0day en Adobe Flash Player

Se descubre un 0day en Adobe Flash Player 21.0.0.226 y anteriores para Windows, Macintosh, Linux y Chrome OS.

0day en Adobe Flash Player

Adobe ha publicado un aviso de seguridad debido a la existencia de una vulnerabilidad crítica en Adobe Flash Player para la cual no existe aún corrección.

Todas las versiones de Adobe Flash Player anteriores a la Adobe Flash Player 21.0.0.226 están afectadas por este fallo de seguridad crítico, además, no solo afecta a Microsoft Windows sino también a Linux, Mac y Chrome OS, es decir, todos los sistemas operativos en los que actualmente funciona Adobe Flash están afectados.

Este nuevo 0day está actualmente siendo explotado y permite provocar una denegación de servicio al sistema. Este fallo de seguridad crítico en Adobe Flash no solo permite provocar la caída de todo el sistema, sino que también permitiría a un usuario atacante tomar el control de todo el sistema operativo de la víctima.

Debido a la gravedad de este fallo de seguridad, se le ha asignado un identificador CVE-2016-4117. Adobe ha comunicado que lanzarán una solución a este grave problema de seguridad en su actualización mensual.

Fuente

QuickTime para Windows se queda sin soporte

Los usuarios de OS X no están afectados por el fallo.

QuickTime para Windows

Trend Micro descubrió dos importantes fallos de seguridad críticos en el código del software de Apple QuickTime, una vulnerabilidad que podría ser explotada para atacar PCs, y recomendó la desinstalación urgente del software. Tras ésta alerta, ha sido el propio Departamento de Seguridad Nacional de Estados Unidos quien realiza el llamamiento.

Según explicaba Trend Micro, la vulnerabilidad encontrada pone en alto riesgo a los usuarios si se visita una página web o se abre un archivo infectado con contenido malicioso. Aunque actualmente la firma no ha tenido conocimiento de ningún ataque que haga uso del fallo, la empresa recuerda que la misma Apple ha dejado de dar soporte a QuickTime para el sistema operativo de Microsoft, lo que supone que no corregirá errores y por lo tanto es posible que haya quien intente explotar la vulnerabilidad.

La agencia de Seguridad Nacional (Homeland Security) advierte que la única forma de mitigar la vulnerabilidad es eliminar el software por completo, o por el contrario el usuario pondrá en riesgo “la confidencialidad, integridad o disponibilidad de los datos, así como posibles daños a los recursos del sistema”.

Más de 300.000 servidores aún están afectados por la vulnerabilidad Heartbleed

Dicha cifra significa la mitad de lo registrado hace un mes atrás, cuando fue descubierta la falla en OpenSSL.

Portátil bloqueado con candado

Cerca de un mes atrás, nos enteramos de la existencia de un gran problema de seguridad apodado “Heartbleed” y que afectaba a los servidores que alojan millones de sitios web alrededor del mundo, permitiendo a piratas informáticos acceder sin permiso a datos almacenados como contraseñas o información bancaria de los usuarios.

Pasaron las semanas y ahora un analista de la firma Errata Security ha publicado los resultados de su último estudio, el que revela que más de 300.000 sevidores aún están afectados por Heartbleed y no han corregido la vulnerabilidad presente en la plataforma OpenSSL, pese a que la medida para prevenirlo es simplemente actualizar el sistema a su última versión.

De todas maneras las cifras son mejores que las registradas por el mismo analista un mes atrás, fecha en la cual se hallaron 600.000 servidores vulnerables a Heartbleed pocos días después de conocerse su existencia, por lo que sería sólo cosa de tiempo para que eventualmente todos los administradores de sistemas tomen cartas en el asunto y actualicen su plataforma OpenSSL, para seguridad de los usuarios.

