CSIRT Panamá Aviso 2015-07- Múltiples Vulnerabilidades en Adobe Flash Player (CVE-2015-5122 CVE-2015-5123)
Gravedad: ALTA
Fecha de publicación: Julio, 2015
Fecha de modificación: Julio, 2015
Última revisión: Revisión A.
I. Sistemas Afectados
Adobe Flash Player 18.0.0.203 y versiones anteriores para Windows y Macintosh.
Adobe Flash Player 18.0.0.204 y versiones anteriores para sistemas basados en GNU/Linux instalados con Google Chrome.
Adobe Flash Player Extended Support Release version 13.0.0.302 y versiones para Windows y Macintosh.
II. Descripción
Se han reportado dos vulnerabilidades críticas en Adobe Flash Player que permite a un atacante ejecutar remotamente código arbitratrio sin ningún tipo de autenticación previa al equipo atacado, a través de una vulnerabilidad de corrupción de memoria de tipo use-after-free [1]. Las vulnerabilidades de tipo use-after-free consisten en intentar de acceder a la memoria luego de haber sido liberada. Esto provoca que el programa se corrompa, resultando (si es explotada la vulnerabilidad) en la ejecución remota de código arbitrariamente [2]. La primera de estas vulnerabilidades, CVE-2015-5122; se encuentra en la clase DisplayObject específicamente en la propiedad opaqueBackground [3]. La segunda, CVE-2015-5123; se encuentra en el objeto BitmapData [4].
Este tipo de ataque es ejecutado a través de la interacción que usuario final pueda tener con un sitio web que contiene un contenido Flash creado con malas intenciones o al abrir un documento de Microsoft Office especialmente diseñado para explotar esta vulnerabilidad.
III. Impacto
Vector de acceso: A través de red.
Complejidad de Acceso: Baja.
Autenticación: No requerida para explotarla.
Tipo de impacto:
Compromiso total de la integridad del sistema,
Compromiso total de la disponibilidad del sistema,
Compromiso total de la confidencialidad del sistema
IV. Detección
Verifique la versión de Adobe Flash Player que utilizan sus usuarios.
V. Mitigación
Actualizar el software
Se recomienda actualizar su versión del software en caso tal sea necesario.
Para mayor información por favor lea el boletín de seguridad publicado por Adobe [5].
No ejecute contenido Flash que no sea de confianza
Además, usted puede deshabilitar Flash totalmente de su explorador de Internet o activar opciones como “Ejecución bajo demanda” (Click-To-Play) con el fin de protegerse ante nuevas amenazas.
VI. Información Adicional
[1] http://www.theregister.co.uk/2015/07/12/adobe_flash_zero_day_cve_2015_5122
[2] http://dl.acm.org/citation.cfm?id=2336769
[3] https://www.fireeye.com/blog/threat-research/2015/07/cve-2015-5122_-_seco.html
[4]http://blog.trendmicro.com/trendlabs-security-intelligence/new-zero-day-vulnerability-cve-2015-5123-in-adobe-flash-emerges-from-hacking-team-leak/
[5] https://helpx.adobe.com/security/products/flash-player/apsa15-04.html