Внедрение произвольных HTTP заголовков в Adobe Flash Player Plugin

0

0

Уязвимость существует из-за недостаточной проверки входных данных в функции addRequestHeader(). Удаленный пользователь может вызвать функцию addRequestHeader() и добавить произвольные заголовки к HTTP запросу Flash Player.

Уязвимость существует из-за недостаточной обработки атрибута contentType. Злоумышленник может с помощью специально сформированного значения contentType указать произвольные заголовки для HTTP запроса.

Злоумышленник может воспользоваться описанными по ссылке уязвимостями для проведения CSRF атак.

Подверженные уязвимости версии:
Flash Player Plugin 9.0.16 и более ранние версии.
Flash Player Plugin 7.0.63 for Linux, возможно более ранние версии

>>> Подробности

Ссылка

←	Вышел 0.2-релиз sBSD (NetBSD для флэшкарт)

BSDstats: Активисты OpenBSD — самые активные активисты в мире

→

Вот и новость про уязвимость :)))

AsphyX ★★★
(19.10.06 16:17:49 MSD)

Ссылка

Да уж... Не успели порадоваться свежей погремушке, как её уже сломали.

~~Lumi~~ ★★★★★
(19.10.06 16:26:00 MSD)

Ответ на: комментарий от Lumi 19.10.06 16:26:00 MSD

Злые противные дети.. ;-)

MiracleMan ★★★★★
(19.10.06 16:43:03 MSD)

Ссылка

Ответ на: комментарий от Lumi 19.10.06 16:26:00 MSD

Вау, они уже 9-ку выпустили?
Как я прозевал?!
Даже не порадоваться, уже и смотреть не надо - сломано =(

ManJak ★★★★★
(19.10.06 16:53:57 MSD)

Ссылка

Братья-хаккеры радуют недетской оперативностью, задорно и весело заруливая проприетарщину на уготованное ей изначально место, респект неизвестным героям.

~~Gharik~~ ☆
(19.10.06 17:03:08 MSD)

Ссылка

казалось бы, причем тут линукс

alt0v14 ★★★
(19.10.06 17:10:39 MSD)

Ответ на: комментарий от alt0v14 19.10.06 17:10:39 MSD

Гаварю вам Internet Explorer 7 вышел.

anonymous
(19.10.06 17:14:56 MSD)

> самый простой и эффективный способ заблокировать flash в браузере -- удалить плагин

а как сделать, чтобы ff при этом не предлагал постоянно его скачать?

KA6AH
(19.10.06 17:33:52 MSD)

Ответ на: комментарий от anonymous 19.10.06 17:14:56 MSD

> Гаварю вам Internet Explorer 7 вышел. Нет причин для беспокойства. И это погремуху тоже на днях опустят.

anonymous
(19.10.06 17:36:05 MSD)

до шестого флеша по-моему эта фигня была. это ужасно страшная дыра - скорее отключайте плагин!

cens
(19.10.06 17:45:23 MSD)

Ссылка

Ответ на: комментарий от Lumi 19.10.06 16:26:00 MSD

> The current Linux build is 9.0.21.55.

> Flash Player Plugin 9.0.16 и более ранние версии.

чуешь Тай^Wразницу ? тут все наоборот

Syncro ★★★★★
(19.10.06 17:48:31 MSD)

Ссылка

Ответ на: комментарий от KA6AH 19.10.06 17:33:52 MSD

>а как сделать, чтобы ff при этом не предлагал постоянно его скачать?

А он предлагает? o_O

Вот уж точно, не зря я всегда говорил -- ff для тех, кому ооочень не хватает IE...

AsphyX ★★★
(19.10.06 17:48:39 MSD)

Ответ на: комментарий от KA6AH 19.10.06 17:33:52 MSD

1) в настройках adblock добавить фильтр: http://*.swf

2) перезагрузить страничку/и

anonymous
(19.10.06 17:53:00 MSD)

Ссылка

Ответ на: комментарий от KA6AH 19.10.06 17:33:52 MSD

> > самый простой и эффективный способ заблокировать flash в браузере -- удалить плагин

> а как сделать, чтобы ff при этом не предлагал постоянно его скачать?

