Muchos navegadores tienen plug-ins inseguros

Un gran número de navegadores web tienen plug-ins caducados que les hacen vulnerables a posibles ataques de seguridad. Es lo que ha constatado un análisis realizado por la compañía de gestión de seguridad Qualys.
Analizando 420.000 escaneos realizados por su herramienta Browsercheck, Qualys descubrió que el principal problema reside en un conjunto de plug-ins comunes para vídeo como Adobe Flash, Apple Quicktime, Shockwave y Windows Media Player, además de otras utilidades más generales como PDF Reader o Java.

El plug-in más vulnerable es Java, instalado en el 80 por ciento de los navegadores, el 40 por ciento de ellos trabajaban con una versión antigua del software que estaba abierta a ataques. Adobe Reader ocupa el segundo lugar, también instalado en el 80 por ciento de los navegadores, un 30 por ciento de ellos son vulnerables.

Una preocupación citada habitualmente es el vídeo Flash, que es vulnerable en un más modesto 20 por ciento de los navegadores, a pesar de estar presente en más del 95 por ciento de ellos. Otros reproductores de vídeo como Shockware y Quicktime mostraron niveles de vulnerabilidad entre el 20 y el 25 por ciento, pero están instalados solamente en el 40 por ciento de los navegadores.

En general, alrededor del 80 por ciento de los fallos de seguridad relacionados con navegadores tienen que ver con plug-ins y solamente el 20 por ciento con los propios navegadores, con independencia del que se trate.

“El problema es que todos ellos tienen sus propios mecanismos de actualización. Hace que el problema sea mucho mayor de lo que debería”, explica el CTO de Qualys, Wolfgang Kandek.

Según este experto, la respuesta está en adoptar un enfoque como el de Google Chrome y construir algunas actualizaciones para los plug-ins dentro del propio sistema de actualización del navegador. Esto hará que los navegadores sean más parcheados.

A más largo plazo, el modelo adoptado por los sistemas operativos móviles emergentes como Android e iOS es superior, puesto que utilizan un modelo de actualización más integrado.

Fuente