¿Está Firefox en Ubuntu menos seguro (no limita a Flash)?

2

Ubuntu Linux facilita la instalación de Flash tan pronto como lo encuentras. Al igual que Firefox en Windows realmente! Usando el paquete de Ubuntu, incluso proporciona actualizaciones de seguridad a través del método estándar del sistema operativo [1].

¿Pero está Flash confinado en Ubuntu, es decir, usando AppArmor?

Porque si Ubuntu no proporciona ningún tipo de confinamiento, está menos protegido que en Windows :(.

[1] En lugar del código de Adobe que lo engaña para instalar Chrome o la barra de herramientas de Google o algo así, impidiéndole instalar las actualizaciones de seguridad necesarias.

Tenga en cuenta que esto es específico de Ubuntu. Debian no proporciona un actualizador automático, < facepalm & gt ;. OTOH Debian no hace que sea tan fácil de instalar en primer lugar.

    
pregunta sourcejedi 19.12.2014 - 23:36
fuente

3 respuestas

1

Por lo general, las vulnerabilidades de Flash deben estar específicamente dirigidas a un sistema operativo (Linux v.s. Windows v.s. como sea) Un atacante puede elegir meter tantos en un exploit, lo que probablemente causaría sospechas si mi exploit se bloquea al explotar, o si hace algo confiable, puedo usar y reutilizar. Esto significa la ley de promedios: " ¿Cuántas personas usan Windows y cuántas usan Linux? ¿Dónde obtendría mejores resultados mi vulnerabilidad? " Si no lo estoy apuntando específicamente a usted mismo.

Flash se utiliza por lo general para entregar otra carga útil. Si la carga útil está dirigida específicamente a Windows o no, es lo relevante. La mayoría de las explotaciones basadas en Flash por sí mismas (que no son de carga útil) aún deben estar dirigidas específicamente a usted. Veamos un aviso:

CVE-2014-8441

  

Adobe Flash Player antes del 13.0.0.252 y 14.xy 15.x antes   15.0.0.223 en Windows y OS X y antes del 11.2.202.418 en Linux, Adobe AIR antes del 15.0.0.356, Adobe AIR SDK antes del 15.0.0.356 y Adobe AIR   SDK & El compilador anterior al 15.0.0.356 permite a los atacantes ejecutar de forma arbitraria   código o causar una denegación de servicio (corrupción de memoria) a través de no especificado   vectores, una vulnerabilidad diferente a CVE-2014-0576, CVE-2014-0581,   y CVE-2014-8440.

Si yo, como atacante, intenté hacer un exploit para enviarte, hay varias formas de hacerlo. Pero aquí están los obstáculos a los que me enfrentaría al tratar de explotarte.

  • Paso 1) crea un código de shell para hacer el daño que necesito hacer
  • Paso 2) ofusque este shellcode para que AV no lo detecte

Antes de hacer esto, tengo una opción totalmente diferente ... Elige mi objetivo para explotar: ¿Me centraré en Linux o Windows? Debido a que cada uno es un sistema operativo diferente, mis cargas útiles serán diferentes.

IOW, estás confundiendo cómo los atacantes usan Flash para explotar un sistema operativo. Por lo general, Flash no es más que un vehículo para entregar algo más malicioso.

ANALOGY

Imagínese si puede un país llamado Chickenphobia donde todos son alérgicos a los pollos. Si alguien entra en contacto con un pollo, se enfermará. Ahora imagine un autobús, avión, bote o camión que entrega pollos (con la intención de enfermar a las personas en Chickenphobia) a la ciudad equivocada. Los vehículos (autobús, camión, barco, tren, llanura) son Flash. No es más que un mecanismo de entrega.

- FIN DE ANALOGÍA

    
respondido por el munkeyoto 19.12.2014 - 23:53
fuente
0
  

Ubuntu Linux facilita la instalación de Flash tan pronto como te encuentras con   it.

Las cosas han cambiado desde entonces. Hoy en día, incluso cuando está instalado, Flash está deshabilitado de forma predeterminada. Si solo habla sobre el complemento de Flash Player y la seguridad, debe saber que ya no se recomienda ( Facebook pide el final de Flash, ya que Firefox lo bloquea en los agujeros de piratería ). En su lugar, HTML5 es la tecnología recomendada ( Comparación de HTML5 y Flash )

    
respondido por el user45139 16.09.2015 - 15:35
fuente
-1

Sí. Flash no está limitado en Ubuntu (de forma predeterminada).

enlace

También Flash NPAPI en Linux es una versión de mantenimiento. Es difícil saber si se está obteniendo backports para cada nueva función de seguridad.

enlace

    
respondido por el sourcejedi 19.12.2014 - 23:36
fuente

Lea otras preguntas en las etiquetas