Apple Safari 10 rechazará por defecto Adobe Flash Player

Apple ha desvelado como se llamará el nuevo sistema operativo, y como dijimos anteriormente, tendremos cambio de nomenclatura. Diremos adiós a OS X y recibiremos a macOS. El primero de los macOS será macOS Sierra, el cual trae un gran conjunto de novedades interesantes, como por ejemplo la integración de Siri. La que hoy nos interesa es hablar de Safari 10 y de que deshabilitará de forma predeterminada el uso de Adobe Flash. Apple está impulsando la muerte de Adobe Flash y el uso del HTML5 en todos los equipos Mac. Apple está planeando medidas similares para los plugins de Java, Silverlight y Quicktime.

Este movimiento va a obligar a los sitios web basarse en HTML5 más de lo que lo vienen haciendo. El próximo Otoño veremos la salida de macOS Sierra con la inclusión de Safari 10. Será en este instante cuando Apple apostará totalmente por HTML5. El ingeniero de software Ricky Mondello indicó que los sitios web que tienen ambas implementaciones, tanto Flash como HTML5, ejecutarán siempre HTML5 con toda la experiencia de usuario que mejora.

Figura 1: Aviso nuevo en Safari 10 cuando no hay HTML5

La mayoría de los sitios web que detectan que Flash no está disponible y que no tienen respaldo HTML5, verán un mensaje en el que se dice "Flash no está instalado" en la pantalla con un enlace para descargarlo. La opción por defecto será activar sólo una vez, en el caso de que sea necesario, y no haya HTML5 en el sitio web. Parece que Apple se lo ha tomado muy en serio, y quiere dejar clara su postura.

Apple actualiza XProtect para detectar ataques con el exploit de Microsoft Silverlight en OS X

La semana pasada se publicó la existencia de un exploit para Microsoft Silverlight, por lo que Apple ha actualizado su base de datos de definiciones de XProtect. En concreto, esta información se encuentra XProtect.plist, un archivo que se encuentra en su versión o revisión 2073. Esta actualización detecta la versión mínima para Silverlight que podrá ser utilizada. La vulnerabilidad que está siendo explotada activamente en Internet y que puede terminar con una infección es la CVE-2016-0034.

Silverlight maneja de forma errónea, antes de la versión 5.1.41212.0, unos tipos de datos dando la posibilidad a un atacante de poder ejecutar código arbitrario o causar una denegación de servicio, a través de un sitio web malicioso. Esto sería a través de los famosos client-side attack, de los que ya hemos hablado en Seguridad Apple, e incluso hemos hecho alguna prueba de concepto como el ejemplo de Proxy Prototype de Firefox.

Figura 1: Fichero XProtect.plist y versión de Silverlight

En muchas ocasiones se atra a los usuarios a este tipo de sitios maliciosos con un correo electrónico que incite a la víctima a pinchar sobre un enlace o imagen. En otras ocasiones, el típico anuncio que le indica que debe descargarse una aplicación, o incluso una actualización falsa, es el cebo para atraer a los usuarios al sitio web malicioso. Microsoft confirmó el 0day CVE-2016-0034 y publicó un parche el 12 de Enero de 2016. La actualización de Microsoft Silverligth 5.1.41212.0 corrige esta vulnerabilidad al modificar la forma en que se validan los resultados de la decodificación que el producto realiza. Estaremos atentos a posibles campañas de malware que hayan podido salir a partir del conocimiento de dicha vulnerabilidad, ya que esto es una práctica bastante habitual en los kits de explotación.