CSIRT Panam\u00e1 Aviso 2015-07- M\u00faltiples Vulnerabilidades en Adobe Flash Player (CVE-2015-5122 CVE-2015-5123)
\nGravedad: ALTA
\nFecha de publicaci\u00f3n: Julio, 2015
\nFecha de modificaci\u00f3n: Julio, 2015
\n\u00daltima revisi\u00f3n: Revisi\u00f3n A.<\/p>\n
I. Sistemas Afectados
\nAdobe Flash Player 18.0.0.203 y versiones anteriores para Windows y Macintosh.
\nAdobe Flash Player 18.0.0.204 y versiones anteriores para sistemas basados en GNU\/Linux instalados con Google Chrome.
\nAdobe Flash Player Extended Support Release version 13.0.0.302 y versiones para Windows y Macintosh.<\/p>\n
II. Descripci\u00f3n
\nSe han reportado dos vulnerabilidades cr\u00edticas en Adobe Flash Player que permite a un atacante ejecutar remotamente c\u00f3digo arbitratrio sin ning\u00fan tipo de autenticaci\u00f3n previa al equipo atacado, a trav\u00e9s de una vulnerabilidad de corrupci\u00f3n de memoria de tipo use-after-free [1]. Las vulnerabilidades de tipo use-after-free consisten en intentar de acceder a la memoria luego de haber sido liberada. Esto provoca que el programa se corrompa, resultando (si es explotada la vulnerabilidad) en la ejecuci\u00f3n remota de c\u00f3digo arbitrariamente [2]. La primera de estas vulnerabilidades, CVE-2015-5122; se encuentra en la clase DisplayObject espec\u00edficamente en la propiedad opaqueBackground [3]. La segunda, CVE-2015-5123; se encuentra en el objeto BitmapData [4].
\nEste tipo de ataque es ejecutado a trav\u00e9s de la interacci\u00f3n que usuario final pueda tener con un sitio web que contiene un contenido Flash creado con malas intenciones o al abrir un documento de Microsoft Office especialmente dise\u00f1ado para explotar esta vulnerabilidad.<\/p>\n
III. Impacto
\nVector de acceso: A trav\u00e9s de red.
\nComplejidad de Acceso: Baja.
\nAutenticaci\u00f3n: No requerida para explotarla.
\nTipo de impacto:
\nCompromiso total de la integridad del sistema,
\nCompromiso total de la disponibilidad del sistema,
\nCompromiso total de la confidencialidad del sistema<\/p>\n
IV. Detecci\u00f3n
\nVerifique la versi\u00f3n de Adobe Flash Player que utilizan sus usuarios.<\/p>\n
V. Mitigaci\u00f3n<\/p>\n
Actualizar el software
\nSe recomienda actualizar su versi\u00f3n del software en caso tal sea necesario.
\nPara mayor informaci\u00f3n por favor lea el bolet\u00edn de seguridad publicado por Adobe [5].<\/p>\n
No ejecute contenido Flash que no sea de confianza
\nAdem\u00e1s, usted puede deshabilitar Flash totalmente de su explorador de Internet o activar opciones como \u201cEjecuci\u00f3n bajo demanda\u201d (Click-To-Play) con el fin de protegerse ante nuevas amenazas.<\/p>\n
VI. Informaci\u00f3n Adicional
\n[1] http:\/\/www.theregister.co.uk\/2015\/07\/12\/adobe_flash_zero_day_cve_2015_5122
\n[2] http:\/\/dl.acm.org\/citation.cfm?id=2336769
\n[3] https:\/\/www.fireeye.com\/blog\/threat-research\/2015\/07\/cve-2015-5122_-_seco.html
\n[4]http:\/\/blog.trendmicro.com\/trendlabs-security-intelligence\/new-zero-day-vulnerability-cve-2015-5123-in-adobe-flash-emerges-from-hacking-team-leak\/
\n[5] https:\/\/helpx.adobe.com\/security\/products\/flash-player\/apsa15-04.html<\/p>\n","protected":false},"excerpt":{"rendered":"
CSIRT Panam\u00e1 Aviso 2015-07- M\u00faltiples Vulnerabilidades en Adobe Flash Player (CVE-2015-5122 CVE-2015-5123) Gravedad: ALTA Fecha de publicaci\u00f3n: Julio, 2015 Fecha de modificaci\u00f3n: Julio, 2015 \u00daltima revisi\u00f3n: Revisi\u00f3n A. I. Sistemas Afectados Adobe Flash Player 18.0.0.203…<\/p>\n","protected":false},"author":4,"featured_media":295,"comment_status":"closed","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"om_disable_all_campaigns":false,"_monsterinsights_skip_tracking":false,"_monsterinsights_sitenote_active":false,"_monsterinsights_sitenote_note":"","_monsterinsights_sitenote_category":0,"_uf_show_specific_survey":0,"_uf_disable_surveys":false,"footnotes":""},"categories":[4],"tags":[27,8],"class_list":["post-230","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-avisos-de-seguridad","tag-adobe-flash-player","tag-avisos"],"aioseo_notices":[],"_links":{"self":[{"href":"https:\/\/cert.pa\/index.php?rest_route=\/wp\/v2\/posts\/230","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/cert.pa\/index.php?rest_route=\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/cert.pa\/index.php?rest_route=\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/cert.pa\/index.php?rest_route=\/wp\/v2\/users\/4"}],"replies":[{"embeddable":true,"href":"https:\/\/cert.pa\/index.php?rest_route=%2Fwp%2Fv2%2Fcomments&post=230"}],"version-history":[{"count":4,"href":"https:\/\/cert.pa\/index.php?rest_route=\/wp\/v2\/posts\/230\/revisions"}],"predecessor-version":[{"id":338,"href":"https:\/\/cert.pa\/index.php?rest_route=\/wp\/v2\/posts\/230\/revisions\/338"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/cert.pa\/index.php?rest_route=\/wp\/v2\/media\/295"}],"wp:attachment":[{"href":"https:\/\/cert.pa\/index.php?rest_route=%2Fwp%2Fv2%2Fmedia&parent=230"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/cert.pa\/index.php?rest_route=%2Fwp%2Fv2%2Fcategories&post=230"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/cert.pa\/index.php?rest_route=%2Fwp%2Fv2%2Ftags&post=230"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}