Есть более радикальные методы, например настройка squid. Я вот дома сделал, и теперь наш общий провайдер (:) недополучает моего бабла за счёт кеширования трафика и полной резки банеров. Если дома больше одной машины, то ценность squid ещё больше возрастает.

Очень рекомендую. Конфигами могу поделиться.

ioctl ★
(19.10.06 18:14:30 MSD)

Ответ на: комментарий от KA6AH 19.10.06 17:33:52 MSD

> а как сделать, чтобы ff при этом не предлагал постоянно его скачать?

в строке адреса набрать about:config
найти ключ plugin.default_plugin_disabled, и установить его значение в "false"
для надежности, также можно установить в "false" значение ключа plugin.scan.plid.all, там же. Это отключит автоматический поиск плагинов в интернете.

firsttimeuser ★★★★★
(19.10.06 18:21:26 MSD)

>>> Подверженные уязвимости версии:

Обновляйтесь, блин, для чего же обновления и выпускают, новый плеер под линух пофиксен!

You have version 9,0,21,55 installed :)

Den0k ★
(19.10.06 21:02:36 MSD)

Ссылка

> Гаварю вам Internet Explorer 7 вышел. Нет причин для беспокойства. И это погремуху тоже на днях опустят.

Уже опустили :).

http://overclockers.ru/softnews/23674.shtml

B084 ★★
(19.10.06 21:56:09 MSD)

Ответ на: комментарий от anonymous 19.10.06 17:36:05 MSD

Ты опять не понял! Это в линукс возможность модификации заголовков - это баг. В более продвинутых системах это "фича", существенно упрощающая разработчикам отладку приложения на стороне клиента.

Возможность обнаружить ошибку у клиента, закачать и установить обновление, причём так, чтоб клиент не знал и, следовательно, не волновался об этой проблеме - разве не за этим будущее?!!

pv4 ★★
(19.10.06 22:02:23 MSD)

Ответ на: комментарий от firsttimeuser 19.10.06 18:21:26 MSD

Спасибо :)

stassats ★★★★
(19.10.06 22:13:28 MSD)

Ссылка

Ответ на: комментарий от pv4 19.10.06 22:02:23 MSD

>Возможность обнаружить ошибку у клиента, закачать и установить обновление, причём так, чтоб клиент не знал

s/обновление/троян

blaster999 ★★
(19.10.06 23:54:02 MSD)

Ссылка

ждем ебилдов :)

mutronix ★★★★
(20.10.06 02:23:19 MSD)

Ссылка

Ответ на: комментарий от ioctl 19.10.06 18:14:30 MSD

В вашей деревне до сих пор трафик считают?

RAS ★
(20.10.06 02:45:57 MSD)

Оволосеть, это ж на каждом сайте баннеров пачками. Не говоря уже про дебильные меню и "кнопачки". Интернет всё больше похож на помойку, вебдизайнеры на крыс.

manokur ★★
(20.10.06 06:10:29 MSD)

Ссылка

Ответ на: комментарий от pv4 19.10.06 22:02:23 MSD

Не хочу, чтоб за меня решали. Будущее не за тем. чтоб кто-то меня апдейтил. Вспомни про DRM.

anonymous
(20.10.06 09:09:08 MSD)

Ссылка

Ответ на: комментарий от B084 19.10.06 21:56:09 MSD

> Уже опустили :)

Причём одновременно с официальным выпуском :)

los_nikos ★★★★★
(20.10.06 09:36:25 MSD) автор топика

Ссылка

Ответ на: комментарий от RAS 20.10.06 02:45:57 MSD

> В вашей деревне до сих пор трафик считают?

Считают.

А также ценят своё время и нервы.

Посидишь так за баннеррезкой, попривыкнешь, а потом у знакомых выходишь в Инет напрямую, так просто плющит от обилия цветастых дрыгающихся картинок на знакомых информационных ресурсах.

ioctl ★
(20.10.06 12:10:23 MSD)