Jeśli przy wywołaniu umieszczonego w witrynie Adobe Menedżera ustawień Flash Playera zaakceptujemy sfałszowany certyfikat, napastnicy są w stanie zmanipulować konfigurację ustawień dostępu do stron WWW. W następstwie tego dana strona może mieć dostęp do podłączonych do komputera kamer i mikrofonów, co z kolei pozwala na zdalne wykorzystanie komputera jako pluskwy do podsłuchu albo kamery do inwigilacji.
Jeśli przy wywołaniu umieszczonego w witrynie Adobe Menedżera ustawień Flash Playera zaakceptujemy sfałszowany certyfikat, napastnicy są w stanie zmanipulować konfigurację ustawień dostępu do stron WWW. W następstwie tego dana strona może mieć dostęp do podłączonych do komputera kamer i mikrofonów, co z kolei pozwala na zdalne wykorzystanie komputera jako pluskwy do podsłuchu albo kamery do inwigilacji.
Problem
Alexander Klink z ośrodka Fraunhofer SIT podczas MetaRheinMain Chaosdays 1001b opisał atak, w którym przy wywołaniu Menedżera ustawień za pomocą ataku typu Man in the Middle można dokonać ingerencji w połączenie. Sam panel konfiguracyjny jest również jedynie apletem flashowym i jest ładowany w przeglądarce za pośrednictwem HTTPS jako plik SWF –. link do tej strony jest na trwałe zakodowany we wtyczce.
Zagrożenie
W wyniku ataku MITM można przemycić do tego procesu zmanipulowany aplet, który –. mówiąc w uproszczeniu – zmienia flashowe cookies (Local Shared Objects, LSO) na komputerze ofiary i w ten sposób pozwala na dostęp do kamerki internetowej i mikrofonu ze wszystkich domen. Standardowe ustawienie jest takie, że żadna domena nie ma do nich dostępu. Następnie obraz i dźwięk można wysyłać przez strumień RTPM do serwera potencjalnego napastnika.
Wprawdzie atakujący jest w tym procesie uzależniony od pomocy użytkownika, który w momencie przerwania połączenia SSL musi zaakceptować sfałszowany certyfikat, ale błąd przy wywoływaniu należącej do Adobe strony nie musi wcale budzić podejrzliwości.
Rozwiązanie
Firma Adobe została już poinformowana o problemie i rozważa stworzenie nowego interfejsu użytkownika dla Menedżera ustawień. Klink proponuje, aby przy wywoływaniu pewnych API zewnętrznych stron pojawiał się komunikat ostrzegawczy.
Ochrona
Przez ustawienie opcji AVHardwareDisable = 1 w pliku konfiguracyjnym mms.cfg można całkowicie wyłączyć Flash Playerowi możliwość dostępu do sprzętu audio i wideo. To, gdzie można taki plik znaleźć, Adobe wyjaśnia między innymi w dokumencie Technote.
wydanie internetowe www.heise-online.pl
