За нахождение уязвимости в Adobe Flash Player объявлена награда в $100000

Adobe added isolated heap to Flash. This month we pay $100K (with sandbox) and $65K (without sandbox) per #exploit ^[1] bypassing this mitigation

— Zerodium (@Zerodium) 5 января 2016 ^[2]

Компания Zerodium объявила приз в $100000 тому ^[3], кто найдёт уязвимость нулевого дня в новой версии Adobe Flash Player. В последней версии проигрывателя, вышедшей в декабре, была введена защита через изолирование кучи. Этот метод должен усилить безопасность программы.

В декабре Adobe объявила о выходе новой версии Flash Player, в которой был полностью переписан менеджер памяти. Изоляция данных процессов в памяти затрудняет попытки взлома плеера. Идеи и часть кода для этого были внесены специалистами по безопасности ^[4], работающими в проекте Google под названием Project Zero ^[5].

Проигрыватель flash-анимации от компании Adobe славится дурной репутацией как одна из наименее безопасных программ. В 2015 году по количеству уязвимостей она уступила ^[6]только операционкам от Apple OS X и iOS. Некогда очень популярное и фактически единственное средство для использования интерактивной веб-анимации, теперь flash-проигрыватель сдаёт свои позиции более современным средствам – например, новому стандарту HTML5.

Компания Zerodium периодически покупает у различных специалистов по безопасности сведения об уязвимостях в программных продуктах и перепродаёт их правительственным агентствам.


Прайс-лист компании для уязвимостей в различных программных продуктах

Это, однако, не самая большая награда за уязвимость нулевого дня. Та же компания Zerodium в прошлом году объявила награду в миллион долларов за удалённый взлом iOS 9 – и одна команда хакеров даже выиграла этот приз ^[7].

Автор: SLY_G

Источник ^[8]