Flash: onveilig of niet?

Vermeende kwetsbaarheid betreft dowloaden van code

09 januari 2001 | Jamie Biesemans Net voor de jaarwisseling verscheen op de anti-virusnieuwssite securityfocus.com een waarschuwing dat gebruikers van Flash potentieel slachtoffer kunnen worden van hackers die via een gat in de browserplugin pc's laten crashen. Op de Bugtraq-lijst verschijnen drie à vier nieuwe meldingen van gaten in software per dag, maar weinig wekken zoveel onrust als nummer 2162. Niet alleen omdat volgens de cijfers van Macromedia ongeveer 96 procent van alle surfers de Flash-module geïnstalleerd hebben, maar ook omdat de kwetsbaarheid betrekking heeft op alle versies van Flash, dus niet alleen de Windows-versies. Naast MacOS 9 en Solaris is ook een heel aantal distributies van Linux in de lijst opgenomen. Omdat Flash zich integreert in Internet Explorer of Netscape Navigator zijn de meeste gebruikers zich zelfs niet bewust dat zij erover beschikken.

Alles draait om het feit dat de Flash-speler code (.swf-bestanden) van een site downloadt en die uitvoert. Meestal gaat het om animatiefilmpjes of blitse webpagina's, maar volgens anti-virusspecialist Neal Krawetz zou ook andere, minder goedaardige code langs deze weg je computer kunnen bereiken. "Dit probleem maakt het mogelijk voor een gebruiker met kwaadwillige bedoelingen om een browser te laten crashen, bijkomende arbitraire code uit te voeren en mogelijkerwijs toegang te krijgen tot 'gevoelige' resources", stelt Krawetz in de uitleg bij de waarschuwing. Voorlopig zijn er wel nog geen voorbeelden bekend van dergelijke code, buiten het swf-bestandje dat Neal Krawetz zelf als voorbeeld construeerde.

Volgens Macromedia moet de waarschuwing gerelativeerd worden. Het bedrijf zegt de gerapporteerde kwetsbaarheid uitgebreid getest te hebben, maar kwam tot de conclusie dat er geen sprake is van een lek in de Flash-software. Wat wel mogelijk is, is dat een Flash-film de browser kan laten crashen, geeft Peter Santangeli, vice president engineering bij Macromedia toe. Het is echter niet mogelijk om via deze weg een virus te introduceren. "Dit is gewoonweg een software-crash, niet een veiligheidskwestie", zegt Santangeli. "Flash is ontworpen om een constrained environment (alle software wordt uitgevoerd in een afgebakend deel van het geheugen) te zijn. Je zou nooit een functionerend virus kunnen laten werken." Lees meer artikels over : macromedia, bugtraq

bron: ZDNet