Microsoft, Adobe y Mozilla emiten importantes actualizaciones para sus productos

Microsoft, Adobe y Mozilla emiten importantes actualizaciones

Si usas Internet Explorer, Adobe Flash Player, Firefox u otros productos de Microsoft, Adobe y Mozilla, instala de inmediato estas actualizaciones.

Si usas Internet Explorer, Adobe Flash Player, Firefox u otros productos de Microsoft, Adobe y Mozilla, instala de inmediato estas actualizaciones.

Windows, Internet Explorer, Adobe Flash Player, Shockwave Player, Captivate y Firefox tienen algo en común y es que ayer recibieron importantes actualizaciones de seguridad, destinadas a corregir vulnerabilidades. Los parches publicados por MicrosoftAdobe y Mozilla ya están disponibles para su descarga e instalación, así que pon manos a la obra para resguardar tu sistema si utilizas estos productos.

Lo más interesante es que, en el caso de Microsoft, se incluyeron boletines para versiones de Windows ya sin soporte, como Windows XP y Server 2003. El objetivo es ayudar a los sistemas que sigan usando estas versiones a protegerse de potenciales ataques similares al de WannaCryptor, que logró su objetivo aprovechándose de los que estaban desactualizados.

Veamos en detalle qué fallas se corrigieron en cada caso.

Microsoft

Como parte del Martes de Actualizaciones de junio, Microsoft emitió parches de seguridad para un total de 96 vulnerabilidades en sus productos, incluyendo dos activamente explotadas in the wild. Otras tres tienen exploits disponibles públicamente a modo de prueba de concepto, por lo que podrían llegar a utilizarse para atacar a usuarios de Windows.

Se han corregido mayormente fallos de ejecución remota de código en Windows, Office y Edge, que podrían haber permitido que un atacante tomara el control del sistema afectado en forma remota con poca o ninguna interacción del usuario.

También se incluyeron parches de emergencia para versiones no compatibles de Windows, a saber, Windows XP y Server 2003 por ejemplo. Sucede que, a raíz de la filtración de exploits de la NSA que hizo el grupo Shadow Brokers, entre cuyas consecuencias estuvo el masivo ataque internacional del ransomware WannaCryptor, Microsoft vio la necesidad de corregir otras tres vulnerabilidades que afectaban a estas versiones anteriores, contra las que se podían usar las herramientas filtradas.

Una publicación de ayer en el blog de Microsoft explicó:

Al revisar las actualizaciones de este mes, se identificaron algunas vulnerabilidades que plantean un alto riesgo de ciberataques por parte de organizaciones gubernamentales, a veces denominadas actores de estado nacional u otras organizaciones de imitación. Para hacer frente a este riesgo, hoy estamos proporcionando actualizaciones de seguridad adicionales junto con nuestro servicio regular de Martes de Actualizaciones. Estas se están poniendo a disposición de todos los clientes, incluidos aquellos que utilizan versiones anteriores de Windows. Debido al elevado riesgo de ciberataques destructivos que hay en este momento, tomamos la decisión de tomar esta acción porque la aplicación de estas actualizaciones proporciona una mayor protección contra posibles ataques con características similares a WannaCrypt.

Adobe

Los productos corregidos fueron Adobe Flash Player, Shockwave Player, Captivate y Digital Editions, a través de los boletines APSB17-17, APSB17-18, APSB17-19 y APSB17-20.

En el caso de Adobe Flash Player, las plataformas afectadas por dos vulnerabilidades críticas fueron Windows, macOS, Linux y Chrome OS. En el caso de Shockwave Player, solo se trató de Windows y se atendió a CVE-2017-3086, una vulnerabilidad crítica de corrupción de memoria que podría derivar en la ejecución de código.

Como de costumbre, se recomienda a todos los usuarios contar siempre con la última versión disponible del software que utilicen a diario e instalar todos los parches disponibles.

Mozilla

Los productos corregidos fueron Firefox 54 y Firefox ESR 52.2, en los que se habían reportado una vulnerabilidad crítica y varias de impacto alto y moderado.

La más grave, CVE-2017-5472, es de tipo use-after-free y se produce al intentar regenerar la jerarquía de estilos CSS usando un nodo que ya no existe, lo cual conduce a un error potencialmente explotable.

“Use-after-free” se refiere al intento de acceder a la memoria después de haber sido liberada, lo que puede causar que un programa se interrumpa o, en el caso de que exista una vulnerabilidad y sea explotada, puede resultar en la ejecución de código arbitrario o incluso habilitar capacidades completas de ejecución remota de código.

Entre las de impacto alto está CVE-2017-7755, una vulnerabilidad de escalada de privilegios a través de Firefox Installer para Windows, el cual puede alterarse para hacer que cargue archivos DLL maliciosos almacenados en el mismo directorio que el instalador cuando es ejecutado.

Sigue leyendo: Vulnerabilidades, exploits y parches: por qué es necesario actualizar

Discusión