS. Zou ik graag veilig doen.

[Reactie gewijzigd door RSpliet op 27 juli 2024 14:56]

[Ventis]

64 bit ondersteuning komt in Flash Player 11 dacht ik. Die komt in Q3 2011 uit.

[Moartn]

Ik wil geen OS-flamewar starten, maar ik ben wel benieuwd hoe het komt dat het lek in Flash onder Windows veel grotere gevolgen heeft dan exact hetzelfde lek onder andere OSen? Ligt dat puur aan de luiheid van de makers van de exploits omdat ze alleen iets schrijven voor de grootste "gebruikersgroep", of mist Windows een beveiligingslaag om Flash heen die andere OSen wel hebben?

[cornedor]

Dat komt omdat Windows totaal anders werkt dan andere OSen

[DamonTheron]

Dit komt omdat Windows, Linux en OSX allemaal volledig anders werken. Het is over het algemeen niet mogelijk om een trojan of virus te schrijven dat op meerdere OSen met een andere structuur werkt.

Omdat Windows verreweg de meeste gebruikers heeft worden dit soort exploits met Windows in gedachte geschreven. Zo werpen ze een zo groot mogelijk net en kunnen ze zo veel mogelijk gebruikers duperen. Daarnaast zijn bijvoorbeeld Linux gebruikers vaak iets tech-savvyer dan de gemiddelde windows-gebruiker (ik probeer ook geen flame war te starten, ik ben ook een windows gebruiker). Deze zullen dus eerder voorzichtig met hun computer omspringen en dus minder snel door dit soort exploits gedupeerd worden, wat het ook minder aantrekkelijk maakt om voor dergelijke platformen te schrijven.

[Verwijderd]

Windows werkt heel anders ja, maar Linux en OSX liggen opzich redelijk dichtbij elkaar.

[Wolfos]

Op laag niveau wel ja, maar daar zitten de fouten waarschijnlijk niet.

[TMDevil]

Ik denk dat het probleem zich inderdaad bevind in de grote van de gebruikersgroep. Vooral als er Word voor nodig is, is vrij zonde van je tijd om zoiets te maken voor Linux of MacOS.

[computerjunky]

heb liever dat de het probleem verhelpen dat sinds 10.2.153.1 computers laat crashen bij het afspelen van een flash filmpje.

[Verwijderd]

Ja, me zusje heeft dat probleem vaak.

[desalniettemin]

Ligt dan waarschijnlijk aan je systeem, want ik heb er geen last van

[ici]

Ik wordt uberhaupt een beetje gek van al die updates van Flash. Het lijkt wel of ze daar niet kunnen programmeren. Bijna dagelijks moet ik updaten. Op mijn iPad mis ik flash totaal niet. Wat mij betreft mag die hele flash en al de hieraan gerelateerde rommel van de IT aardbodem verdwijnen. Niemand zal het missen!

Lets flush Flash !

[Wolfos]

De miljoenen gebruikers van deze websites denken daar anders over:
http://www.newgrounds.com/
http://www.kongregate.com/

Als jij Flash niet nodig hebt kan je het gewoon deïnstalleren.

[Reactie gewijzigd door Wolfos op 27 juli 2024 14:56]

[cornedor]

Als hij bijna dagelijks update gaat er iets niet goed bij jou. Niemand zal het missen is ook niet helemaal waar, er is nog zoveel flash content op het web wat in HTML5/JS/CSS3 zeer moelijk te realiseren is (ivm de nu al cross browser problemen).