Actualización de emergencia al descubrirse una vulnerabilidad de día cero en Flash

Sólo dos días después del martes de parches (la actualización mensual que Adobe realiza de sus productos el segundo martes de cada mes), tenemos un nuevo parche para Flash.

Llamada APSB16-08, la actualización no vio la luz el martes sino el jueves, pero soluciona 23 vulnerabilidades, por lo que asegúrate que la has instalado. Los problemas solucionados podrían haber llevado a que un atacante se hiciera con el control de tu equipo de forma remota.

De hecho, la vulnerabilidad CVE-2016-1010 se ha usado en algunos ataques dirigidos según Adobe, por lo que se trata de algo más grave que un simple agujero potencial.

Nos gustaría informaros de qué tipo de ataques se han producido usando esta vulnerabilidad, pero no podemos ya que nadie habla del tema.

Este “tiempo de silencio” puede parecer frustrante y peligroso, ya que el conocimiento es poder, pero si nos atenemos a lo que dice Ars Technica, se ha informado de los ataques a las fuerzas del orden, por lo que airear los detalles puede poner en peligro la investigación en curso.

Vulnerabilidad o exploit

Normalmente existe un largo camino entre una vulnerabilidad, incluso si esta te permite romper una aplicación a un exploit, especialmente si este es el que permite la ejecución del código remoto (Remote Code Execution o RCE).

Un RCE te permite romper una aplicación de una manera tan elaborada que te da el control del dispositivo en el que se ejecute.

Las protecciones actuales como DEP (prevención de ejecución de datos) o ASLR (aleatoriedad del mapa de direcciones) hacen que sea mucho más difícil de encontrar un nuevo RCE.

DEP ayuda al sistema operativo a tratar los datos (por ejemplo, los datos no seguros que recibes por la web) de diferente manera que el código (el programa que usas en tu dispositivo para manejar esos datos). En otras palabras, que nunca se ejecute un programa que está camuflado dentro de datos.

ASLR ayuda a prevenir errores al cargar los programas y sus librerías asociadas en diferentes lugares de la memoria cada vez que se ejecutan. De esta manera los ciberdelincuentes que intentan hacerse con el control del dispositivo, tienen que acertar en dónde aparecerá su código. Si se equivocan, que es casi seguro que ocurrirá si se usa ASLR, entonces la aplicación fallará de un modo incontrolable, el sistema operativo la cerrará y el atacante será rechazado.

¿Qué hacer?

• Actualiza Flash, o comprueba que estas usando la última versión.
• Asegúrate que tu navegador pide permiso antes de ejecutar Flash.

Otra opción a tener en cuenta es desinstalar Flash y ver si somos capaces de vivir sin él. No en vano los usuarios de iPhone viven perfectamente sin Flash y nadie se queja.

Para manteneros al día de las últimas amenazas haceros fans de nuestra página de Facebook o síguenos en Twitter para intercambiar experiencias en torno al mundo de la seguridad. Si deseas recibir nuestro boletín de seguridad en tu correo electrónico, suscríbete en la siguiente aplicación: