驚！Hacking Team文件又被挖出兩個Adobe Flash重大零時差漏洞

資安業者這幾天再從義大利駭客公司Hacking Team外洩的文件中找到兩個Adobe Flash零時差漏洞，顯示Flash用戶的安全堪虞。

趨勢科技上周二（7/7）就已揭露於Hacking Team文件中所發現的第一個Flash零時差漏洞攻擊程式，此一被Hacking Team稱為「最近4年來最完美的Flash臭蟲」漏洞編號為CVE-2015-5119，讓駭客可藉以掌控被駭電腦。

在這個漏洞揭露、攻擊與修補分秒必爭的資安攻防時代，同一天趨勢科技便發現此一攻擊程式已被攻擊套件Angler Exploit Kit所收納，隔天（7/8）Adobe即緊急修補該漏洞。

不過，這並不是Hacking Team文件中唯一的零時差Flash漏洞，因為FireEye及趨勢緊接著又分別發現CVE-2015-5122以及CVE-2015-5123兩個新的重大等級（Critical）零時差漏洞。

文件中針對CVE-2015-5122漏洞的攻擊程式仍是個概念性驗證程式，因此尚不確定攻擊實況。FireEye分析，此一概念性驗證程式利用了DisplayObject中的Use-After-Free漏洞，可用來開啟系統上的計算機程式，代表它也能用來執行惡意程式。

至於CVE-2015-5123也是一個重大漏洞，將允許駭客掌控使用者系統，而且與CVE-2015-5119一樣都危及了Windows、Mac及Linux上的所有Flash版本。

Adobe已得知CVE-2015-5122與CVE-2015-5123漏洞，並準備在本周釋出修補程式。趨勢科技則密切觀察是否有任何實際的攻擊行動使用相關的概念性攻擊程式，同時建議使用者在尚未修補前暫時關閉瀏覽器中的Flash Player功能。

駭客在入侵Hacking Team之後於網路上釋出了400GB的檔案，包含了Hacking Team的機密文件、內部郵件與產品程式碼，Hacking Team最擔心的是專供政府機構使用的遠端控制系統（Remote Control System，RCS）被不法份子用於網路攻擊行動，並已著手更新該系統。（編譯/陳曉莉）