Af Torben B. Sørensen, 11/10/16
Artiklen blev oprindeligt publiceret den 29/7/2014
I sommerferien lukkede Adobe tre sikkerhedshuller i Flash Player. Et af dem er alvorligt.Den alvorligste af sårbarhederne kan udnyttes via webservere, der kommunikerer via JSONP (JSON with padding). Ifølge sikkerhedsforsker Michele Spagnuolo har sårbarheden været kendt længe, men den har været vanskelig at udnytte i praksis.
Michele Spagnuolo har skrevet et program, Rosetta Flash, der gør det let at udnytte sårbarheden. Programmet konverterer en Flash-fil til en fil bestående af alfanumeriske tegn. Dermed kan den sendes over JSONP.
Adobe har strammet op på metoderne, som Flash bruger til at kontrollere validiteten af Flash-filer.
Endvidere har flere store webtjenester ændret på deres opsætning af JSONP, så de ikke kan misbruges til angreb.
Denne og to andre sårbarheder er fjernet i nyeste version af Flash Player, 14.0.0.145 til Windows og Macintosh. Linux-brugere skal opdatere til 11.2.202.394.
Rettelserne blev udsendt den 8. juli.
Anbefaling
Opdater til den nyeste version.