Hackeři nebudou moci zneužívat Flash v MS Office

Společnost Adobe minulý týden oznámila, že do svého Flash Playeru přidá novou bezpečnostní funkci, která má bránit hackerům ve zneužívání chyb skrytých ve Flashi pomocí kancelářského balíku Microsoft Office. Nová funkce – vyskakovací okno s varováním – se spustí, jakmile Flash Player detekuje v dokumentech vytvořených v Office 2007 a starších flashový obsah. V současné době se flashový obsah zakomponovaný v dokumentech vytvořených v Office 2007 a jeho předchůdcích Office 2003 a Office XP spouští na počítačích s Windows automaticky. A toho samozřejmě hackeři už dlouho zneužívají, o čemž Adobe dobře ví.

„Od listopadu 2010 zaznamenáváme zneužívání chyby tupu „zero-day“ (pro které ještě nejsou vydány aktualizace) ve Flash Playeru pomocí dokumentů Microsoft Office, které hackeři posílají přes e-mail,“ uvedl na blogu Adobe Secure Software Engineering Team (ASSET) bezpečnostní stratég Peleus Uhley.

Jakmile bude v dokumentu detekován flashový prvek, zobrazí se uživateli dialogové okno s doporučením, aby obsah nepřehrával. Pokud si uživatel bude jistý, že dokument pochází z důvěryhodného zdroje, animaci může nechat přehrát. U novějších verzí Officu se dialogové okno zobrazovat nebude, jelikož Office 2010 a 2013 obsahují tzv. sandbox, jenž uživatele proti automatickému spouštění Flashe chrání. Microsoft této funkci říká „Chráněné zobrazení“.

Uhley neslibuje, že nové dialogové okno zneužívání chyb ve Flashi v dokumentech Office zcela zabrání, určitě jich ale ubude. „Viděli jsme v minulosti, že útočníci se velmi hbitě přizpůsobují podobným změnám. Našim cílem proto je, aby nová funkce Flash Playeru hackery od zneužívání flashových animací v dokumentech Office co možná nejvíce odradila,“ řekl Uhley, avšak neuvedl, kdy se nové dialogové okno ve Flash Playeru objeví. Ví se pouze to, že funkce bude zakomponována do „další verze“ aplikace, která je nyní „ve fázi beta testování.“