'Certificado de Adobe usado para firmar malware'

[Ontinet 29/09] 'En un aviso urgente enviado ayer por la tarde por Adobe, la empresa anunció que habían descubierto la existencia de dos herramientas con fines maliciosos que habían sido firmadas digitalmente con un certificado válido de Adobe. Tan pronto como se descubrió este hecho, se lanzó una investigación para descubrir a continuación que uno de los servidores de desarrollo con acceso a la infraestructura de firma de código de Adobe fue comprometido, permitiendo a los atacantes robar el certificado.

Actualización de seguridad para Adobe Flash Player

'Adobe ha publicado una actualización de seguridad destinada a corregir once vulnerabilidades críticas en Adobe Flash Player versión 10.2.159.1 y anteriores (Adobe Flash Player 10.2.154.28 y anteriores para usuarios de Chrome) para Windows, Macintosh, Linux y Solaris, y Adobe Flash Player 10.2.157.51 y versiones anteriores para Android.

Las vulnerabilidades pueden provocar la caída de la aplicación, y potencialmente permitir a un atacante tomar el control de los sistemas afectados. Adobe confirma la existencia de malware que intenta explotar una de las vulnerabilidades (con CVE-2011-0627) "in the wild"; mediante un archivo flash (.swf) incrustado en documentos Word o Excel distribuidos a través de correo.

Adobe recomienda a los usuarios de Adobe Flash Player Windows, Macintosh, Linux, y Solaris la actualización a la versión 10.3.181.14, disponible desde:
http://get.adobe.com/flashplayer/ '[...]


Fuente y noticia completa: Una al dia de Hispasec 18/05/2011

Actualización de seguridad de Adobe Reader y Acrobat

'Esta actualización de seguridad soluciona el 0 Day pendiente en Adobe Reader, Acrobat publicado en INTECO el día 12/04/2011.'

'

• Adobe Reader 9.x Windows .
• Adobe Reader 9.x y 10.x para equipos Macintosh.

Adobe Reader X Modo protegido impediría que un exploit de este tipo se ejecutara, Adobe ha indicado que la actualización de Reader X para Windows se prevé para la actualización de seguridad programada para el 14 de junio 2011'

Fuente y noticia completa: INTECO 22/04/2011

Entradas relacionadas:

• [13/04/2011] 0day en Flash Player y Adobe Reader y Acrobat (INTECO)
  

0day en Flash Player y Adobe Reader y Acrobat

'Recursos afectados

• Adobe Flash Player 10.2.153.1 y versiones anteriores para Windows, Macintosh, Linux y Solaris.
• Adobe Flash Player 10.2.154.25 y versiones anteriores para Chrome.
• Adobe Flash Player 10.2.156.12 y versiones anteriores para Android.
• El componente Authplay.dll incluído en Adobe Reader y Acrobat X (10.0.2), y versiones anteriores, 10.x y 9.x para Windows y Macintosh.'

'Hay informes de que esta vulnerabilidad, la CVE-2011-0611, está siendo explotada en ataques dirigidos utilizando un archivo Flash (.swf) embebido en un documento Word (.doc) adjunto de un correo electrónico. En este momento, Adobe no conoce ningún ataque a través de documentos PDF, explotando la vulnerabilidad en Adobe Reader y Acrobat.

Las medidas de seguridad del modo protegido ("Protected Mode") de Adobe Reader X evitan la explotación de esta vulnerabilidad.'

Fuente y noticia completa: INTECO 12/04/2011

Adobe publica actualización de seguridad para Reader y Acrobat [que resuelve el 0-day explotado existente]

'Se ha publicado una actualización de seguridad que soluciona la vulnerabilidad CVE-2011-0609 reportada en el correspondiente aviso de seguridad del 15 de Marzo. Esta vulnerabilidad afecta al fichero authplay.dll, que se incluye en Adobe Reader y Acrobat X (10.0.1) y anteriores, versiones 10.x y 9.x para Windows y sistemas operativos Macintosh. '


'Esta actualización de seguridad soluciona el 0 Day pendiente en Adobe Reader, Acrobat y Flash'

'Adobe Reader

• Adobe Reader 9.x Windows .
• Adobe Reader para equipos Macintosh.

