Archivo
Los productos Microsoft ya no aparecen en el Top10 de inseguros [Kaspersky]
Los productos de Microsoft ya no figuran en la lista de Kaspersky de los 10 más inseguros debido a sus vulnerabilidades. La política de actualizaciones automáticas llevada a cabo por la compañía en las últimas versiones de sus sistemas operativos están dando sus frutos.
En la lista de Kaspersky, Oracle Java ocupa el primer y segundo lugar, con advertencias de “Altamente crítico” y “Extremadamente crítico” respectivamente. Encontramos después a Adobe Flash en las posiciones tercera y cuarta. Otro producto de Adobe, Acrobat y su Reader, ocupa la quinta plaza.
La sexta y séptima posición están ocupadas por productos de Apple, QuickTime y iTunes, con vulnerabilidades calificadas como altamente críticas. La octava posición está ocupada por Winamp. Cierran la lista productos de Adobe nuevamente: Adobe Shockwave Player y el reproductor de Adobe Flash.
Hace unos años Microsoft habría terminado la lista, pero a partir del lanzamiento de Windows Vista, la compañía cambió su política con las actualizaciones automáticas. Windows 7 se basa en eso y en Windows 8 se ha dado un paso más. También es cierto que la compañía de seguridad VUPEN ha encontrado la primera vulnerabilidad 0-day en Windows 8 e Internet Explorer 10.
Destacar del informe de Kaspersky que el 28% de ataques a dispositivos móviles fueron dirigidos contra Android 2.3.6. En el tercer trimestre del año, el 56% de exploits aprovecharon vulnerabilidades de Java y, atentos: 91,9 millones de URLs sirven código maligno, con un incremento del 3% respecto del segundo trimestre.
Viendo estas cifras, dan ganas de no tener Java en el equipo, salvo que sea absolutamente imprescindible. Ya que no se puede evitar que haya por ahí personajes empeñados en amargar la vida del usuario, es muy importante disponer siempre del software más actualizado.
Vulnerabilidad en Flash Player usada para propagar malware (Parchea!)
Investigadores han identificado varios ataques que explotan una vulnerabilidad en Adobe Flash Player que fue parcheado la semana pasada.
El martes Adobe parcheó una vulnerabilidad de ejecución de código remoto (CVE-2012-1535) en Flash Player que podría causar que la aplicación se bloquee y potencialmente permitir a un atacante tomar el control del sistema infectado.
Esta semana investigadores de Symantec han observado ataques que utilizan esta vulnerabilidad.
En este caso se propaga un documento de Word que contiene un archivo SWF malicioso con ActionScript y que utiliza técnicas que utilizan una técnica de heapspraying para ejecutar una shell sobre un archivo de fuentes del sistema.
Los ataques utilizan diferentes correos y suelen cubrir hechos noticiosos, políticos y otros temas de interés por lo que es recomendable actualizar a la última versión de Adobe Flash Player.
Fuente: Security Weeks | Segu-Info
Adobe corrige sólo 25 de 60 vulnerabilidades (Parchea!)
Los boletines de seguridad de Adobe en agosto corrigen 26 vulnerabilidades críticas relacionadas con la ejecución remota de código.
Adobe Systems Incorporated, ha publicado este mes tres boletines (APSB12-16/17/18) que corrigen un total de 26 vulnerabilidades etiquetadas como «críticas», que potencialmente pueden desembocar en la ejecución de código: 20 en la familia Acrobat, 5 en Shockwave Player y una en Flash player.
Algunas de estas vulnerabilidad ya está siendo aprovechada por atacantes que incrustan animaciones Flash en documentos Word.
Los usuarios de Google Chrome serán actualizados automáticamente.
Como recordatorio del anuncio hecho por Adobe en junio, desde el día 15 de agosto las versiones de Flash Player para Android dejarán de poder descargarse oficialmente desde Google Play Store, aunque se continuará proporcionando actualizaciones de seguridad hasta el 13 de septiembre de 2013.
Tras la publicación del último boletín de Adobe para Reader y Acrobat (APSB12-16), los investigadores Mateusz Jurczyk y Gynvael Coldwind del Google Security Team (y antiguos compañeros de Hispasec) han publicado su análisis en el que concluyen que Adobe, aparte de dejar desprotegidos a los usuarios de Linux (al no haberse publicado aún ninguna versión corregida) no ha resuelto todas las vulnerabilidades reportadas por ellos mismos.
El grupo se encargó del proyecto de «fuzzing» del lector de PDF integrado en Google Chrome. Detectaron más de 50 problemas. Los más críticos han sido ya corregidos en el lector del navegador. Dado el «éxito» de la operación, decidieron realizar las mismas pruebas contra el lector de Adobe.
Concluyeron sus pruebas con 60 fallos. 31 problemas podían ser «trivialmente explotables» y 9 potencialmente explotables. En junio, se pusieron en contacto con el equipo de seguridad de Adobe, que se mostraron muy colaborativos desde el principio. Pero el último boletín solo se corrigen alrededor de 25 de estos fallos en sus 12 CVEs.
Así, los investigadores concluyen que existen unos 16 problemas no corregidos aún, que podrían representar quizás unas 8 vulnerabilidades graves (puesto que 25 problemas dieron origen a 12 CVEs). Hay que tener en cuenta que los problemas detectados por «fuzzing» pueden tener origen en una misma vulnerabilidad, y ser corregidos con una misma modificación del código.
Adobe afirma que lo solucionará en un futuro. El 27 de agosto se cumple el límite de 60 días que los investigadores impusieron como condición para dar detalles, pero puesto que Adobe no tiene intención de publicar un boletín fuera de ciclo, parece que se cumplirá el plazo sin que haya parches. Así que han decidido, ya, poner a disposición de todos sus descubrimientos, dado el riesgo al que se enfrentan los usuarios.
Fuente: Hispasec I, II
Adobe soluciona un fallo en Flash Player
Adobe ha actualizado su software Flash Player para solucionar un problema que generaba la caída de ciertos sistemas Windows.
Adobe ha anunciado que la actualización Flash Player 11.3.300.270 parchea un problema que ha causado que ciertos usuarios sufran problemas cuando intentan cargar el componente FlashPlayerUpdateService.exe.
La compañía ha dicho que el problema estaba afectado a un “número significativo” de sistemas Windows. Para solucionar el fallo la compañía ha lanzado una actualización que parchea el error al que los usuarios pueden acceder habilitando las actualizaciones automáticas y silenciosas de Flash player o descargándolo directamente desde el centro de descargas de Adobe.
La compañía también ha dicho que corregirá un fallo de estabilidad que afecta a todos los usuarios en el próximo lanzamiento de Flash para Windows.
Fuente: ChannelBiz
Hackers en la red 