A vulnerabilidade de segurança em questão é considerada grava por comprometer informações sobre a autenticação de utilizadores de várias plataformas que recorrem ao Flash.
A falha foi inicialmente detectada por Michele Spagnuolo, uma engenheira da Google, que disponibilizou a informação no seu blog, onde descreve como é possível tirar partido deste bug. O problema diz respeito a todas as versões do Flash anteriores à actualização 14.0.0.145 (ou 11.2.202.394 se forem utilizadores de Linux).
Segundo Spagnuolo, ao converter arquivos SWF num formato composto por caracteres alfanuméricos torna-se possível manipular o ficheiro de forma a que ‘dispare’ requisições em formato JSONP, como se fosse um utilizador autenticado do Google, Youtube, Twitter, Instagram, eBay e Tumblr, entre várias outras plataformas.
Mais Internet
• Na Era da Internet ainda há espaço para lojas físicas
• Projecto ON-FI leva internet sem fios ao Metro de Lisboa
• Como identificar burlões na internet
• ‘Wearable devices” vêm dificultar manutenção da privacidade
• Internet: uma fonte de inovação ou de limitação?
Spagnuolo também criou uma ferramenta chamada Rosetta Flash que permite tirar partido desta vulnerabilidade, apenas como prova de conceito para validar a sua observação.
Com um processo de requisição bem-sucedido torna-se possível obter dados de acesso, bem como cookies que revelem informações de acesso a contas bancárias e e-mails, entre outros dados.
Os sites que foram afectados por esta questão já estão a resolver a situação. Já a Adobe, responsável pelo Flash, afirma ter actualizado o programa e que os utilizadores irão começar a deparar-se com janelas de notificação ao longo das próximas horas.
