Adobe soluciona un fallo en Flash Player

Adobe está lanzando actualizaciones de seguridad para Flash Player, Acrobat y Reader con el objeto de resolver un fallo de día cero que está siendo explotado en diferentes ataques.

Adobe ha desarrollado nuevas actualizaciones con las que pretende resolver un fallo crítico de día cero en Flash Player y el elemento authplay.dll utilizado en Adobe Reader y Adobe Acrobat, que fue dado a conocer hace unos días. Ha llegado el momento de resolverlo.

La vulnerabilidad en Flash Player puede ser explotada para permitir al atacante tomar control absoluto sobre el PC atacado y ser capaz de instalar otro tipo de código malicioso e incluso acceder a información sensible. Adobe ha informado de la existencia de ataques que se dirigen a este fallo con un archivo Flash embebido en un adjunto de Microsoft Excel.

Todavía no hay ataques conocidos dirigidos a Adobe Reader o Adobe Acrobat. Pero el hecho de que ambos productos puedan renderizar contenido Flash con el componente authplay.dll los hace vulnerables y además, hay cierta preocupación sobre si los ataques podrían utilizar archivos PDF maliciosos para explotar la vulnerabilidad.

Las actualizaciones se aplican a Flash Player, incluyendo el navegador web Chrome con soporte Flash integrado, Adobe y la mayor parte de las versiones de Reader. Adobe Reader X para Windows tendrá que esperar a su propia actualización.

Adobe Reader X para Windows incluye una sandbox de seguridad  que segrega scripts y otros códigos ejecutables que evitan así que puedan interactuar o que impacten en el programa subyacente o incluso con el sistema operativo Windows. La protección de la sandbox no es impermeable, pero la capa extra de seguridad significa que es muy improbable que un ataque que intente explotar authplay.dll tenga éxito.

El boletín de seguridad de Adobe Reader explica que, “debido a que Adobe Reader X Protected Mode podría evitar que un exploit de este tipo se ejecute, estamos planeando abordar este problema en Adobe Reader X para Windows en la próxima actualización de seguridad trimestral, que la tenemos prevista para el 14 de junio”.

Fuente