Adobe promette presto patch 2 anni di difetti Shockwave

Adobe pianifica a febbraio di chiudere un pericoloso buco nell'applicazione Shockwave che causa il downgrade dell'applicazione quando un utente lancia vecchi contenuti multimediali, consentendo agli hacker di individuare vulnerabilità vecchie di anni.

Il US Computer Emergency Readiness Team (US CERT) ha emesso un avviso sulla vulnerabilità, che potrebbe consentire a un utente malintenzionato di fornire malware ed eseguire codice arbitrario, considerato come uno dei più pericolosi tipi di difetti.

Stati Uniti Il CERT ha informato Adobe del problema il 27 ottobre 2010, ma un portavoce di Adobe ha detto mercoledì che il problema verrà chiuso con il prossimo importante aggiornamento di Shockwave, previsto per il 12 febbraio.

[Ulteriori letture: Come rimuovere il malware dal tuo PC Windows]

"Non siamo a conoscenza di exploit o attacchi attivi in ​​natura utilizzando questa particolare tecnica", ha affermato Wiebke Lips, senior manager di Adobe per le comunicazioni aziendali. Adobe non considera il problema un alto rischio per gli utenti.

Shockwave viene utilizzato per riprodurre contenuti creati in Macromedia e Adobe Director, che offre strumenti avanzati per la creazione di contenuti interattivi, tra cui Flash.

U.S. CERT ha citato la documentazione di Adobe che dice che se un utente incontra un contenuto che non specifica di usare l'ultima versione di Shockwave 11, viene scaricato un controllo ActiveX più vecchio che estrae componenti del precedente lettore Shockwave 10. Shockwave utilizza un controllo ActiveX quando il contenuto viene richiesto in Internet Explorer di Microsoft ed è presente come plugin in altri browser, secondo US CERT.

Difetti Flash citati

Il runtime Shockwave 10 contiene vulnerabilità e gli "Xtra" dell'applicazione ", che sono componenti del contenuto. Il declassamento di Shockwave a una versione precedente apre anche l'applicazione multimediale Adobe Flash per l'attacco, secondo l'agenzia.

"A causa di questo design, gli aggressori possono semplicemente prendere di mira le vulnerabilità nel runtime Shockwave 10 o uno degli Xtra forniti da Shockwave 10, "ha scritto il CERT degli Stati Uniti. "Ad esempio, la versione legacy di Shockwave fornisce Flash 8.0.34.0, che è stato rilasciato il 14 novembre 2006 e contiene più vulnerabilità note."

U.S. Il CERT ha pubblicato altri due documenti che descrivono i problemi con Xtras e Flash, che Adobe ha detto che sta analizzando. Il primo riguarda il downgrade di Shockwave a una versione precedente di Flash, che riguarda sia Windows che il Mac di Apple. Il secondo riguarda il problema degli Xtras dannosi.

"Non siamo a conoscenza di alcun exploit o attacco attivo in natura usando queste tecniche", ha detto Lips.

Invia suggerimenti e commenti a [email protected]. Seguimi su Twitter: @jeremy_kirk