Брэд Аркин прояснил ситуацию с уязвимостями в Adobe Flash Player

Брэд Аркин (Brad Arkin), глава подразделения Adobe Product Security and Privacy, сделал официальное заявление о 400 уязвимостях в последней версии Adobe Flash Player 10.3.183.5, о которых ранее сообщал сотрудник Google, Тэвис Орманди (Tavis Ormandy).

Напомним, что в исправлении безопасности от Adobe упоминается только о 13 уникальных уязвимостях в Flash Player.

Аркин заявил, что Adobe не стала заводить CVE-отчеты об уязвимостях , предоставленных Орманди, так как CVE отображает информацию о публично известных ошибках, а данные проблемы были обнаружены при сугубо внутреннем тестировании (SPLC – Adobe Secure Product Lifecycle). Это же касается и уязвимостей, о которых сообщают партнеры компании Adobe, а Google сотрудничает с Adobe, по крайней мере, в вопросах безопасности в Flash Player.

По словам Аркина, Орманди обнаружил 400 уникальных сигнатур, которые были причиной некорректной работы Flash Player. По ходу изучения этих сигнатур в коде было выявлено 106 ошибок, приводящих к проблемам безопасности. Чтобы исправить данные ошибки, с учетом дублирования, в код потребовалось внести 80 изменений. «Мы обновили уведомление безопасности от Adobe и внесли в него CVE-2011-2424, чтобы описать данные ошибки», - сообщил Аркин.

Аркин также отметил: «Очень важно, что такие партнеры как Google и Adobe совместно работают над такими проектами, как безопасность в Flash Player, чтобы обезопасить пользователей. Adobe очень благодарен за помощь команде Google Chrome в работе над этим и другими проектами».