Flash filmpjes kunnen gebruikt worden voor het scannen van openstaande TCP poorten en elke willekeurige host die vanaf de host die het SWF bestand uitvoert bereikbaar is, zo waarschuwen beveiligingsonderzoekers. Door de ontwerpfout in ActionScript 3 socket handling wordt het Security Sandbox Model van de Flash Player omzeild, zonder dat er DNS rebinding nodig is. Het lek bevindt zich in Flash Player 9.0.47.0 in combinatie met verschillende browsers en besturingssysteem.

In AS3 introduceerde Adobe een nieuw socket-gerelateerd event genaamd SecurityErrorEvent. De error vindt altijd plaats als de Flash speler verbinding probeert te maken met een niet toegestane socket. Het probleem is dat de error meteen wordt gegeven als de Flash speler met de gesloten TCP poort verbinding maakt. Bijna geen enkele TCP service reageert namelijk op het request van de Flash speler. Als er daarom verbinding wordt gemaakt met een niet toegestane socket, en er verschijnt binnen 2 seconden geen error, dan is de poort waarschijnlijk open.

Adobe werd op 25 juli ingelicht, maar er is nog altijd geen patch. Daarom wordt gebruikers aangeraden om Flash uit te schakelen, alleen Flash op betrouwbare sites toe te staan of te downgraden naar versie 8, waar het probleem niet aanwezig is.

Update: tekst aangepast