Cosa c'era dietro l'aumento delle vulnerabilità / patch di Adobe Flash Player nel 2015?

Question

Cosa c'era dietro l'aumento delle vulnerabilità / patch di Adobe Flash Player nel 2015?

#1 da (7 voti)
#2 da (5 voti)

19

Non è un segreto che il 2015 sia stato un anno difficile, per quanto riguarda la sicurezza, per Adobe Flash Player. A parte Adobe stesso che inizia essenzialmente a deprecare lo sviluppo di Flash in gran parte a causa del fatto che lo stato di vecchia data di Flash Player è un obiettivo primario per gli aggressori, il rapporto sulle vulnerabilità e le statistiche degli aggiornamenti di sicurezza raccontano una storia. La pagina pertinente sul sito di Adobe elenca 22 giorni separati in cui ha eliminato le patch per Flash Player, incluso un numero considerevole di versioni out-of-band per correggere zero-days. (Come il Hacking Team zero-days . E Pawn Storm zero-day . E Natale zero-day .) The National Vulnerability Database liste 330 ID CVE distinti emessi per le vulnerabilità segnalate di Flash Player nel 2015. Non numeri divertenti.

Ma la cosa sconcertante per me è meno che così tanti sono state rilevate vulnerabilità in Flash Player nel 2015 e più che in questo modo sono state rilevate molte altre vulnerabilità nel 2015 rispetto agli anni precedenti. Secondo il NVD, nel 2013 Sono stati emessi 56 CVE per le vulnerabilità di Flash Player. Nel 2014 , il numero è leggermente aumentato a 74. Ma passare da 74 a 330 è un salto sorprendente.

Quindi cosa c'era dietro quella drammatica ondata dello scorso anno? I soli fattori ipotetici che mi sono venuti in mente sono stati (a) caso, (b) alcuni importanti cambiamenti nel modo in cui Adobe definisce vulnerabilità separate, e (c) qualche spostamento nel focus dei ricercatori di sicurezza alla ricerca di vulnerabili di Flash Player come target come il client Java e Windows hanno (discutibilmente) stato indurito. Ma quelle sono solo supposizioni selvagge, pseudo-educate che nemmeno io trovo terribilmente avvincente. Qualcuno ha qualcosa di più solido sul perché il numero di vulnerabilità di Flash Player / zero-days / patches è esploso lo scorso anno?

flash vulnerability appsec zero-day

posta mostlyinformed 04.01.2016 - 10:06

fonte

2 risposte

Leggi altre domande sui tag flash vulnerability appsec zero-day

Hacking del firmware della tastiera - Linux vulnerabile? Vault: come funziona l'autenticazione di AppRole?

score 7 · Answer 1

Penso che le risposte che ottieni qui siano per lo più speculazioni. Ma la domanda è comunque interessante. Vedo i seguenti motivi principali:

Altri i soliti vettori di attacco come Java o ActiveX erano più difficili da sfruttare perché la relativa funzionalità era spenta o sono stati aggiunti livelli di interazione (ad esempio clic per giocare, avvisi con codice non firmato e simili). Quindi altri vettori di attacco devono essere trovati. Poiché il flash è quasi ovunque e noto per essere bacato, fa un buon vettore di attacco.
Adobe ha corretto gli exploit noti più velocemente e browser come Firefox o Chrome hanno fatto in modo di non utilizzare più una versione vulnerabile nota. A causa del più breve periodo di tempo in cui un exploit poteva essere usato in pubblico (a volte alcuni giorni solo ora) erano necessari più exploit . E sembra che ci siano sempre abbastanza nuovi exploit disponibili perché oggi puoi fare un sacco di soldi sviluppando e vendendo nuovi exploit.
La creazione di botnet, l'invio di spam, l'iniezione di pubblicità è un'attività in cui è possibile fare un sacco di soldi. Dall'altro lato, la protezione di base dal sistema operativo e l'antivirus sono migliorati . Ciò significa che è necessario utilizzare più exploit nuovi e sconosciuti per mantenere un alto tasso di infezione , ovvero più exploit zero-day o half-day utilizzati. Il denaro guadagnato in questo modo sarà utilizzato per sviluppare o acquistare nuovi exploit. Attualmente esiste un vero settore in cui alcuni vendono o noleggiano kit di exploit e li tengono aggiornati, altri usano questi kit per trasportare il proprio malware e altro semplicemente usando i servizi di botnet consolidate per inviare spam o fare attacchi DDOS.

score 5 · Answer 2

Parte del motivo è che più persone cercano vulnerabilità. Penso:

Throughout 2015, vulnerability disclosure programs and the security community have been immensely helpful in identifying CVE’s. Approximately one-third of our reports this year were via Project Zero alone. Many of these were non-trivial as many of the reported bugs required significant manual research into the platform. With the help of the security community and partners like Microsoft and Google, Adobe has been able to introduce important new exploit mitigations into Flash Player and we are excited about what we are queuing up for next year’s improvements.

Fonte: Collaborazione della community migliora Flash