Remoção do Flash Player deve ser prioridade nas empresas

Suporte ao Flash Player termina em 31/12/2020

11/08/2020 mindsecblog Notícias 2

Remoção do Flash Player deve ser prioridade nas empresas. À medida que a Adobe elimina o suporte, o player representa riscos ainda maiores

O Adobe Flash Player, não terá mais suporte com atualizações de segurança após 31 de dezembro, potencialmente deixando um vetor de ataque que pode ser explorado por agentes mal-intencionados, a menos que seja removido.

É por isso que eliminar todas as instâncias do Flash Player – mesmo que não estejam em uso – é extremamente importante, diz Ben Carr, CISO da empresa de segurança Qualys.

“Mesmo dormente, pode ser um problema”, diz Carr. Isso ocorre porque uma vulnerabilidade do Flash pode ser ativada de várias maneiras, como quando alguém visita um site malicioso projetado para explorar uma falha não corrigida.

Segundo reportagem do Bank Info Security, especialistas aconselham que as organizações devem tomar várias medidas críticas agora, incluindo:

Alinhar um aplicativo substituto;
Executar verificações de fim de vida nos sistemas para localizar o Flash;
Fazer da remoção do Flash uma prioridade máxima;
Evitar baixar Flash de sites de terceiros depois que a Adobe remover o Flash de seu site.

Embora a remoção do Flash seja relativamente simples, descobrir se o Flash está em sistemas pode ser um desafio, dizem os especialistas em segurança. Isso porque o software – um plug-in de navegador usado para transmitir e visualizar vídeo, áudio e multimídia – está ativo há mais de 20 anos e não era rastreado por muitas empresas quando foi instalado pelos funcionários.

Os administradores que foram diligentes sobre as tarefas de higiene de segurança provavelmente já removeram o Flash, diz Carr. Mas outros precisarão “executar uma verificação EOL* para ver se está instalado“, diz ele.

*EOL – End Of Life

Desabilitação do flash

A Adobe anunciou em 2017 que encerraria o suporte para seu Flash Player no final de 2020, encerrando 24 anos de implantação em dezenas de milhões de dispositivos. O player foi amplamente criticado por representar um risco à segurança porque foi corrigido centenas de vezes.

No final deste ano, a Adobe suspenderá as atualizações de segurança e removerá o Flash como um download de seu site. Embora os patches e atualizações continuem a ser lançados até o final do ano, a Adobe alerta contra a execução do Flash ou a opção de baixá-lo de um site de terceiros, apontando que aplicativos obtidos em outro lugar são uma fonte potencial de malware.

A empresa cita a disponibilidade geral de outras plataformas de software que realizam as mesmas tarefas do Flash para sua decisão de desativá-lo.

“Padrões abertos como HTML5, WebGL e WebAssembly amadureceram continuamente ao longo dos anos e servem como alternativas viáveis para conteúdo em Flash”, afirma a Adobe. “Além disso, os principais fornecedores de navegadores estão integrando esses padrões abertos em seus navegadores e descontinuando a maioria dos outros plug-ins [como o Adobe Flash Player].“

Iniciando o Processo

Eliminar o Flash Player deve ser uma das principais prioridades, enfatiza Bischoff, da Comparitech, devido aos principais riscos que ele representa.

“Permitir que o Flash seja executado após a data [de fim de vida] significa convidar malware e outros ataques cibernéticos aos seus dispositivos e rede, porque a Adobe não emitirá mais patches para novas vulnerabilidades“, disse Bischoff.

Muitas empresas não conseguem se preparar para lidar com software que os fornecedores não oferecem mais, mesmo que recebam bastante aviso, diz Carr. Ele destaca, por exemplo, que muitas organizações ainda usam o Windows 7, embora a Microsoft tenha interrompido o suporte em 14 de janeiro de 2020. “Ignorar o fim do serviço porque o software em questão ainda atende a uma necessidade comercial específica simplesmente não é prudente“, diz Ryan Seguin, engenheiro de pesquisa da empresa de segurança cibernética Tenable. “Isso significa que você acaba em situações em que as organizações precisam reinventar algumas de suas rodas porque a nova roda é mais segura de usar, mesmo que seja funcionalmente igual.“

Pontos de dor

Segundo o Bank Info Security a remoção do Flash pode ser um projeto demorado para administradores de TI, dependendo da extensão de seu uso. “Se a empresa está hospedando páginas ou aplicativos com Flash, então é apenas uma questão de remover e substituir essas páginas e aplicativos”, diz Bischoff. “Para os membros da equipe que podem tentar acessar o Flash de seus dispositivos de trabalho, certifique-se de que esses dispositivos e seus aplicativos, especialmente navegadores da web, estejam atualizados.“

O problema mais significativo para muitas organizações, no entanto, pode ser encontrar um substituto adequado para o Flash. “A maioria dos fornecedores oferece uma versão mais recente de suas interfaces que não requerem Flash”, diz Sequin. “Se um fornecedor específico não tiver uma atualização ou alternativa, as organizações precisarão investir em um equivalente com suporte ativo.”