'

'Adobe Acrobat

• Acrobat Standard y Pro para equipos Windows.
• Acrobat Pro Extended para equipos Windows .
• Acrobat Pro para equipos Macintosh

'


Fuente y noticia completa: INTECO 22/03/2011

Entradas relacionadas:

• [16/03/2011[]0 day en Adobe Flash, Reader y Acrobat (Hispasec)

0 day en Adobe Flash, Reader y Acrobat

'Adobe informa de que se ha encontrado que una vulnerabilidad que permite la ejecución de código en sus productos Flash, Reader y Acrobat que está siendo aprovechado por atacantes.

El fallo en Flash está ya siendo explotado activamente a través de la difusión por correo de ficheros Excel que contienen un archivo .swf (Flash) en su interior. Afecta a los sistemas Windows, Macintosh, Linux, Solaris y Android.

El fallo en Reader y Acrobat X y las versiones 10.x y 9.x se encuentra en el componente authplay.dll y solo afecta a las versiones para Windowsy Macintosh. Por el momento no se han detectado ficheros PDF que exploten esta vulnerabilidad.' [...]

[...] 'para Reader X se puede prevenir la explotación de este fallo activando "Protected Mode" '[...]

'Para mitigar el problema en Reader mientras se publica la solución, se recomienda renombrar temporalmente el fichero authplay.dll o impedir el acceso a través de permisos.'

Fuente y noticia completa: hUna al día de Hispasec 15/03/2011

Aviso de Seguridad para Adobe Flash Player, Adobe Reader y Acrobat. "Exploit" "in the wild" en forma de ficheros PDF para Adobe Reader y Acrobat 9.x

'Recursos afectados

• Adobe Flash Player 10.1.85.3 y anteriores para Windows, Macintosh, Linux y Solaris
• Adobe Flash Player 10.1.95.2 y versiones anteriores en Android
• Componente authplay.dll que se incluye con Adobe Reader 9.4 y anteriores versiones 9.x para Windows, Macintosh y UNIX
• Adobe Acrobat 9.4 y versiones anteriores 9.x para Windows y Macintosh

Descripción

Se ha publicado una vulnerabilidad (CVE-2010-3654 ) que podría causar una caída de la aplicación en ciertos productos de Adobe y, potencialmente, permitir a un atacante tomar el control del sistema afectado.'

'Hay informes de que esta vulnerabilidad está siendo explotada activamente en Adobe Reader y Acrobat 9.x. aunque Adobe no está al tanto de los ataques dirigidos contra Adobe Flash Player.

Nota: Adobe Reader y Acrobat 8.x no se han confirmado vulnerables. De la misma forma, Adobe Reader para Android no se ve afectada por este problema.

Adobe actualmente está en proceso de finalización de una solución para dicho problema y espera proporcionar una actualización de Adobe Flash Player 10.x para Windows, Macintosh, Linux y Android el 9 de noviembre de 2010. Se espera que esté disponible una actualización para Adobe Reader y Acrobat 9.4 y versiones anteriores 9.x durante la semana del 15 de noviembre de 2010.'

'Solución

Hasta que Adobe proporcione un parche de seguridad se recomienda seguir los siguientes consejos de seguridad:

Adobe Reader and Acrobat 9.x - Windows

Borrar, renombrar o eliminar el acceso al archivo authplay.dll que se incluye con Adobe Reader y Acrobat 9.x mitiga la amenaza en estos productos aunque el usuario verá un mensaje de error al abrir un archivo PDF que contenga el contenido Flash (SWF).

La librería authplay.dll que se incluye con Adobe Reader y Acrobat 9.x para Windows se encuentra normalmente en C:\Program Files\Adobe\Reader 9.0\Reader\authplay.dll para Adobe Reader o C:\Program Files\Adobe\Acrobat 9.0\Acrobat\authplay.dll para Acrobat.'

