Volgens beveiligingsbedrijf Secunia is ruim 90 procent van alle Flash-installaties kwetsbaar en 48 procent van alle Adobe Reader-installaties. Dit meldt de IDG News Service. Het recente gat in Flash raakt ook de pdf-software van Adobe. De softwareproducent was al zeker zeven maanden op de hoogte van dit beveiligingsgat, bleek vorige week.

Surfen en besmet raken

Het Deense Secunia heeft de pc's van 900.000 gebruikers doorgelicht met zijn Windows-tool Personal Software Inspector (PSI). Daaruit blijkt dat 92 procent versie 10 van de Flash Player heeft en nog eens 31 procent versie 9, sommige gebruikers hebben beide versies geïnstalleerd op hun pc.

Die zijn allebei kwetsbaar, ook als ze volledig up-to-date zijn, voor zogeheten drive-by hacks. Daarbij hoeft een websurfer slechts een website met kwaadaardige code, ingebed in een Flash-advertentie, te bezoeken om al een besmetting op te lopen. Die malware waart nu rond en duikt ook op bij websites die al gehackt zijn. Overigens is het gat ook aanwezig in Adobe's software voor Mac OS X en Linux.

Pdf met Flash

Het onderzoek via de gratis PSI-tool van Secunia wijst ook uit dat 48 procent van de gebruikers pdf-leessoftware Adobe Reader 9.1.2 gebruikt en 2 procent pdf-aanmaaksoftware Acrobat 9.1.2. Die beide applicaties zijn ook kwetsbaar voor het Flash-lek doordat ze een interpreter bevatten om Flash-content in pdf-bestanden aan te kunnen. De eerste aanvallen die het Flash-lek benutten, bestonden uit malafide pdf-bestanden.

Adobe zegt nu de hoogste prioriteit te geven aan het ontwikkelen van patches voor dit grote gat, waarvan het al maanden wist. Flash krijgt aanstaande donderdag een patch, terwijl Reader en Acrobat een dag later patches ontvangen.

Handwerk

Tot die tijd kunnen gebruikers en beheerders de impact wel beperken door wat handwerk te verrichten. Zij moeten het authplay.dll-component waarin het gat zit wissen, uitschakelen of hernoemen. Adobe biedt instructies hiervoor.

De pdf-software loopt dan wel vast op een besmette pdf, maar die crash is dan niet te misbruiken door de ingebedde malware. Voor Flash kunnen gebruikers de browserplugin uitschakelen en voor Firefox de noscript-plugin gebruiken, adviseert waarschuwingsdienst CERT.