De Amerikaanse fabrikant van kindertablets LeapFrog, recentelijk overgenomen door het Chinese VTech, levert laptops met een kwetsbare versie van Adobe Flash Player, waardoor aanvallers het apparaat volledig kunnen overnemen. Daarvoor waarschuwt onderzoeker Mike Carthy.

Carthy onderzocht de LeapPad Ultra. De tablet bleek een Flash Player-versie te gebruiken van 21 september 2015. Sindsdien zijn er meerdere kwetsbaarheden in Flash Player ontdekt waardoor een aanvaller willekeurige code op systemen kan uitvoeren. "Een aanvaller kan zo de ingebouwde microfoon aanzetten, de activiteiten van je kind monitoren en zelfs via de camera's van het apparaat foto's van hem nemen", aldus de onderzoeker.

Zodra de tablet op een computer wordt aangesloten verschijnt er wel een melding of de gebruiker het programma "LeapFrog Connect" wil installeren. Na de installatie vraagt dit progamma om Adobe Flash Player te updaten. Dit is verplicht om de Connect-applicatie te gebruiken, maar de melding met de update verschijnt alleen als de tablet op de computer wordt aangesloten. "Iets dat veel ouders die deze apparaten aanschaffen mogelijk nooit zullen doen", merkt Carthy op.

Volgens de onderzoeker kunnen fabrikanten er niets aan doen dat Flash Player kwetsbaarheden bevat, maar is het wel hun verantwoordelijkheid om ervoor te zorgen dat hun apparatuur de noodzakelijke updates voor gebruik installeert. Verder blijkt dat de contentserver van LeapFrog ook buiten de tablets om is te bereiken. Carthy adviseert de fabrikant om authenticatie voor de server te verplichten, alsmede het downloaden van updates bij het instellen van de tablet. Als laatste wordt aangeraden om Adobe Flash niet meer voor de videocontent te gebruiken maar html5.