Actualización crítica para Adobe Shockwave Player

Tenemos un nuevo boletín de Adobe: APBS11-27 sobre su actualización para Adobe Shockwave Player. El 8 de Noviembre de 2011 se liberó la actualización de la aplicación para las versiones de Windows y Mac OS X. Vulnerabilidades críticas han sido identificadas en la aplicación en la versión de Adobe Showwave Player 11.6.1.629 y anteriores para sistemas operativos Windows y Macintosh.

Estas vulnerabilidades permitirían a un atacante ejecutar código arbitrario o malicioso en el sistema afectado, por lo que se debe actualizar a la versión 11.6.3.633 siguiendo las instrucciones de su web Adobe ha clasificado la actualización como crítica y recomienda que los usuarios realicen la actualización más reciente de la instalación del producto.

La actualización resuelve una vulnerabilidad de corrupción de memoria en la biblioteca DlRapi que podría conducir a la ejecución de código (CVE-2011-2446). También se soluciona la vulnerabilidad CVE-2011-2447, la cual también corrige corrupción de memoria, pudiendo ejecutar código arbitrario por parte de un atacante. La biblioteca DlRapi también aparece como foco vulnerable en la vulnerabilidad clasificada en CVE-2011-2448. Y por último, el módulo TextXtra podría conducir a la ejecución de código malicioso mediante la vulnerabilidad CVE-2011-2449. 

Desde Seguridad Apple os recomendamos que apliquéis la actualización en los equipos con Mac OS X que dispongan de la aplicación Shockwave Player lo antes posible. Hemos puesto muchos ejemplos de cómo una vulnerabilidad de "ejecución de código arbitrario" puede ser utilizada para tomar el control del sistema, como vimos en el ejemplo con Apple Safari 5.0.6, con el bug que explotaba Immnunity Canvas en Safari, o con el 0day de QuickTime. Mantén siempre actualizados tus sistemas.

Nuevo Exploit 0day para Adobe Shockwave Player

Quizá por lo repetitivo de la noticia pueda parecer que es un titular antiguo, pero no es así, es un nuevo exploit para Adobe Shockware Player que fue publicado por Abyssec.

Los detalles que se han ofrecido en la publicación de esta vulnerabilidad son muchos, en el propio expediente se confirma que la vulnerabilidad es explotable en todas las versiones de Abobe Shockwave Flash Player y se ha puesto disponible un código de ejemplo para explotarlo en Windows XP SP3, junto con los binarios necesarios para probarlo. Es decir, cualquiera puede descargar el exploit desde la siguiente URL [Exploit & Analysis].

Es probable que este exploit esté ya siendo incorporado a los kits de explotación, como Eleonore o Black Hole, para que dentro de poco sea una nueva puerta para la entrada de malware en los sistemas. Hay que recordar que estas vulnerabilidades de los visores que se cargan en los navegadores de Internet son del tipo "Browse and get Infected",  o lo que es lo mismo, que para infectarse basta con navegar por una página web que tenga este exploit. Actualmente no se ha hecho público un exploit funcional para plataforma Mac OS X, pero desde Abobe se ha confirmado en el expediente de seguridad APSA10-04 que esta vulnerabilidad, catalogada como crítica con el código CVE-2010-3653, afecta también a los sistemas Macintosh.

Parece ser que otra vez, Steve Jobs, que este jueves se va a encontrar con el presidente Obama para hablar de economía y tecnología, encuentra nuevos argumentos para seguir en su idea de quitar las tecnologías inseguras de sus plataformas. Así, los usuarios del recientemente lanzado MacBook Air confirman que viene sin tener cargado Shockwave Flash en él.

Adobe ShockWave parchea... ¡20 vulnerabilidades!

Sí, justo al mismo tiempo que tenemos las actualizaciones de Apple disponibles, hay que volver a actualizar otro software, en este caso el visor de Adobe Shockwave que ha actualizado a la versión 11.5.8.612 corrigiendo 20 vulnerabilidades que han sido reportadas por investigadores de TippingPoint ZDI (Zero Day Initiative), Fortinet's FortiGuard Labs, Check Point, iDefense y Team Montreal Hotties, entre otros. Y es que son tantas, que hasta 20 expedientes han sido generados, con sus correspondientes agradecimientos. Eso sí, todas las vulnerabilidades han sido parcheadas antes de que se hicieran públicas.

Ahora, hay que instalar lo más pronto posible, la actualización disponible para MAC OS X de Adobe Shockwave Player, pues es de esperar que aparezcan exploits para explotarlas.


Adobe ha generado un Boletín de seguridad y ha publicado parches para 32 bits - en versión incremental y actualización completa - y para 64 bits - sólo en versión completa.