小心Word檔夾帶Flash零時差攻擊

繼三月中發現Excel檔案中藏有Flash零時差漏洞攻擊後，周一(4/11)Adobe再度發出資安通告表示，在電子郵件附件中的Word檔案發現被嵌入Flash零時差漏洞攻擊。

根據Adobe表示，這次Flash Player全部版本都受到影響，Windows、Mac、Linux、Solaris、Android、Chrome等平台全部中獎。Windows及Mac平台Acrobat/Reader 9.x/10.x因使用Authplay.dll而受到波及。不過目前為止，惡意Flash檔案僅出現在Word之內，還沒有夾帶在PDF檔案之內的攻擊，而且Windows版的Acrbat/Reader X的砂箱技術可以抵抗該惡意軟體，因此Adobe將等到六月的預定更新時再修正Acrobat/Reader該漏洞，Flash Player則還未確定何時修補。

上次微軟表示Excel的砂箱技術可以抑制這類惡意軟體發作，盡管Word也有相同的機制，但微軟在媒體詢問時，表示還要再研究才能確認。

該惡意軟體由一位業餘資安研究人員Mila Parkour所發現，他曾多次提報零時差漏洞給Adobe等公司。他在一封「中國清理產業政策與競爭政策」的電子郵件中發現，其附件偽裝為美國律師協會所發行的「Antitrust Source」期刊。由於該協會的期刊真有該篇文章，可能已經誘導多人點擊。（編譯/沈經）