Fuente

Dropbox arregla sus problemas de privacidad

Dropbox advirtió de una vulnerabilidad web que afecta a los enlaces compartidos. Este fallo de seguridad podría dar acceso a terceros a los datos del servidor sin autorización.

dropbox_logo

En estos últimos días se ha descubierto que la empresa de almacenamiento en la nube ha tenido unos pequeños problemas de seguridad, que ya ha arreglado en parte, al menos los que eran culpa suya. Estos problemas se descubrieron prácticamente por casualidad y es muy raro que hasta ahora no hayan salido a la luz.

El primer problema que ha tenido Dropbox es que se ha descubierto que hay un fallo en los hipervínculos que puede haber en nuestros documentos. Si estamos en uno de nuestros documentos privados y pinchamos en un enlace, el navegador web le dice automáticamente a la página a la que vamos de donde procedemos. Es decir, desde esa página saben que venimos de un enlace privado de Dropbox al que podían acceder si pinchaban en él. Es lo que se llama cabecera referer.

Pero tranquilos, Dropbox ya ha solucionado el problema, como explican desde su blog, desactivando los enlaces vulnerables. Eso sí, la propia Dropbox ha afirmado que no tiene constancia de abusos producidos por esta vulnerabilidad.

Enlaces en buscadores

El otro ‘fallo’ que se ha descubierto en Dropbox no es realmente culpa de la compañía de almacenamiento en la nube. El equipo de Intralinks, una empresa que también se dedica al almacenamiento en la nube, descubrió que en algunos resultados de búsqueda de una campaña de publicidad de AdWords, aparecían enlaces a archivos privados de Dropbox. El motivo por el que aparecían en un buscador archivos de Dropbox es simple y no tiene nada que ver con espionajes ni conspiraciones. Resulta que mucha gente aún confunde la barra de direcciones del navegador con la barra del buscador de Google, y pone las direcciones URL en donde debería poner las palabras que quiere buscar.

Para este problema, Dropbox no tiene solución, ya que es un error de los propios usuarios, como bien dice en el blog: “Somos conscientes de una segunda cuestión que ha sido descubierta acerca de los vínculos compartidos. Se trata de un usuario que introduce un enlace compartido en un motor de búsqueda y el paso de motores de búsqueda que vinculan a los socios de publicidad. Esto es bien conocido y no lo consideramos una vulnerabilidad. Instamos a todos a tener cuidado con la creación de enlaces compartidos a terceros como los motores de búsqueda”.

Fuente

Detectado fallo de seguridad grave en todas las versiones de Internet Explorer

La vulnerabilidad afecta a Microsoft Internet Explorer desde la versión 6 hasta la 11 en todos los sistemas operativos.

internet-explorer

Microsoft ha publicado un aviso de seguridad alertando de una vulnerabilidad que afecta a Internet Explorer y que permite ejecución remota de código. Se ha reservado la referencia CVE-2014-1776

La vulnerabilidad que afecta a todas las versiones de Internet Explorer desde la 6 hasta la 11, aún sin parche disponible, ya está siendo explotada según Microsoft.

Temporalmente, se recomienda las tomar medidas preventivas descritas en el apartado solución hasta que Microsoft libere la actualización definitiva, actualmente en preparación.

La compañía de seguridad FireEye ha identificado este nuevo 0day que se está explotando activamente para Microsoft Internet Explorer. Este exploit aprovecha un fallo de “uso después de liberación de memoria” que permite el acceso arbitrario a memoria y evita las protecciones ASLR y DEP del sistema. De esta forma, se consigue ejecutar código en el mismo contexto de privilegios del usuario que utiliza Internet Explorer. El exploit utiliza el plugin de Flash para su ejecución.

Solución:

  • Utilizar EMET (Enhanced Mitigation Experience Toolkit 4.1).
  • Configurar la zona de seguridad en las opciones de seguridad de Internet a su valor mas alto.
  • Desactivar el plugin de Flash para internet Explorer.
  • Desregistrar la libreria VGX.DLL
  • Activar el modo EPM (Enhanced Protecion Mode) en IE11 en las opciones de Internet del navegador.

Para una descripción detallada consúltese el Boletín de Seguridad de Microsoft: Microsoft Security Advisory 2963983

Fuente