De beveiliging van het controlepaneel dat Adobe voor Flash Player gebruikt is niet optimaal, waardoor het mogelijk voor een aanvaller is om gebruikers te misleiden en toegang tot aangesloten webcam en microfoon te krijgen. Zo waarschuwt het Fraunhofer Institute voor Secure Information Technology op de Full-disclosure mailinglist. Het probleem met het controlepaneel is dat het alleen een Flash applet op een specifieke URL is. "Het is te vervalsen en te gebruiken om privacy-gerelateerde parameters, zoals het toestaan van toegang tot camera en microfoon, voor een door de aanvaller gekozen domein in te stellen."

Het controlepaneel waarmee de privacyinstellingen voor Flash Player zijn te regelen loopt via HTTPS. "De aanvaller moet in een positie zijn om het verkeer van de gebruiker te controleren, met bijvoorbeeld een man-in-the-middle", aldus de onderzoekers. Daarnaast is er ook enige social engineering vereist om het slachtoffer een certificaat voor www.macromedia.com te laten accepteren.

Afplakken
De aanvallers hebben een proof-of-concept ontwikkeld waarin ze een mogelijke aanval beschrijven. Adobe was op acht maart over het probleem ingelicht, maar liet op zes augustus weten dat een optie, zoals het aanpassen van de GUI, tijdrovend is en er daarom geen datum voor een eventuele oplossing gegeven kan worden. Het Fraunhofer instituut besloot daarom om tot openbaarmaking over te gaan.

Gebruikers die zich zorgen maken, krijgen het advies om Flash Player geen toegang tot microfoon en webcam te geven, wat kan door in het bestand 'mms.cfg' de regel 'AVHardwareDisable = 1' toe te voegen. Een andere oplossing die de onderzoekers voorstellen is het gebruik van tape, maar dat is minder bruikbaar bij het blokkeren van toegang tot de microfoon.