Adobe confirma la vulnerabilidad de Flash encontrado a través de la fuga de información (leak) de la empresa italiana Hacking Team,  y promete un parche para hoy miércoles. Además el bug tenía la capacidad de saltarse la protección "sandbox" de Google Chrome.






Adobe ha publicado un boletín de seguridad que confirma una vulnerabilidad crítica en todas las últimas versiones de su producto de Flash para Windows, Mac y Linux.

 CVE-2015-5119

• https://helpx.adobe.com/security/products/flash-player/apsa15-03.html

Adobe Flash Player 18,0,0,203 ya disponible

• Descargar Adobe Flash Player 18.0.0.203 para Windows, Linux, Mac OS instalador offline sin publicidad de McAffe

La compañía dice que está al tanto de los informes de un exploit dirigido esta vulnerabilidad que ha sido publicado públicamente, y planea lanzar un parche el 8 de julio de 2015. El agujero de seguridad Adobe Flash sin parchear (CVE-2015-5119) fue encontrado por los investigadores de seguridad que han buscado a través de los datos filtrados a partir del leak de Hacking Team, una empresa italiana conocida por proporcionar software de vigilancia y que ayudan a los gobiernos hackear dispositivos digitales y espian en las actividades en línea de los ciudadanos. La fuga (400GB de mensajes de correo electrónico, código fuente, listas de clientes, facturas, copias de seguridad de servidores, etc.) se produjo después de que Hacking Team fue hackeado en sí a principios de esta semana.

Adobe no dijo que la vulnerabilidad está siendo explotada en los bajos fondos de internet. Si embargo, la compañía admitió, que la explotación exitosa podría causar un accidente y potencialmente permitir a un atacante tomar el control del sistema afectado.

Adobe confirmó las siguientes versiones están afectadas:

• Adobe Flash Player 18.0.0.194 y versiones anteriores para Windows y Macintosh
• Adobe Flash Player Soporte extendido versión 13.0.0.296 y versiones anteriores 13.x para Windows y Macintosh
• Adobe Flash Player 11.2.202.468 y anteriores versiones 11.x para Linux

Por supuesto, esto no habría sido un problema si la empres Hacing Team hubiera revelado la vulnerabilidad de Adobe. Pero el negocio de la compañía depende de mantener las vulnerabilidades que encuentren en  secreto.

El día de hoy, la empresa de seguridad Symantec confirmó la vulnerabilidad al replicar el concepto de prueba de explotar en la versión más reciente, con todos los parches de Adobe Flash (18.0.0.194).

• http://www.symantec.com/connect/blogs/leaked-flash-zero-day-likely-be-exploited-attackers

Su competidor de Trend Micro, que también detalla el descubrimiento, señala que el flash exploit fue descrito por Hacking Team como "el más hermoso bug de Flash en los últimos cuatro años."

• http://blog.trendmicro.com/trendlabs-security-intelligence/unpatched-flash-player-flaws-more-pocs-found-in-hacking-team-leak/ 

Un informe técnico de la vulnerabilidad se puede encontrar escrito por un investigador chino de infosec:

• http://blogs.360.cn/blog/hacking-team-flash-0day/
  

Adobe Systems Inc. dice que sus planes para emitir un parche el miércoles para solucionar una vulnerabilidad de día cero en su software Flash Player, que al parecer está siendo explotada en ataques activos. El fallo se dio a conocer públicamente el fin de semana después de hackers irrumpieron en línea y publicadas cientos de gigabytes de datos de la empres Hacking Team, una empresa italiana polémica que siempre ha sido acusado de ayudar a los regímenes represivos de espiar a grupos disidentes.


Varios informes en Twitter sugirieron el exploit podría utilizarse para eludir la tecnología de Google Chrome protectora conocida como "sandbox", una característica de seguridad que obliga al programa a ejecutar en un modo de mayor seguridad diseñado para bloquear los ataques que se dirigen a las vulnerabilidades en Flash. Un portavoz de Google confirmó que los atacantes podrían evadir la sandbox de Chrome utilizando el fallo de  Flash en conjunto con otra vulnerabilidad de Windows que parece ser no tener parchea por el momento.

También hay un 0day en el kernel de Windows

Mientras tanto, otro bug del tipo 0day, día cero, se ha encontrado en el código fuente del equipo de Hacking Team: esta es una vulnerabilidad en atmfd.dll, el driver de la fuente de Adobe en el nivel del núcleo del sistema operativo Windows. Esta biblioteca se incluye con Windows para que pueda rendeirzar fuentes en pantalla. La vulnerabilidad no es la misma que el bug MS15-021 que Microsoft corrigió en marzo.

El agujero, para el que no existe ningún parche, afecta a las versiones 32 bits y 64 bits de Windows XP y a Windows 8.1, de acuerdo con un análisis detallado publicado.

Esta vulnerabilidad se puede utilizar para elevar los privilegios de un atacante a nivel de administrador,  Puede ser encadenado con el mencionado bug de flash para ejecutarcódigo como usuario y luego ganar más poderes para secuestrar completamente el sistema.

Se comenta que la vulnerabilidad es explotada mediante la carga de un archivo de fuentes OTF malicioso y, a continuación, llama a una interfaz de software mal codificada en atmfd.dll a leer y escribir en la memoria del núcleo. Esto permite que los tokens de seguridad de alto nivel que se copian en el proceso en ejecución, elevando sus privilegios - esto también deja de lado los mecanismos de protección (como SMEP) que tratan de impedir la ejecución de código malicioso. Característica sandbox de Google Chrome es derrotada eneste ataque.

Microsoft ha estado en contacto para decir que está trabajando en una solución para la vulnerabilidad a nivel de kernel de Windows.

"Creemos que el riesgo general para los clientes es limitado, ya que esta vulnerabilidad no podía, por sí solo, permitiría a un adversario para tomar el control de una máquina," dijo un portavoz de Redmond nos dijo. "Animamos a los clientes a aplicar la actualización de Adobe y estamos trabajando en una solución."

Fuentes:
http://venturebeat.com/2015/07/07/adobe-confirms-flash-vulnerability-found-via-hacking-team-leak-promises-patch-tomorrow/
http://krebsonsecurity.com/2015/07/adobe-to-patch-hacking-teams-flash-zero-day/
http://www.theregister.co.uk/2015/07/07/hacking_team_zero_days_flash_windows_kernel/