Llegamos a ustedes gracias a:



Noticias

Adobe reparará falla de Flash que permite espiar con la webcam

[24/10/2011] Adobe está trabajando en una solución para una vulnerabilidad en el Flash Player que puede ser explotada mediante técnicas de clickjacking para prender las webcams o los micrófonos de las personas sin que ellas lo sepan.
El problema fue descubierto por un estudiante de Ciencias de la Computación de la Universidad de Stanford de nombre Feross Aboukhadijeh, quien basó su prueba de concepto en un problema similar descubierto en el 2008 por un investigador anónimo.
El clickjacking, que se le conoce técnicamente como revestimiento de la interfase de usuario, es un tipo de ataque que combina características de programación web legítimas, como la opacidad y el posicionamiento del CSS, con la ingeniería social para engañar a los usuarios y hacerles tomar acciones no deseadas.
Por ejemplo, las técnicas de clickjacking han sido usadas para engañar a los usuarios de Facebook para enlazarse con páginas maliciosas o postear spam en sus muros haciendo que los botones Me Gusta y Compartir sean transparentes y superponiéndolos sobre otros botones de apariencia legítima.
El ataque de espionaje mediante webcam del 2008 involucraba cargar el Adobe Flash Player Settings Manager, que en la actualidad es una página alojada en el sitio web de Adobe, en un iframe invisibley engañar a los usuarios para que habiliten el acceso al micrófono y a la webcam mediante él.
El señuelo usado por el exploit fue un juego en JavaScript que solicitaba a los usuarios que presionaran varios botones de apariencia inofensiva en la pantalla. Algunos de los clics eran parte del juego, otros eran redirigidos al iframe invisible.
Adobe respondió entonces mediante la inserción de código en la página de Flash Player Settings Manager que evitaba que la página pudiera tener un iframe. Sin embargo, Aboukhadijeh se dio cuenta que el settings manager es en realidad un archivo SWF (Shockwave Flash) y que cargarlo directamente en un iframe, en lugar de cargar toda la página, podría eludir el código anti iframe.
En esencia, esta es la misma vulnerabilidad del 2008 explotada a través de un vector de ataque ligeramente diferente. Realmente me sorprendió encontrar que realmente funciona, sostuvo Aboukhadijeh.
El estudiante afirmó que envió un correo electrónico a Adobe acerca del problema hace unas semanas, pero no ha obtenido respuesta. Sin embargo, la compañía lo contactó luego de que se hiciera público el problema para informarle que están trabajando en una solución que se desplegaría de su lado, y no requeriría que los usuarios actualicen sus instalaciones de Flash Player.
El uso de un archivo SWF alojado en los servidores de Adobe para modificar la configuración de Flash Player en lugar de una interfase local es algo que ha generado problemas en el pasado. Por ejemplo, los defensores de la privacidad se han quejado antes de que esto hace que limpiar los Local Shared Objects (LSO), más comúnmente conocidos como cookies de Flash, sea algo difícil y confuso.
Lucian Constantin, IDG News Service