Estamos viviendo unos días bastante intensos en lo que a publicación de vulnerabilidades y su posterior solución se refiere. Desde que apareció la noticia del ataque a Hacking Team y se publicaran cantidades ingentes de información muy interesante (incluyendo algunas vulnerabilidades 0day), hemos visto cómo los ciberdelincuentes han aprovechado esta situación para intentar maximizar en lo posible el número de víctimas.
Flash como principal vector de ataque
Sin duda, el que peor parado ha salido por los acontecimientos recientes ha sido el software Flash Player de Adobe. Las continuas vulnerabilidades en este software hace meses que estaban siendo utilizadas como principal puerta de entrada para amenazas tan peligrosas como el ransomware.
Con la publicación de tres vulnerabilidades 0day en apenas una semana, la situación se ha agravado hasta tal punto que ya son bastantes los que se plantean dejar de utilizarlo. Adobe ha tenido que responder lo más rápido que ha podido publicando una primera actualización la semana pasada y otra ayer mismo.
Así las cosas, las voces que abogan por abandonar el uso de Flash se han multiplicado e incluso ya hemos visto tomar las primeras medidas al respecto. Firefox por ejemplo ha empezado a bloquear por defecto todas las versiones de Flash y ha activado el click-to-play para que el usuario tenga que pulsar para que se active el complemento, en lugar de activarse automáticamente.
También el Director de Seguridad de Facebook, Alex Stamos, intervino en este debate indicando que Adobe debería anunciar la fecha de desaparición de Flash para que así la industria empezara a adoptar software más seguro como HTML5 o Silverlight. Sin duda, unas declaraciones que traerán mucha cola por venir de quien vienen.
Flash ha quedado bastante tocado tras las recientes vulnerabilidades y, pese a ser un software utilizado en millones de sistemas, no cabe duda de que parece que empieza a tener los días contados e incluso muchos han empezado ya a desinstalarlo de sus sistemas.
Microsoft no falla a su cita mensual
Como cada segundo martes de cada mes, Microsoft publicó varios boletines de seguridad, 14 en esta ocasión, que solucionan 59 vulnerabilidades. Microsoft ha clasificado como críticos cuatro de estos boletines mientras que los otros diez han sido clasificados como importantes.
Entre los boletines considerados como críticos encontramos uno que soluciona una vulnerabilidad en el motor de VBScript, que permitiría a un atacante la ejecución de código malicioso cuando la víctima visitase una web modificada con el navegador Internet Explorer 8 o versiones anteriores.
También encontramos otro boletín que soluciona una vulnerabilidad crítica en el servicio RDP y que permitiría la ejecución remota de código. Y para terminar con los boletines que solucionan vulnerabilidades críticas, Microsoft también solucionó una vulnerabilidad que podría permitir la ejecución de código en la máquina anfitriona si un usuario con los permisos suficientes ejecutase como invitado una aplicación maliciosa en una máquina virtual.
Pero sin duda, la noticia destacada de este mes ha sido la que anuncia el fin del soporte técnico ofrecido por Microsoft a sus sistemas Windows Server 2003 y Windows Server 2003 R2. En la práctica, esto significa que ya no se ofrecerán más actualizaciones de seguridad para estos sistemas, quedando a merced de las nuevas vulnerabilidades que aparezcan. Es importante actualizar estos sistemas obsoletos a otros más modernos debido a las funciones críticas que suele tener un servidor de estas características en las empresas.
Oracle y un nuevo parche para Java
Antes de Flash, las vulnerabilidades en Java eran el vector de ataque preferido por los ciberdelincuentes a la hora de infectar un sistema. Esto no significa que hayan desaparecido los problemas de seguridad en este software, tal y como demuestra el reciente parche publicado por Oracle y que soluciona 25 vulnerabilidades.
Entre las vulnerabilidades solucionadas se encuentra una que está siendo explotada activamente para acceder a sistemas que ejecuten Java. De hecho, parece que una de estas vulnerabilidades era 0day y podría haber sido utilizada en ataques dirigidos en una campaña de ciberespionaje.
Como siempre, si aún tenemos la necesidad de ejecutar Java en nuestro sistema es muy recomendable actualizarlo a la última versión disponible. Esta es la versión 8 Update 51, disponible para su descarga en la web oficial de Oracle.
Conclusión
No cabe duda de que el principal perjudicado por las constantes vulnerabilidades es Flash Player. Algunos dicen que esta puede ser la gota que colme el vaso y que termine con la paciencia de millones de usuarios que no soportan estos constantes fallos de seguridad.
Sea como sea, la realidad es que Flash cada vez tiene menos peso a la hora de obtener una buena experiencia en la navegación web. Tal vez sea la hora de abrazar otras opciones como HTML5 y abandonar software vulnerable en pro de la seguridad.