• Tweet

Un investigador ha descubierto un error en el software empleado para instalar Adobe Reader y aplicaciones de Flash que pueden ser explotadas para instalar de forma remota archivos maliciosos en las PC de usuario final.

El Administrador de Descargas de Adobe es una secuencia de comandos de ActiveX que se invocan cuando se desean instalar o actualizar Flash o Reader empleando Internet Explorer. El investigador Aviv Raff ha descubierto la manera de explotarlo para instalar cualquier archivo que se desee simplemente engañando al usuario para hacer clic en un enlace en el dominio de Adobe.com.

El ataque combina una vulnerabilidad en el sitio web de Adobe con un defecto en el gestor de descargas. El resultado: se puede de instalar y ejecutar una instancia propia de la calculadora de Windows en una máquina de prueba. Aviv, demostró que la explotación de la condición proporciona detalles técnicos.

"En lugar de admitir que este defecto de diseño es realmente un problema que pueda ser aprovechado por atacantes maliciosos, Adobe decidió restar importancia a este tema", Raff escribía en la divulgación de la vulnerabilidad. Se refería a los comentarios de una portavoz de Adobe publicados en Zero Day por el blogger Ryan Naraine.

En parte, los comentarios dicen del administrador de descargas que "está diseñado para auto eliminarse de la computadora después de su uso en el próximo reinicio", "sólo se puede utilizar para descargar la última versión del software alojado en Adobe.com", y "presenta un gran cuadro de diálogo de usuario cuando se descarga de software ".

Sin embargo, debido a que el gestor de descargas permanece en una máquina hasta que se vuelve a arrancar, los atacantes tienen una amplia oportunidad para explotar la vulnerabilidad. Suponiendo que la máquina se reinicia típicamente una vez cada 24 a 72 horas, los ataques tienen una posibilidad razonable de éxito, siempre y cuando se pongan en marcha dentro de los primeros tres días de haber realizado una actualización reciente. (Estamos adivinando que hay un buen porcentaje de personas que se asusta por el cuadro de diálogo).

Y una vez que sucede, los atacantes tienen la capacidad de instalar código malicioso en incontables millones de PCs.

En un correo electrónico a El Reg. en respuesta al mensaje de Raff, el portavoz de Adobe, Wiebke Lips escribió: "Adobe tiene conocimiento del informe recientemente publicado de una vulnerabilidad de ejecución remota de código en el gestor de descargas de Adobe. Estamos trabajando con el investigador Aviv Raff, y el proveedor de este componente para investigar y resolver la cuestión lo más rápidamente posible ".

Las actualizaciones se publicarán en el blog de Adobe PSIRT, agregó.

Como hemos sugerido recientemente, los numerosos errores que en los últimos años han sido rutinarios ponen en peligro la totalidad de Internet haciendo a Adobe, el Toyota de la industria del software. El personal para seguridad de la empresa parece tener intención de corregir los problemas, pero la única manera para que esto ocurra es poner en marcha una iniciativa global que haga un alto para revisión a fondo del código de base completo de la empresa.

Entonces el Adobe Download Manager sería un lugar tan bueno como cualquier otro para empezar.