Fuente y noticia completa: INTECO 28/10/2010

'Parece ser que existe un "exploit"para CVE-2010-3654 "in the wild" (público y extendido). Hasta que Adobe publique las actualizaciones de seguridad, considere las medidas mitigadores publicadas en su boletín APSA10-05.'

Fuente y noticia completa en inglés original: ISC de SANS 1/11/2010
Traducción nuestra


'Se consigue la ejecución arbitaria de código mediante un vídeo Flash malicioso insertado en un documento PDF'

Fuente y texto completoen el inglés original: Módulo de Metasploit correspondiente
Traducción nuestra

Microsoft podría comprar Adobe

'El CEO de Microsoft, Steve Ballmer, y el de Adobe, Shantanu Narayen, han mantenido una reunión que ha desatado todo tipo de rumores, desde una posible alianza para plantar cara a Apple en el mercado de la movilidad, hasta una posible intención de compra de Adobe por parte de Microsoft. Por el momento, ninguna de las dos firmas ha querido pronunciarse al respecto. '

Fuente y noticia completa: ComputerWorld 8/10/2010

Aviso de Seguridad para Adobe Reader y Acrobat

'Importancia: 5 - Máxima

Recursos afectados: Adobe Reader 9.3.4 y versiones anteriores para Windows, Macintosh y UNIX; Adobe Acrobat 9.3.4 y versiones anteriores para Windows y Macintosh.

'Se ha descubierto una vulnerabilidad crítica en Adobe Reader 9.3.4 y versiones anteriores para Windows, Macintosh y UNIX, y Adobe Acrobat 9.3.4 y versiones anteriores para Windows y Macintosh. Esta vulnerabilidad (CVE-2010-2883) podría causar un caída de la aplicación, potencialmente, permitir a un atacante tomar el control del sistema afectado.

La vulnerabilidad es causada debido a un error de límites en CoolType.dll y puede ser aprovechado para provocar un desbordamiento de búfer al abrir un archivo pdf especialmente diseñado.

Dicha vulnerabilidad está siendo explotada actualmente por lo que se recomienda tomar las medidas adecuadas hasta que Adobe publique la actualización de seguridad correspondiente.'

Fuente y noticia completa: INTECO 9/9/2010


Se descubre otro 0 day en Adobe Acrobat muy sofisticado

'
A estas alturas, ya no es noticia que se descubra un problema de seguridad en los gestores de PDF de Adobe previamente desconocido y siendo aprovechado por los atacantes. Últimamente, es el día a día de esta compañía. Este último fallo de seguridad destaca porque es muy sofisticado, elude las protecciones de los últimos Windows, y además está firmado digitalmente.

Se ha descubierto un nuevo ataque contra las últimas versiones de Adobe
Reader y Adobe Acrobat. Se trata de un desbordamiento de memoria intermedia al realizar una llamada a la función strcat en la librería CoolType.dll y permite a un atacante ejecutar código en el sistema si la víctima abre (con estos programas de Adobe) un fichero PDF que utilice un tipo de letra manipulada. El fallo es público, está siendo aprovechado por atacantes en estos momentos y Adobe ya lo ha reconocido.

La propia compañía confirma que no existe parche ni contramedida propia disponible (habitualmente era suficiente con desactivar JavaScript para, al menos, mitigar el problema, pero no es el caso en esta ocasión). Ha actualizado su alerta para indicar que, gracias a Microsoft's Enhanced Mitigation Evaluation Toolkit (EMET) es posible bloquear el ataque.'

