Adobe has begun hasty work to fix an unpleasant vulnerability in one of its most famous technologies, Flash Player. Thanks to this subtlety, attackers could covertly activate microphones and webcams on end-user computers using the so-called “clickjacking” method. A vulnerability student at Stanford University, Feross Abuhadiji (Feross Aboukhadijeh), who created an example of hacking based on an algorithm discovered back in 2008 by an anonymous researcher, discovered the vulnerability.
Technically, “click stealing” is a type of attack that combines the completely legal capabilities of web applications, including setting transparency and positioning of elements using CSS styles, as well as social engineering methods that trick users into performing unnecessary actions. For example, this was used to force users of social networks to “put pluses” on false pages or to place spam on their own - the corresponding buttons were simply made transparent and superimposed on top of completely harmless elements.
The 2008 attack on webcams was built using the Adobe Flash Player Settings Manager utility, which is actually a web page on the Adobe website. It was displayed in an invisible Iframe, and as a result of deception, the user himself turned on access to his microphone and webcam. Then, a game written in JavaScript was used to deceive, and some mouse clicks really worked in it, while others were redirected to an invisible frame. As a result, Adobe introduced a special code into the Flash Player Settings Manager dialog that prevents this page from being inserted into invisible frames.
Despite the measures taken, Abuhadiji found that all access parameters are stored in a regular SWF file (Shockwave Flash), and they can be loaded into the frame directly, without the rest of the web page. As a result, it becomes possible to bypass Adobe code that protects against insertion into frames. In fact, the same vulnerability is used as in 2008, only the attack vector is chosen slightly different. Abuhadiji himself admitted that he was surprised by the operation of his scheme. The author claims to have informed Adobe of the vulnerability found, but received no response. Only after the public announcement did Adobe reach Abuhadiji to inform them of work to rectify the situation. It is assumed that to circumvent the vulnerability, users do not have to update their copies of Flash Player.
Based on materials from BetaNews, PC World, and CNET.
Technically, “click stealing” is a type of attack that combines the completely legal capabilities of web applications, including setting transparency and positioning of elements using CSS styles, as well as social engineering methods that trick users into performing unnecessary actions. For example, this was used to force users of social networks to “put pluses” on false pages or to place spam on their own - the corresponding buttons were simply made transparent and superimposed on top of completely harmless elements.
The 2008 attack on webcams was built using the Adobe Flash Player Settings Manager utility, which is actually a web page on the Adobe website. It was displayed in an invisible Iframe, and as a result of deception, the user himself turned on access to his microphone and webcam. Then, a game written in JavaScript was used to deceive, and some mouse clicks really worked in it, while others were redirected to an invisible frame. As a result, Adobe introduced a special code into the Flash Player Settings Manager dialog that prevents this page from being inserted into invisible frames.
Despite the measures taken, Abuhadiji found that all access parameters are stored in a regular SWF file (Shockwave Flash), and they can be loaded into the frame directly, without the rest of the web page. As a result, it becomes possible to bypass Adobe code that protects against insertion into frames. In fact, the same vulnerability is used as in 2008, only the attack vector is chosen slightly different. Abuhadiji himself admitted that he was surprised by the operation of his scheme. The author claims to have informed Adobe of the vulnerability found, but received no response. Only after the public announcement did Adobe reach Abuhadiji to inform them of work to rectify the situation. It is assumed that to circumvent the vulnerability, users do not have to update their copies of Flash Player.
Based on materials from BetaNews, PC World, and CNET.
Original message
Компания Adobe начала спешную работу над устранением неприятной уязвимости в одной из своих самых известных технологий Flash Player. Благодаря этой узявимости злоумышленники могли скрытно активировать микрофоны и веб-камеры на компьютерах конечных пользователей, используя метод так называемой «кражи кликов» (clickjacking). Обнаружил уязвимость студент Стэнфордского университета Феросс Абухадижи (Feross Aboukhadijeh), создавший пример взлома на базе алгоритма, раскрытого еще в 2008 анонимным исследователем.
