众所周知，Flash是网络攻击的首选目标。值得注意的是，Adobe在2017年7月宣布计划将Flash推入使用寿命终止状态，这意味着它将在今年年底不再更新或分发Flash Player。不过仍然在使用Adobe的用户需要警惕，因为Adobe 在今年5月被爆出了多个严重漏洞,好在Adobe于6月9日发布了安全更新，修复了漏洞。 Adobe 被爆出的漏洞： 两个严重的越界写入漏洞（代号分别为：CVE-2020-9634，CVE-2020-9635）,一个内存损坏而导致的严重漏洞（代号：CVE-2020-9636）。 对于CVE-2020-9634，特定的漏洞存在于GIF文件的解析中，该问题是由于缺乏对用户提供的数据的正确验证而导致的，这可能导致写操作超出了分配对象的末尾。 对于CVE-2020-9635，PDF文件的解析中存在特定漏洞。问题是由于缺乏对用户提供的数据的正确验证而导致的，这可能导致在分配的对象开始之前进行写操作。 攻击者可以利用CVE-2020-9634，CVE-2020-9635两个漏洞在当前进程的上下文中执行代码，诱使用户打开特定文件或访问恶意页面。 对于CVE-2020-9636，该漏洞是在释放内存后尝试访问的。这可能导致一系列恶意影响，从导致程序崩溃到潜在地导致执行任意代码-甚至启用完整的远程代码执行功能。 受影响的产品版本 1.包括Adobe Flash Player桌面运行时（Windows，macOS和Linux），适用于Google Chrome的Adobe Flash Player（适用于Windows，macOS，Linux和Chrome OS）以及适用于Microsoft Edge / Internet Explorer 11（适用于Windows 10和8.1）的Adobe Flash Player，均适用于32.0版.0.330及更早版本。 2.适用于Windows的Adobe Framemaker版本2019.0.5及更低版本。 升级修复版本 Adobe Flash Player更新到32.0.0.387版本，加强安全性。该版本除了修复最近爆出的漏洞，还可以解决历史上风险较高的产品中的漏洞。 Adobe Framemaker版本升级到2019.0.6版本或最新版本。 其他漏洞 Adobe还修补了与Experience Manager（其用于构建网站，移动应用程序和表格的内容管理平台）中的六个重要级别的漏洞。这些包括可能允许敏感信息泄露的服务器端请求伪造故障（CVE-2020-9643和CVE-2020-9645）和跨站点脚本漏洞（CVE-2020-9647，CVE-2020-9648，CVE-2020 -9651和CVE-2020-9644），可以在浏览器中启用任意JavaScript执行。 受影响的产品版本 Adobe Experience Manager (AEM)所有平台6.5版本 升级修复版本 建议所有用户迅速更新到AEM 最新版本（目前最新版本为：6.5.5.0），加强安全性。     （稿源：TechWeb，封面源自网络。）

针对近日曝光的 Adobe Flash 零日漏洞（CVE-2018-5002），已经出现了一款名叫 CHAINSHOT 的恶意软件攻击。其利用微软 Excel 文件包含的微型 Shockwave Flash ActiveX 对象、以及一个所谓的“电影”的 URL 链接，忽悠人们去下载 Flash 应用程序。研究人员攻破了其采用的 512-bit RSA 密钥，从而揭开了它的神秘面纱。 恶意 Shockwave Flash ActiveX 对象属性 研究人员发现，该 Flash 应用程序其实是一个混淆的下载器： 进程会在内存中创建一个随机的 512-bit RSA 密钥对，将私钥保留在内存中、并将公钥发送到攻击者的服务器，以加密 AES 密钥（用于加密有效负载）。 之后将加密的有效负载和现有的私钥发送到下载程序，以解密128位AES密钥和有效负载。Palo Alto Networks Unit 42 的研究人员破解了加密，并分享了他们的破解方法。 尽管私钥仅保留在内存中，但公钥的模数 n 被发送到了攻击者的服务器。 在服务器端，模数与硬编码指数 e 0x10001 一起使用，以加密此前用于加密漏洞和 shellcode 有效载荷的128-bit AES 密钥。 揭秘 shellcode 有效载荷的 HTTP POST 请求（其模数 n 为十六进制） 一旦研究人员解密了 128-bit AES 密钥，就能够解密有效负载。 获得 RWE 权限之后，执行就会传递给 shellcode，然后在内部加载一个名为 FirstStageDropper.dll 的嵌入式 DLL 。 最后，研究人员分享了感染指征（Indicators of Compromise）： Adobe Flash Downloader 189f707cecff924bc2324e91653d68829ea55069bc4590f497e3a34fa15e155c Adobe Flash Exploit（CVE-2018-5002） 3e8cc2b30ece9adc96b0a9f626aefa4a88017b2f6b916146a3bbd0f99ce1e497     稿源：cnBeta，封面源自网络；  