Fuente y noticia completa: Una al día de Hispasec de 14/09/2010

Actualización de Adobe Acrobat y Reader que soluciona una vulnerabilidad aprovechada en Internet

Ya están disponibles las esperadas actualizaciones de Adobe para sus productos Acrobat 9.x (la 9.3.3) y Reader 8.x (la 8.2.3) que solucionan, entre otras, la vulnerabilidad CVE-2010-1297, mencionada en el boletín de Seguridad de Adobe APSA10-01, vulnerabilidad que estaba siendo aprovechada indiscriminadamente en Internet para conseguir la ejecución remota de programas arbitrarios, generalmente instaladores de "malware", contenidos en archivos flash y PDF maliciosamente preparados generalmente alojados en páginas web o en correos electrónicos que fueran abiertos por Adobe Flash, Reader o Acrobat en Windows y, según los casos en otros sistemas operativos.

Esta vulnerabilidad crítica ya tenía solución disponible en la forma de actualización desde principios de Junio de 2010 para Adobe Flash pero faltaban las actualizaciones para el visor de PDF de Adobe (Reader) y el editor de documentos PDF de Adobe (Acrobat).

Entrada relacionada:

• [14/06/2010] Vulnerabilidad crítica de Adobe Flash utilizada por exploits disponibles

Adobe AIR 2 listo

'Lo que Adobe ofrece con AIR es una solución multiplataforma sobre la que realizar aplicaciones y por tanto heredando la posibilidad de trabajar en las plataformas compatibles con Adobe AIR. La llegada de AIR 2 al mercado hace posible que las aplicaciones creadas se beneficien del aumento de rendimiento y mejoría en consumo de memoria que ofrece AIR 2.'

'... Gracias al nuevo SDK las aplicaciones recibirán nuevas posibilidades como son soporte multitáctil, más opciones para implementar aplicaciones multiusuario (o multijugador), mejoras en el acceso al sistema de archivos, soporte para aplicaciones generadas mediante HTML/CSS, soporte parcial de CSS3 y HTML5, instaladores y ejecución en código nativo. ...'

Fuente y noticia completa: MuyComputer 12/06/2010

Vulnerabilidad crítica de Adobe Flash utilizada por exploits disponibles

'Sistemas afectados

• Adobe Flash Player 10.0.45.2 y versiones 10.x anteriores
  
• Adobe Flash Player 9.0.262 y versiones 9.x anteriores
  
• Adobe Reader 9.3.2 y versiones 9.x anteriores
  
• Adobe Acrobat 9.3.2 y versiones 9.x anteriores
  

Otros productos de Adobe que soporten Flash podrían ser también vulnerables'

' I. Descripción

El Boletín de Seguridad de Adobe APSA10-01 describe una vulnerabilidad en Adobe Flash que afecta a Flash Player, Reader, y Acrobat. También puede afectar a otros productos que soporten de forma independiente Flash, como Photoshop, Photoshop Lightroom, Freehand MX, y Fireworks.

Un atacante puede aprovecharse de esta vulnerabilidad convenciendo a un usuario que abra un contenido Flash especialmente preparado. Los contenidos Flash habitualmente se alojan en páginas web, pero también pueden ser incrustados en PDF y otros tipos de documento o proporcionados como un fichero aislado.

Tal y como se menciona en APSA10-01, "Existen informes que afirman que esta vulnerabilidad [N.E.: la CVE-2010-1297] está siendo explotada activamente y de forma generalizada [NE: en el original "in the wild"] tanto contra Adobe Flash Player como Adobe Reader y Acrobat." '

II. Impacto

Si un usuario abre un contenido Flash mailiciosamente preparado, un atacante remoto puede ser capaz de ejecutar código arbitrario.

III. Solución

Actualizar Flash

El Boletín de Seguridad de Adobe APSB10-14 recomienda actualizada Flash Player 10.1.53.64 o 9.0.277.0, que actualizarán el plugin del navegador y el control Active X pero no el soporte de Flash de Adobre Reader, Acrobat u otros productos.

Para reducir la exposición a estas u otras vulnerabilidades considere las siguientes técnicas de mitigación:'

'Deshabilite Flash en Adobe Reader and Acrobat' ...

'Configure Internet Explorer para que no abra automáticamente documentos PDF' ...

'Deshabilite la presentación de documentos PDF en el navegador' ...

'Desahbilite Javascript en Adobe Reader y Acrobat' ..

