• Tweet

La versión actual de Adobe Flash Player, 11.1.102.55, supuestamente incluye una vulnerabilidad que puede ser utilizada por criminales para inyectar código malicioso en un sistema remoto, de acuerdo la compañía de seguridad Intevydis.

La compañía ha publicado un video de 10 minutos, en el que demuestra la explotación que ofrece en su sistema de ataque comercial VulnDisco. Hasta ahora, Intevydis no ha publicado más detalles acerca de la vulnerabilidad. Sólo los clientes que hayan adquirido su software pueden buscar puntos vulnerables en sus sistemas.

En el video, la compañía habilitó el uso del paquete de exploits White Phosporus para salir de la sandbox de Internet Explorer. Aparentemente, el exploit se aprovecha de dos vulnerabilidades de seguridad simultáneamente, para eludir la Prevención de Ejecución de Datos (DEP) y la Aleatorización del Ordenamiento de Espacio de Memoria (ASLR). La compañía dice que el exploit funciona en Windows XP y Windows 7 con Internet Explorer, Firefox, y Google Chrome, aunque aún no se ha comprobado si realmente logra escapar del sandbox de Chrome. Una versión para Mac OS X está en desarrollo. Adobe no ha comentado aún sobre la vulnerabilidad.

Intevydis ha recibido llamamientos en el pasado debido a su estrategia de liberación de información. En vez de reportar las vulnerabilidades directamente a los desarrolladores, la compañía anuncia que sus clientes pueden pagar por la edición especial "Step Ahead" (un paso adelante) de su suite de ataque VulnDisco; la ventaja anunciada de esta edición es que incluye exploits de día cero para aplicaciones populares. La esperanza es que su base de clientes consista únicamente de pentesters.

Ayer, una vulnerabilidad de día cero en Adobe Reader, que había sido utilizada para ataques dirigidos, fue anunciada. Los blancos de ataque aparentemente incluyen proveedores del ejército de los Estados Unidos, como Lockheed Martin, como se mencionó en un aviso de Adobe.