A Adobe lançou uma atualização do Flash Player que remenda uma vulnerabilidade crítica (CVE-2018-15981) que pode levar à execução remota de código e que está a alertar os utilizadores a instalá-la o mais rápido possível.
A falha afeta o Flash Player 31.0.0.148 e versões anteriores no Windows, macOS, Linux e Chrome OS, e os detalhes sobre o assunto já estão disponíveis publicamente, o que quer dizer que ela pode ser explorada de imediato pelos cibercriminosos.
A falha foi identificada como CVE-2018-15981 e foi descoberta e relatada pelo investigador Gil Dabah na semana passada.
“The interpreter code of the Action Script Virtual Machine (AVM) does not reset a with-scope pointer when an exception is caught, leading later to a type confusion bug, and eventually to a remote code execution,” he explained, then proceeded to detail how it can be triggered.
Johannes Ullrich, da SANS, também aconselhou os administradores a que o software deve ser instalado na sua última versão ASAP, pois pode ser explorado in-the-wild pelos criminosos.
“Widespread exploitation may be imminent. This is of course, in particular, worrying ahead of the long weekend (in the US) with many IT shops running on a skeleton crew. Try to patch this before you head out on Wednesday, or maybe the weekend shift can take care of it,” he counseled.
“Of course, over the weekend you may be asked to look at issues with relative’s systems. I recommend that you first apply all patches, including this one, then disable Flash. By first patching, and later disabling, you increase your chances of a patched version being installed once the user decides to re-enable Flash. Google Chrome and Microsoft’s Edge browser also need to be updated. Both include Flash by default and are vulnerable.”
O caminho a ser seguido é a remoção permanente do Flash Player e aprender a fazer sem ele, já que a Adobe planeia acabar com o suporte até o final de 2020.