'Habilite DEP en Microsoft Windows' ..

'No acceda a documentos PDF de fuentes en las que no confíe. No abra documentos PDF que no espere o no le resulten familiares, especialmte aquellso alojados en sitios web o recibidos como adjuntos de correo' ...

Fuente y noticia completa original en inglés: Technical Cyber Security Alert TA10-159A de US-CERT 8-11/06/2010
Traducción nuestra

De nuevo, "0 day" en Adobe Acrobat

'Adobe ha confirmado que existe otra grave vulnerabilidad en Adobe Reader que parece estar siendo aprovechada por atacantes para ejecutar código en el sistema (tanto Windows como cualquier otro sistema operativo que lo soporte).

Adobe ha publicado en su blog una alerta, reconociendo un grave fallo de seguridad del que se conocen todos los detalles, e incluso existe exploit público. El fallo está en la función getAnnots y permite a un atacante, de forma muy sencilla, ejecutar código. Solo tiene que crear un documento PDF con una anotación, y añadir un script al PDF a través de la función OpenAction.

Afecta a todas las versiones conocidas, en sus ramas 9, 8 y 7 y en sus versiones para Mac, Linux y Windows. La única contramedida oficial es, de nuevo, deshabilitar JavaScript.'

'... Adobe solucionó su último gravísimo problema de seguridad (ocurrido hace solo dos meses) de una forma poco efectiva. Dejó a sus usuarios más de un mes sin actualizaciones. Los de la rama 7 fueron "abandonados" incluso por más tiempo.

En VirusTotal.com hemos detectado claramente la tendencia al alza de análisis de archivos PDF en las últimas horas, sin duda motivados por la alerta generada en torno a este "0 day". '

'Recomendamos, si es posible, usar otro lector de archivos PDF hasta que se solucione el fallo. Aunque no estén exentos de contener problemas de seguridad, al menos por ahora no son objetivo claro de atacantes. Hay un buen puñado donde elegir para todas las plataformas en: http://pdfreaders.org/ '

Fuente y noticia completa: Una al día de Hispasec 29/04/2009

Entradas relacionadas:

• [12/03/2009] Adobe parchea a medias su vulnerabilidad casi un mes después, mientras Foxit Reader lo soluciona en 10 días

Adobe parchea a medias su vulnerabilidad casi un mes después, mientras Foxit Reader lo soluciona en 10 días

'La ShadowServer Fundation advirtió el día 19 de febrero de una potencial vulnerabilidad en Adobe Acrobat Reader que podría permitir a un atacante ejecutar código arbitrario. Al descubrirse el problema mientras estaba siendo aprovechado activamente por atacantes, se convierte en un grave 0day. Adobe reconoció la vulnerabilidad y esperó al día 10 de marzo para publicar parche solo para algunas versiones. Foxit Reader, afectada por un problema muy parecido, necesitó solo 10 días para solucionar el fallo.

Es más que probable que el fallo fuese conocido incluso desde hace bastante más tiempo, y que Adobe tuviese constancia de su existencia. Pero solo lo reconoció el mismo día en el que la ShadowServer lo hizo público. El día 23, para complicar el asunto, aparece un exploit público para múltiples lectores PDF, que permite una denegación de servicio aprovechando los flujos JBIG2, base del problema de Adobe.'

'Adobe lo soluciona un día antes del prometido, pero solo a medias. Publica la versión 9.1 para Windows, olvidando las ramas 8 y 7 para otros sistemas operativos.

Para colmo, recientemente se ha descubierto una nueva forma mucho más sencilla de aprovechar la vulnerabilidad. Un nuevo vector de ataque que permite incluso ejecutar código sin necesidad de abrir el archivo con el lector. A través del explorador de Windows, simplemente mostrando una carpeta que contenga un documento PDF especialmente manipulado (y basándose en el servicio de indexación, que debería estar activo), sería posible ejecutar código en el sistema.'

Fuente y noticia completa: Una al día de Hispasec 11/03/2009