Descobertas novas falhas no Flash usadas pela Hacking Team

O roubo de dados que a empresa de segurança Hacking Team sofreu veio revelar as suas práticas e os seus modos de operação mais obscuros. Não eram de todo os mais correctos e usavam falhas ainda não conhecidas para conseguir o que pretendiam.

A análise de todos esses documentos veio mostrar vários problemas que estavam ainda por resolver, nomeadamente no Flash. Com o explorar destes dados veio agora a conhecer-se mais duas falhas do Flash, ainda por resolver.

A avaliação que está a ser feita aos documentos roubados à empresa Hacking Team tem-se mostrado muito útil na compreensão da forma como esta agia e como conseguia dar aos seus clientes o acesso a dados e às comunicações.

Através da exploração de falhas no iPhone ou no próprio Flash conseguiam acesso a dados não autorizados, garantindo que as falhas se mantinham por resolver.

As duas novas falhas do Flash

Na continuação dessa avaliação foi agora possível descobrir mais duas falhas no flash, ambas por resolver, e que garantiam à Hacking Team o acesso às máquinas dos utilizadores que quisessem explorar.

Ambas as falhas estão presentes nas versões dos três principais sistemas operativos e permitem que estas máquinas corram corram código malicioso após o flash apresentar problemas e deixar de funcionar.

Critical vulnerabilities (CVE-2015-5122, CVE-2015-5123) have been identified in Adobe Flash Player 18.0.0.204 and earlier versions for Windows, Macintosh and Linux. Successful exploitation could cause a crash and potentially allow an attacker to take control of the affected system. Adobe is aware of reports that exploits targeting these vulnerabilities have been published publicly. Adobe expects to make updates available during the week of July 12, 2015.

Adobe would like to thank Dhanesh Kizhakkinan of FireEye for reporting CVE-2015-5122 and Peter Pi of TrendMicro for reporting CVE-2015-5123 and for working with Adobe to help protect our customers.

A Adobe já tem conhecimento destas duas falhas e está activamente a trabalhar no sentido de as resolver, esperando-se que ainda esta semana surjam novas versões do Flash para as corrigir.

Soluções para estes problemas

Neste momento ainda não existe uma solução para estes dois problemas pelo que o recomendado aos utilizadores é que removam o Flash ou que pelo menos o desabilitem nas suas máquinas.

Uma segunda medida, com menor grau de segurança, passa pela activação nos browsers da nova funcionalidade "click to play". Não garante uma segurança a 100%, mas pelo menos dá ao utilizador o controlo sobre os elementos flash que podem correr no browser.

O Flash é sem dúvida o software que mais problemas tem apresentado nos últimos anos e que tem garantindo a muitos que conseguem explorar máquinas remotas, sem o utilizador ter qualquer conhecimento.

As medidas que a Hacking Team utilizava mostram que estas falhas podem ser facilmente encontradas e exploradas, sem que as mesmas sejam do conhecimento de quem desenvolve as aplicações e os serviços.