Adobe Flash 曾经是互联网的功臣，但不适应时代发展的它正在被放弃，只不过安全问题依然很严重，无论 Adobe 还是微软都不得不随时为它更新维护。今天，微软发布了一个编号 KB4074595 的新补丁，专门用于修复 Adobe Flash Player 中的最新 0-day 零日漏洞。 该漏洞存在于 Adobe Flash Player 28.0.0.161 之前的版本中，能让攻击者通过网络或邮件传播包含恶意Flash内容的Office文档，获得系统控制权、执行任意代码。 操作系统方面，除了 Windows 7 之外所有版本都受影响。 据韩国计算机紧急响应团队披露，这个漏洞至少从 2017 年 11 月中旬就被发现了，而且韩国已有人利用此漏洞发起攻击，主要针对与韩国与朝鲜合作的研究部门。 Adobe 也确认已经知晓此漏洞攻击，并建议用户立即升级最新版本 Flash Player 或者更新补丁。 稿源：cnBeta、快科技，封面源自网络

安全研究机构 Malwarebytes 计算机专家近期发现一款古老的 Mac 平台恶意广告程序新变种 Mughthesec，能够绕过苹果 Mac OS 系统的安装前程序验证安全机制。据称，这种恶意广告程序是 OperatorMac 家族恶意程序升级变种。 安全专家指出，Mughthesec 可以将其伪装成一款 Adobe Flash 播放器安装程序。如果该恶意程序检测到一台虚拟机器，它将自动安装并合法拷贝；但如果是真实机器，它会安装上 Advanced Mac Cleaner、Safe Finder 与 Booking.com 三款恶意广告程序。其将会劫持并拦截受感染系统的主页和域名，接下来它还会修改浏览器默认搜索引擎为 AnySearch。随后，Advanced Mac Cleaner 则出来提醒用户系统需要优化和修复问题。如果设备受到感染，安全专家建议彻底清洁重装整个 Mac OS 系统。 稿源：cnBeta，封面源自网络；

Adobe 本周发布了 Flash Player 版本 24.0.0.221 ，新版解决了可能导致攻击者控制被感染系统的重大安全漏洞。受影响的系统包括 Mac 、Windows、Linux 和 Chrome OS。安装有 Flash 24.0.0.194  或更早版本的 Mac 用户应该立刻升级。 谷歌 Chrome 浏览器内置 Flash 会自动升级至 24.0.0.221 版本。这次的安全漏洞由谷歌、微软、 Palo Alto Networks 和 Trend Micro 公司的安全团队发现。 macOS Sierra 系统中的 Safari 会默认禁用 Flash 插件，用户可以手动打开。在过去1年中，Adobe 已经发布了 15 次 Flash 插件重大安全漏洞修复补丁。 稿源：cnBeta；封面源自网络

据外媒报道，Adobe 昨天发布更新紧急修复谷歌工程师发现的针对 Windows 用户的 0-day 漏洞（CVE-2016-7855）。这是一个 use-after-free 漏洞，该漏洞是一种内存数据破坏缺陷，是由程序试图访问或操作已经被释放的内存引起的。该类型漏洞通常会导致程序崩溃,任意代码执行等危害。研究人员称已经发现有网络间谍组织利用该漏洞针对 Windows 7、8.1 和 10 进行攻击。Windows，Mac 和 Linux 平台的更新都已发布并提供下载，通常 Adobe 与微软一样都是每月的第二个星期二发布安全更新，这种突然更新很少见，不过给人一种“惊喜”的感觉。 稿源：本站翻译整理，封面来源：百度搜索

虽然许多安全专家表示, Adobe Flash 项目不值得继续开发应该被关闭,但 Adobe 公司仍然尽一切努力去支持 Flash 继续发展,周二推出了全新的安全补丁,修复 12 个“关键”级别的安全漏洞。其中有 11 项允许黑客在受害者设备上执行远程代码，这可能允许攻击者控制受影响的系统。还有一个漏洞是可绕过 Flash 是安全措施。目前尚没有证据表明有黑客利用这些漏洞执行过攻击，考虑到漏洞等级为“关键”级别，用户应该尽快安装。 稿源：本站翻译整理，封面来源：百度搜索