Risolta pericolosa falla su Adobe Flash che permetteva a spioni che sapevano come effettuare il clickjacking di entrare nel computer di ignari utenti spiandoli usando la webcam e il microfono.

Risolto bug Adobe Flash che permetteva spiare con webcam e microfono grazie al clickjacking

Adobe, che direttamente tutti gli utenti PC conoscono a causa del rinomato lettore PDF Acrobat oppure per il consistente utilizzo di Flash in determinati siti a carattere multimediale, è da qualche tempo riuscita a risolvere una serie di vulnerabilità al proprio lettore di punta (Flash Player), presente sulla maggioranza dei PC attuali, di default oppure dopo aver sollecitato il download per godere di animazioni e giochi online.

Una particolare falla del software, a quanto pare, consentirebbe ad un eventuale aggressore oppure ad un programma malicious di cogliere l’audio ed il video di una webcam remota, plausibilmente registrandolo ad insaputa del proprietario dell’hardware, che difficilmente potrà accorgersene mentre opera al proprio computer.

Questo exploit fa leva sul clickjacking, metodo malizioso di estorsione dati tramite un semplice click del mouse, che spesso permette il redirecting su altri elementi di sicurezza discutibile in Rete, a discrezione dell’hacker.

La vulnerabilità è stata resa nota da uno studioso estero, che ha individuato una serie di bug facendo capo a sua volta alle scoperte di un altro anonimo ricercatore.

In particolare, il panel “Gestione Impostazioni“, il manager di Flash Player, che gli utenti più consapevoli sanno essere la pagina hostata sui server Adobe tramite la quale è possibile modificare il funzionamento dei componenti (cam, cookies, microfono, sharing), poteva essere ingannato fino ad abilitare il microfono connesso all’insaputa dell’user.

I tag contemplati nell’azione facevano capo ad un blocco IFRAME del tutto invisibile, tramite il quale si interagiva inconsapevolmente dal pannello impostazioni.

Adobe ha provveduto ad eliminare l’implementazione risolutiva, dopo vari tentativi, tramite un trucco che non prevede l’ulteriore impostazione di update, inibendo del tutto la possibilità di interagire con IFRAME.