Otra vez Flash, otra vez Adobe

(Por El Microsaurio) Tenemos parche en puerta, por supuesto que hay ataque en puerta… ¿Vos cerraste la puerta? Con una actualización de sus productos programada para la semana que viene, los enemigos de siempre nos alegran la vida. Claro que es más de lo mismo, pero con una pequeña vuelta de tuerca. Enterate, agarrate, protegete y preocupate, leyendo acá…

Primero apareció a principios de este mes el dato en los websites que considero “fuentes confiables”: había un defecto de programación dentro de Flash, que se podía aprovechar para atacar una PC. Luego aparecieron las Proof of Concept (pruebas de concepto) que serían algo así como ejemplos prácticos, cosita muy científica y profesional, si no fuese porque obteniéndolas, copiándolas y modificándolas, es fácil producir un ataque real con víctimas reales.
El vector de ataque, en los primeros casos, era un archivo .XLS enviado por email, o metido en un pendrive. Esa planilla de cálculo contiene un archivo hecho en Flash, del tipo .SWF. Según la descripción provista por Brad Arkin, un especialista del Equipo de Ingeniería de Software Seguro de Adobe, el ataque se realizaría en tres pasos: el usuario-víctima abre el archivo Excel, eso reserva una espacio de memoria en la PC atacada; se dispara un archivo Flash contenido en la planilla; ese archivo por supuesto está malévolamente preparado para generar un cuelgue; finalmente, se instala malware de manera permanente en la compu.
Software afectado: acá la cosa se pone interesante. Según la empresa francesa VUPEN Security (gente muy ducha, ya te explicaré el martes porqué) son los Adobe Flash Player en sus versiones para Windows, Mac y para… Android (oia!) ¡Sí, chavales! ¡Si vuestro superfonito corre Flash sobre Android, os j*derán como a los mejores! Pero no termina el asunto ahí. Además de informar que ya se detectaron ataques realizados por este medio, también indican que hay páginas web donde algún visitante desprevenido puede ser afectado, al ejecutarse una animación Flash convenientemente envenenada.
¿Y del PeDeEfe cómo andamos? Como el tujes, mire. En esta otra nota de seguridad de la empresa Adobe se aclara (o se oscurece) al informar que no hay ataques detectados que empleen como vehículo al Adobe Reader, pero que si hay una animación flash “maligna” metida en un PDF… bueno, se ejecuta obedientemente, claro. Y si se ejecutó… te fusiló, nomás.
Recapitulemos. Listado de software afectado:

• El componente “authplay.dll” que se entrega con Adobe Reader y Acrobat X (10.0.1) y las versiones anteriores, 10.x y 9.x, para sistemas operativos Windows y Macintosh.
• Flash Player 10.2.152.33 y anteriores para Windows, Macintosh, Linux y Solaris.
• Flash Player 10.2.154.18 y anteriores para Chrome (Ojito con esto…)
• Flash Player 10.1.106.16 y anteriores para Android

Atención, hay algunos Reader que no están afectados: Reader 9.x para *nix, Adobe Reader para Android y Adobe Reader y Acrobat 8.
¿Y del parche, cómo andamos?
Acá la cosa se pone un poco… vidriosa, digamos. Traduciendo material del mentado Equipo de Ingeniería de Software Seguro de Adobe, quedaría algo así:
El parche para Flash Player, para todos los sistemas afectados anche il Android, sale la semana que viene. La actualización para Adobe Acrobat X (pero no el Reader X de los PDF, ojo!) también para la semana que viene. Los Reader 9.4.2 y anteriores se emparcharán en esa ronda.
Finalmente, el problema de seguridad de Flash en Adobe Reader X se emparchará el 14 de junio (sí, junio) porque la empresa asegura que el “sandboxing” de Reader X es suficiente para mitigar el problema. Ah, bueno. Yo me atengo a las indicaciones del CERT del gobierno norteamericano (US-CERT) que claramente dicen:

• Deshabilite Flash en su navegador web.
• Deshabilite Flash y el soporte de 3D y multimedia en Adobe Reader 9 y anteriores.
• Deshabilite JavaScript en Adobe Reader y Acrobat.
• Deshabilite la apertura automática de un PDF en Internet Explorer.
• Deshabilite la vista de PDF en cualquier navegador.

¿Qué quieren decir estos dos ítems finales? Que si encontrás un PDF en un sitio web, lo descargues a una carpeta, como cualquier otro archivo. Luego, fuera del navegador, vas a esa carpeta y abrís el PDF. ¿Que eso es muy lerdo? ¡Andaáááá! El segundo que perdés en abrirlo de esta manera… ¿justifica arruinar una compu?
Que pases un buen fin de semana, entonces. Ah, ¿sabías que existen visores de PDF alternativos para Windows que son Software Libre?