Найден способ взлома “модели песочницы” компании Adobe

В прошлом году компания Adobe осознала, что она является целью многих злоумышленников и активизировала свои усилия для защиты своего программного обеспечения. Но специалист по вопросам безопасности показал, что новейшею защиту, разработанную Adobe можно обойти относительно легко.

“Модель песочницы” создает безопасную зону - отдельную область, где скрипты и коды выполняются, не подвергая основные функциональные возможности приложения риску или ограничивая доступ к компьютеру. Если потенциальному вредоносному обеспечению под силу обойти “модель песочницы”, оно может работать за пределами данной зоны, эксплуатируя систему и используя доступ к личным данным. "Когда компания Adobe объявила о своих планах по разработке Reader X, мы положительно оценили намерения решить основные проблемы, с которыми они столкнулись при введении “модели песочницы”.

Мы предупреждали, что применение “модели песочницы” является шагом в правильном направлении, но при этом все равно существует достаточный риск уязвимости, которая будет использована в ближайшие месяцы", - сказал Ануп Гош (Anup Ghosh), основатель компании Invincea. Билли Риос (Billy Rios), исследователь по вопросам безопасности, обнаружил, что обойти “модель песочницы” Adobe несложно для тех, кто знает, что они делают. Господин Риос описал в блоге уязвимость “модели песочницы”, которая позволяет выполнять сторонний код.

“К сожалению, защита не распространяется на объекты в сети. Простейший способ обойти ограничение песочницы - использовать запрос файла на удаленном сервере. Использование данной уязвимости не связано с взломом кода или какими-то недостатками в его реализации. Скорее всего, это показывает недостаток самой технологии. Дизайнеры “модели песочницы” находятся в нелегком положении. Они понимают, как злоумышленники могут попытаться воспользоваться уязвимостью, но пока не могут придумать метод блокировки".

"К счастью можно передавать только IP адреса и имена хостов другим компьютерам в локальной сети (адреса RFC 1918). Если злоумышленник захочет отправить данные на удаленный сервер в Интернете, можно принять другие меры защиты", - сказал господин Риос. В отношении компании Adobe, а также реализации “модели песочницы” в приложениях других разработчиков, справедливо упомянуть, что никто никогда не называл данную технологием идеальным решением для защиты.