"MEGABLASTER" - RuhrgeBEAT rulez!!!: Adobe will Clipboard-Attacke durch Flash Player unterbinden

Offenbar will Adobe der Manipulation der Zwischenablage über präparierte Webseiten in der kommenden Version 10 des Flash Player einen Riegel vorschieben. Damit soll es nicht mehr möglich sein, Inhalte der Zwischenablage zu überschreiben und neue Inhalte dort abzulegen – Lesezugriffe sind in den bisherigen Versionen des Flash Players ohnehin nicht möglich. Mit der aktuellen Beta-Version 10 funktionierte in einem kurzen Test der heise-Security-Redaktion zwar der bekannte Clipboard-Exploit von Aviv Raff unter raffon.net/research/flash/cb/test.html nicht mehr auf Anhieb, beim Klick auf die Einstellungen landete die Zeichenkette www.evil.com jedoch wieder in der Ablage.
Bei den bekannt gewordenen Angriffen auf Besucher von Newsweek, Digg und MSNBC schrieben Flash-Werbebanner die URL zu einer Seite in das Clipboard, auf der ein vermeintlicher Online-Antiviren-Scanner den Nutzer mit der Nachricht über eine Infektion des PC erschreckte, um sie zum Kauf von Software zu überreden. Der Angriff auf das Clipboard funktioniert sowohl unter Windows und Linux als auch auf Apple Mac OS X.
Ursache des Problems ist die Funktion System.setClipboard, mit der in Flash eingebettetes ActionsScript ohne Weiteres das Clipboard beschreiben darf. In Version 10 soll die Funktion nur durch Nutzerinteraktionen aufgerufen werden können, etwa bei Maus-Klicks oder Tastatureingaben. Darüber hinaus sollen in ActionScript 3.0 auch die Funktionen Clipboard.generalClipboard.setData und Clipboard.generalClipboard.setDataHandler davon beeinflusst werden. Möglicherweise funktionieren deshalb aber auch andere, nicht sicherheitsrelevante Flash-Applets im Flash Player 10 nicht mehr einwandfrei.

Zwar bringt Version 10 noch weitere Sicherheitsverbesserungen mit sich, allerdings ermöglicht sie dem Player auch erstmals den Lesezugriff auf die Zwischenablage. Adobe will den Missbrauch einschränken, in dem die neu eingeführte Funktion Clipboard.generalClipboard.getData nur von einem Event-Handler aufgerufen werden darf, der gerade einen flash.events.Event.PASTE-Event verarbeitet, also eine Nutzerinteraktion zum Einfügen. Ob diese Restriktion ausreicht, um das Clipboard vor den Zugriffen durch präparierte Webseiten zu schützen, müssen Tests der finalen Version 10 zeigen.(Quelle:Heise.de)

Siehe dazu auch: