Hai lỗ hổng mới được phát hiện trong trình Flash Player của Adobe có thể bị khai thác để thực thi mã tùy ý từ xa, theo khuyến cáo của Cơ quan Hành động Khẩn cấp Máy tính Mỹ US-CERT và nhiều công ty nghiên cứu bảo mật khác.

Các lỗ hổng bảo mật được công ty Intevydis (Nga) phát hiện. Intevydis đã tích hợp mã khai thác chúng vào trong modul Vulndisco của họ cho ứng dụng thử nghiệm thâm nhập Immunity Canvas. Intevydis không có kế hoạch thông báo cho Adobe về những lỗ hổng này, người sáng lập kiêm Giám đốc điều hành Intevydis Evgeny Legerov hai năm trước cho biết hãng sẽ không còn thông báo miễn phí cho các nhà cung cấp về những lỗ hổng họ phát hiện ra nữa.

Ngoài Intevydis, còn có công ty Vupen (Pháp) cũng chỉ chia sẻ thông tin về các vấn đề bảo mật họ phát hiện ra với các khách hàng trả tiền của mình.

Theo ông Legerov, mã khai thác được Intevydis phát triển cho hai lỗ hổng zero-day trong Flash Player có thể bỏ qua các tính năng chống khai thác trong Windows (bao gồm DEP và ASLR). Các lỗ hổng Flash Player có thể bị khai thác bằng cách nhúng nội dung Flash độc hại được tạo thủ công vào các trang web hoặc tài liệu PDF. Nói chung, Adobe Reader và Acrobat bị ảnh hưởng bởi lỗ hổng Flash Player vì chúng tích hợp thành phần phát lại Flash.

Adobe vẫn chưa đưa ra tư vấn cho hai lỗ hổng này. Tại thời điểm này, chưa phát hiện cuộc tấn công nào khai thác những lỗ hổng Flash Player đó. Tuy vậy, người sử dụng nên dùng các công nghệ ngăn chặn Flash trong trình duyệt của họ, vô hiệu hóa hỗ trợ Flash trong Adobe Reader cho đến khi một miếng vá sẵn sàng./.

Lỗ hổng Zero-day là một thuật ngữ để chỉ những lỗ hổng chưa được công bố hoặc chưa đượckhắc phục. Lợi dụng những lỗ hổng này, hacker và bọn tội phạm mạng cóthể xâm nhập được vào hệ thống máy tính của các doanh nghiệp, tập đoàn để đánh cắp hay thay đổi dữ liệu.