Технически «похищение кликов» представляет собой такой тип атаки, в котором сочетаются вполне легальные возможности веб-приложений, включая установку прозрачности и положения элементов с помощью стилей CSS, и также методы социальной инженерии, которые обманом заставляют пользователей выполнить ненужные действия. Например, подобное применялось, чтобы заставить пользователей социальных сетей «ставить плюсики» на фальшивых страницах или размещать спам на своих – соответствующие кнопки просто делались прозрачными и накладывались поверх вполне безобидных элементов.
Атака 2008 года на веб-камеры была построена на использовании утилиты Adobe Flash Player Settings Manager, которая фактически представляет собой веб-страницу на сайте Adobe. Она выводилась в невидимом фрейме Iframe ,а пользователь в результате обмана сам включал доступ к своему микрофону и веб-камере. Тогда для обмана использовалась игра, написанная на JavaScript, причем некоторые щелчки мыши действительно работали в ней, тогда как другие перенаправлялись на невидимый фрейм. В итоге компания Adobe внедрила в диалог Flash Player Settings Manager специальный код, который не дает вставлять эту страницу в невидимые фреймы.
Несмотря на принятые меры, Абухадижи обнаружил, что все параметры доступа хранятся в обычном файле формата SWF (Shockwave Flash), и их можно загрузить во фрейм напрямую, без остальной веб-страницы. В результате появляется возможность обойти код Adobe, защищающий от вставки во фреймы. По сути, используется та же уязвимость, что и в 2008 году, только вектор атаки выбран несколько иной. Сам Абухадижи признал, что был удивлен срабатыванием своей схемы. Автор утверждает, что сообщил компании Adobe о найденной уязвимости, но не получил ответа. Только после публичной огласки компания Adobe вышла на Абухадижи, чтобы проинформировать о работе над исправлением ситуации. Предполагается, что для обхода уязвимости пользователям не придется обновлять свои копии Flash Player.
По материалам сайтов BetaNews, PC World и CNET.
Технически «похищение кликов» представляет собой такой тип атаки, в котором сочетаются вполне легальные возможности веб-приложений, включая установку прозрачности и положения элементов с помощью стилей CSS, и также методы социальной инженерии, которые обманом заставляют пользователей выполнить ненужные действия. Например, подобное применялось, чтобы заставить пользователей социальных сетей «ставить плюсики» на фальшивых страницах или размещать спам на своих – соответствующие кнопки просто делались прозрачными и накладывались поверх вполне безобидных элементов.
Атака 2008 года на веб-камеры была построена на использовании утилиты Adobe Flash Player Settings Manager, которая фактически представляет собой веб-страницу на сайте Adobe. Она выводилась в невидимом фрейме Iframe ,а пользователь в результате обмана сам включал доступ к своему микрофону и веб-камере. Тогда для обмана использовалась игра, написанная на JavaScript, причем некоторые щелчки мыши действительно работали в ней, тогда как другие перенаправлялись на невидимый фрейм. В итоге компания Adobe внедрила в диалог Flash Player Settings Manager специальный код, который не дает вставлять эту страницу в невидимые фреймы.
Несмотря на принятые меры, Абухадижи обнаружил, что все параметры доступа хранятся в обычном файле формата SWF (Shockwave Flash), и их можно загрузить во фрейм напрямую, без остальной веб-страницы. В результате появляется возможность обойти код Adobe, защищающий от вставки во фреймы. По сути, используется та же уязвимость, что и в 2008 году, только вектор атаки выбран несколько иной. Сам Абухадижи признал, что был удивлен срабатыванием своей схемы. Автор утверждает, что сообщил компании Adobe о найденной уязвимости, но не получил ответа. Только после публичной огласки компания Adobe вышла на Абухадижи, чтобы проинформировать о работе над исправлением ситуации. Предполагается, что для обхода уязвимости пользователям не придется обновлять свои копии Flash Player.
По материалам сайтов BetaNews, PC World и CNET.
