研究员称Adobe Flash安全策略的风险高

新闻来源:ZDNet(台湾)
研究员指出，Adobe Flash的安全政策有漏洞，可能导致骇客操纵浏览器处理Flash档的方式，造成访客浏览使用者上传内容的网站时涉险。
Foreground Security资深研究员Mike Bailey周三接受访问时表示，问题出在Adobe Flash的原始安全政策。他说：「Adobe应修改Flash Player处理安全政策的方式，不该允许任意的内容在未经许可的情况下，迳自存取应用程式。」

Bailey指出，Flash Player的预设状态是什麽都信任，但应该「只信任获使用者允许的」。

例如，某人可能上传看似某社群网站的图片，但其实却是一个有问题的Flash档，一旦开启就会在浏览器内执行恶意程式码。Foreground Security资讯长Mike Murray说，任何人只要阅览该图片，电脑就可能中毒。

Bailey表示，据他所知，目前此技术尚未被广泛用于攻击，但「许多网站都潜在安全弱点」。 (Baily在部落格撰文指出，Gmail之前也出现安全问题，可能遭到这类攻击，但后来已亡羊补牢。)

他表示，Adobe前阵子便知悉此事，但表示无法修补，否则可能破坏许多网路上现有的Flash内容和应用程式。

Bailey建议网管人员修改网站设定，以降低骇客入侵风险；使用者应完全解除Flash，或使用NoScript(一种浏览器外挂程式，可拦截不受信任网站冒出的Flash和Java)。

Adobe发言人发表声明回应：「Adobe向来建议，不应允许任意上传或Flash (SWF)内容的附加档，以免可能遭到滥用，例如Mike Bailey举出的情况。Adobe已发表数种最佳措施建议与部落格公告，供网站开发者与所有人参考，以呈现安全的Flash内容。例如，本公司的 Flash Player安全白皮书就详细说明我们的模式。」