Злоумышленники активно используют 0day уязвимость Flash Player для кибератак

[JKornev]

Видимо рак на горе свистнет раньше чем во Flash закончатся RCE уязвимости

[navion]

Исправили в 18.0.0.203:
www.adobe.com/products/flashplayer/distribution3.html

[navion]

Либо 18.0.0.205, в релизнотах точных данных про исправленные уязвимости нет:
forums.adobe.com/thread/1893403

Там же появилась версия с PPAPI, так что Flash Player из Chrome никуда не денется.

[ScREW]

Попробовал проэксплоитить свой Chrome.

Flash: WIN 18,0,0,194 x86-32 PlugIn
OS: Windows 7 32-bit
Browser:
===== start =====
MyClass.valueOf()
_ba[3] = 0
v.length = 0x400003f0
v[0] address = 0x8905008
x32[] object = 0x8a25bc8
x32[] data = 0x8d56988
VirtualProtect() address = 0x74f14317
Payload() object = 0x967a490
CreateProcessA() returns 0 (in sandbox)
v.length = 0x3f0
===== end =====

Но в Process Explorer calc.exe не наблюдаю. Что я делаю не так?

[0xA0]

я не уверен, но не в песочнице ли дело?

[ForhaxeD]

А есть какая-нибудь страничка, где можно проэксплойтить?

[Disen]

Вот тут можно скачать сам PoC-exploit.
Здесь я закинул его для себя на поиграться. Но не обещаю, что буду долго это дело деражать у себя.

[qwerty1023]

Тут работает

Скрытый текст

Flash: WIN 11,7,700,169 x86-32 PlugIn
OS: Windows XP 32-bit
Browser: Netscape, Win32, Mozilla/5.0 (Windows NT 5.1; rv:24.0) Gecko/20100101 Firefox/24.0
===== start =====
MyClass.valueOf()
_ba[3] = 0
v.length = 0x400003f0
bad MyClass2 allocation.
MyClass.valueOf()
_ba[3] = 0
v.length = 0x400003f0
v[0] address = 0xe33d008
x32[] object = 0xe8f9cb8
x32[] data = 0xb70ad70
VirtualProtect() address = 0x7c801ad4
Payload() object = 0xfb16400
CreateProcessA() returns 1
v.length = 0x3f0
===== end =====

А тут почему-то нет

Скрытый текст

Flash: WIN 11,7,700,272 x86-32 PlugIn
OS: Windows 7 64-bit
Browser: Netscape, Win32, Mozilla/5.0 (Windows NT 6.1; WOW64; rv:28.0) Gecko/20100101 Firefox/28.0
===== start =====
MyClass.valueOf()
_ba[3] = 0
v.length = 0x400003f0
v[0] address = 0x48ce008
x32[] object = 0x3987cb8
x32[] data = 0x2ebb1b8
VirtualProtect() address = 0x76b54317
Payload() object = 0x2e94490
CreateProcessA() returns 0 (in sandbox)
v.length = 0x3f0
===== end =====

Если на 7-ке отключить песочницу («ProtectedMode = 0» в файл mms.cfg) то начинает работать тоже

Скрытый текст

Flash: WIN 11,7,700,272 x86-32 PlugIn
OS: Windows 7 64-bit
Browser: Netscape, Win32, Mozilla/5.0 (Windows NT 6.1; WOW64; rv:28.0) Gecko/20100101 Firefox/28.0
===== start =====
MyClass.valueOf()
_ba[3] = 0
v.length = 0x400003f0
v[0] address = 0x50f0008
x32[] object = 0x49a3ce0
x32[] data = 0x48491b8
VirtualProtect() address = 0x76b54317
Payload() object = 0x4787460
CreateProcessA() returns 1
v.length = 0x3f0
===== end =====

[qwerty1023]

С самым новым флешем не работает и без песочницы

Скрытый текст

Flash: WIN 18,0,0,203 x86-32 PlugIn
OS: Windows 7 64-bit
Browser: Netscape, Win32, Mozilla/5.0 (Windows NT 6.1; WOW64; rv:28.0) Gecko/20100101 Firefox/28.0
===== start =====
MyClass.valueOf()
_ba[3] = 64
TryExpl() Error: can't cause UaF
===== end =====

[navion]

Windows Defender начал определять и блокировать эксплоит.

[agranom555]

Подтверждаю (windows 10)

[Haoose]

Eset тоже

Ах, ну да. В статье это и написано. =)
С отключенным антивирусом картина такая же. Только без оповещения антивируса.

[3StYleR]

Мы настоятельно рекомендуем пользователям отключить Flash Player для используемого браузера до выхода исправления со стороны Adobe.

Тогда его и включить никогда не получится, ибо уязвимостей в Flash Player — море.

[ScREW]

Их море, только никто не может это море найти. Все эксплоит-киты используют 2-3 эксплоита найденных за последние 3 года. И ещё 2-3 эксплоита JVM-плагина. И при этом, пробиваемость хорошего кита — 6-10%. (RIG, Neutrino Waves, Angler, ...) Если найдёшь хотя бы парочку 0-day уязвимостей во Flash Player и удачно продашь их создателям китов, то за каждый из них можешь выручить 50-100 тыс USD. Подумай на эту тему.