Κρίσιμο κενό ασφαλείας απειλεί το Internet

Περισσότερα από 500.000 flash αρχεία ενσωματώνουν επικίνδυνα κενά ασφαλείας. Σε κίνδυνο δεκάδες χιλιάδες ιστοσελίδες.

Αθήνα, 24 Δεκεμβρίου 2007 -- Ερευνητές ασφαλείας από τις εταιρίες Google και iSEC προειδοποιούν για κρίσιμα κενά ασφαλείας στα αρχεία Flash που χρησιμοποιούνται από δεκάδες χιλιάδες ιστοσελίδες παγκοσμίως. Σύμφωνα με τις δύο εταιρίες, η μέχρι στιγμής έρευνα έχει αποκαλύψει πως περισσότερα από 500.000 flash αρχεία σε άμεσα προσβάσιμες ιστοσελίδες προσφέρουν την δυνατότητα εκτέλεσης Cross Site Scripting (XSS) επιθέσεων και ταυτόχρονα επιτρέπουν σε κακόβουλους χρήστες να διαβάσουν τα προσωπικά σας στοιχεία.

Όσοι από εσάς δεν γνωρίζετε, τα αρχεία flash είναι αρχεία που δίνουν στους ιδιοκτήτες ιστοσελίδων τη δυνατότητα να προβάλλουν animation (κίνηση), όμορφα γραφικά, video και το σημαντικότερο -πλέον- όλων: τις διαφημίσεις. Ακόμη και αν δεν το γνωρίζετε, η συντριπτική πλειοψηφία σας έχει αντικρίσει δεκάδες τέτοιων αρχείων κατά την διάρκεια της πλοήγησής σας στο διαδίκτυο.

Τα αρχεία, λοιπόν, αυτά ονομάζονται αλλιώς και SWF. Εξαιτίας των κενών ασφαλείας που εντοπίστηκαν, τα SWF (ή Flash) αρχεία είναι ευάλωτα σε επιθέσεις όπου κακόβουλοι χρήστες προσπαθούν να εισάγουν στον αρχικό κώδικα, τον δικό τους επικίνδυνο κώδικα, δια μέσου μίας τεχνικής που ονομάζεται cross site scripting ή αλλιώς XSS. Το χειρότερο της υπόθεσης είναι πως, ακόμη και οι πλέον πρόσφατες ενημερώσεις ασφαλείας που δέχθηκε ο Flash Player δεν επιλύουν το πρόβλημα, πρόβλημα το οποίο δημιουργείται κατά τη στιγμή δημιουργίας των Flash αρχείων! Η έρευνα των δύο εταιριών έδειξε πως τα SWF αρχεία που δημιουργούνται από έξι από τα δημοφιλέστερα προγράμματα δημιουργίας Flash αρχείων και γραφικών, άμεσα ενσωματώνουν τα όποια προβλήματα.

Περισσότερες λεπτομέρειες θα γίνουν διαθέσιμες στο βιβλίο «Hacking Exposed WEB 2.0» το οποίο θα βρεθεί στα βιβλιοπωλεία των Ηνωμένων Πολιτειών τον Ιανουάριο του 2008. Σύμφωνα με τις δηλώσεις του Alex Stamos, ενός εκ των συγγραφέων του βιβλίου, σίγουρα πάρα πολλοί είναι ευάλωτοι. «Ο αριθμός «δεκάδες χιλιάδες» είναι πολύ μικρός, συντηρητικός. Είναι ρεαλιστικότερο να πούμε εκατοντάδες χιλιάδες», δήλωσε σχετικά.

Πηγή: securitylabs.gr

μας εχουνε πρηξει κα8ε τοσο με τα κενα ασφαλειας κ τους κακοβουλους χρηστες.''προσεχε φιλε κινδυνευεις!''.η τρομοκρατια καλα κρατει..