この情報は、リンゴが好きでぃす♪さんのブログで知りました。
7月8日、Adobe Systems は、同社 Flash Player で見つかった深刻な脆弱性を修正した 「Flash Player 14.0.0.145"」(Win/Mac)、「 同 11.2.202.394"」(Linux) などをリリースしたそうです。
Adobe、Flash Playerの更新版公開 JSONP関連の深刻な脆弱性が発覚 @ IT Media エンタープライズ
「同社のセキュリティ情報によると、今回のアップデートではJSONPコールバックAPIの脆弱性に起因する問題など、3件の脆弱性を修正した。悪用された場合、システムを制御される恐れがあり、ユーザーに対して最新版に更新するよう呼び掛けている。」
「OS X 」に 「Flash Player 」をインストールして使用している場合は、システム環境設定の「 Flash Player パネル」から手動でアップデート可能だそうです。
なお、ウエブブラウザの「Google Chrome」 に組み込まれている「 Flash Player」については自動的に更新されるのでアップデートする必要はないです。
追記：（情報元は、Engadget Japanの記事からです。）
Rosetta Flash は、英数字のみに変換したSWFファイルとJSONPを組み合わせた攻撃。クロスドメインアクセスの仕組みJSONPを使う多くのウェブサービスについて、Cookieを盗んでセッションの乗っ取りやユーザー情報窃取などの可能性がある深刻な脆弱性です。CVEは CVE-2014-4671。
Flash とウェブサイト側のJSONPエンドポイントを組み合わせた手法のため、Google や マイクロソフト、Twitter、Instagram、Tumblr、eBay などはすでに自社サイト側でも対策を施しています。またアドビも Flash Player / AIR のアップデートで対策しました。
未対策のサイトでの被害を防ぐためには、ユーザー側でブラウザの Flash Player を最新版 14.0.0.145以降に更新して対策する必要があります。Chrome や IE 10 / IE 11 などFlashを統合したブラウザの場合は、ブラウザを再起動することで最新版にアップデートされるはずですが、念のため
Adobeのこちらのページでバージョンの確認ができます。
Rosetta Flash のキモは、悪用の可能性を減らすためcallbackに英数字しか返さないJSONPを通すために、本来はバイナリのSWFファイルを無理やり英数字だけに変換して、しかも有効なSWFとして実行できるよう符号化する点。 当然対策すべき大穴を見落としていたというよりは、まさか通れるとは思わなかった通気口からニューっと侵入してきたようなイメージです。詳しい手法についてはリンク先に考案者みずからの解説があります。
なおFlashの最新版では、上記のRosetta Flashを使った攻撃に対する脆弱性修正のほかにも、危険性の高いセキュリティ脆弱性を修正しています。いずれにしろ最新版へのアップデートが必要です。
またね。
