CSIRTCV

Está usted visitando una publicación en la hemeroteca de CSIRT-CV.
Para acceder al portal y contenido actual, visite https://www.csirtcv.gva.es

30/04/2014

Actualització d'Adobe Flash Playerper a evitar un 0-day

Adobe ha publicat una actualització per a Adobe Flash Player per a evitar una nova vulnerabilitat d’atac de dia zero que està explotant-se en l’actualitat i que afecta el popular reproductor. Esta vulnerabilitat podria permetre a un atacant prendre el control dels sistemes afectats.

Risc: Alt
Esta actualització, publicada davall el butlletí APSB14-13, resol una vulnerabilitat de desbordament de búfer (CVE-2014-0515) que podria permetre l’execució remota de codi arbitrari. L’atac va ser reportat pels Laboratoris Kaspersky al detectar-lo per mitjà de firmes genèriques heurístiques en un arxiu de vídeo flash.
Sistemes Afectats:

Les vulnerabilitats afecten les versions d'Adobe Flash Player 13.0.0.182 (i anteriors) per a Windows, Adobe Flash Player 13.0.0.201 (i anteriors) per a Macintosh, Adobe Flash Player 11.2.202.350 (i anteriors) per a Linux i les vesiones d'Adobe Flash per a navegadors Google Chrome i Internet Explorer 10 i 11.

Referències:

CVE-2014-0515

Solució:
Adobe ha publicat les següents versions d'Adobe Flash Player destinades a solucionar les vulnerabilitats, que es poden descarregar des de la pàgina oficial:
  • Adobe Flash Player 13.0.0.206 per a Windows i Macintosh.
  • Adobe Flash Player 11.7.700.279 per a Windows i Macintosh.
  • Adobe Flash Player 11.2.202.356 per a Linux.
  • AIR 13.0.0.83

Igualment s’ha publicat la versió Flash Player 13.0.0.206 per a Internet Explorer 10, 11 i Chrome per a Windows.
Adobe també recorda que el pròxim 13 de maig Adobe Flash Player deixarà de donar suport a les versions 11.7 de Flash per a Mac i Windows, que seran reemplaçades per la versió 13. Es recomana a tots els usuaris actualitzar a la nova versió per a continuar rebent actualitzacions de seguretat.

Notes:
Security updates available for Adobe Flash Player
http://helpx.adobe.com/security/products/flash-player/apsb14-13.html
New Flash Player 0-day (CVE-2014-0515) used in watering-hole attacks
https://www.securelist.com/en/blog/8212/New_Flash_Player_0_day_CVE_2014_0515_used_in_watering_hole_attacks
Upcoming changes to Flash Player’s extended support release
http://blogs.adobe.com/flashplayer/2014/03/upcoming-changes-to-flash-players-extended-support-release.html
Font: Hispasec una-al-día

CSIRT-CV