jueves, 17 de abril de 2014

Ejecución de código en Adobe Reader para Android

Siguen los problemas para Adobe. En esta ocasión es Adobe Reader Mobile el producto afectado. La aplicación de Adobe para lectura de documentos pdf en dispositivos Android también se ve afectada por una grave vulnerabilidad.

Reader 11.2 para Android. Fuente: Securify
Adobe ha publicado el boletín APSB14-12 que corrige una vulnerabilidad (con CVE-2014-0514) en Adobe Reader Mobile (versiones 11.1.3 y anteriores) para sistemas Android que permitiría la ejecución de código remoto debido a un fallo en la implementación de las APIs JavaScript. Según Google Play la aplicación está instalada en más de 100 millones de dispositivos.

En concreto el problema reside en que Adobe Reader para Android expone múltiples interfaces Javascript inseguras. Las siguientes clases exponen una o más interfaces Javascript: ARJavaScript, ARCloudPrintActivity y ARCreatePDFWebView. Esto podría permitir que al abrir un pdf malicioso un atacante remoto podrá lograr la ejecución de código Java arbitrario. El fallo fue reportado por la firma Securify de los Países Bajos, que ofrece mayor información del problema y hasta una prueba de concepto.

Adobe ha publicado la versión 11.2 de Adobe Reader Mobile disponible en Google Play, o desde este enlace.

Más información:

Security update available for Adobe Reader Mobile

Adobe Reader for Android exposes insecure Javascript interfaces



Antonio Ropero
Twitter: @aropero

miércoles, 16 de abril de 2014

Oracle corrige 104 vulnerabilidades en su actualización de seguridad de abril

Siguiendo su ritmo de publicación trimestral de actualizaciones, Oracle publica suboletín de seguridad de abril. Contiene parches para 104 vulnerabilidades diferentes en cientos de productos pertenecientes a diferentes familias, que van desde el popular gestor de base de datos Oracle Database hasta Solaris o MySQL. 

Los fallos se dan en varios componentes de los productos:
  • Oracle Database 11g Release 1, versión 11.1.0.7
  • Oracle Database 11g Release 2, versiones 11.2.0.3 y 11.2.0.4
  • Oracle Database 12c Release 1, versión 12.1.0.1
  • Oracle Fusion Middleware 11g Release 1, versiones 11.1.1.7 y 11.1.1.8
  • Oracle Fusion Middleware 12c Release 1, versiones 12.1.1.0 y 12.1.2.0
  • Oracle Fusion Applications, versiones 11.1.2 hasta la 11.1.8
  • Oracle Access Manager, versiones 10.1.4.3, 11.1.1.3.0, 11.1.1.5.0, 11.1.1.7.0, * 11.1.2.0.0, 11.1.2.1.0 y 11.1.2.2.0
  • Oracle Containers for J2EE, versión 10.1.3.5
  • Oracle Data Integrator, versión 11.1.1.3.0
  • Oracle Endeca Server, versión 2.2.2
  • Oracle Event Processing, versión 11.1.1.7.0
  • Oracle Identity Analytics, versión 11.1.1.5, Sun Role Manager, versión 5.0
  • Oracle OpenSSO, versión 8.0 Update 2 Patch 5
  • Oracle OpenSSO Policy Agent, versión 3.0-03
  • Oracle WebCenter Portal, versiones 11.1.1.7 y 11.1.1.8
  • Oracle WebLogic Server, versiones 10.0.2.0, 10.3.6.0, 12.1.1.0 y 12.1.2.0
  • Oracle Hyperion Common Admin, versiones 11.1.2.2 y 11.1.2.3
  • Oracle E-Business Suite Release 11i y 12i
  • Oracle Agile PLM Framework, versiones 9.3.1.1 y 9.3.3.0
  • Oracle Agile Product Lifecycle Management for Process, versiones 6.0.0.7 y 6.1.1.3
  • Oracle Transportation Management, versiones 6.3 y 6.3.4
  • Oracle PeopleSoft Enterprise CS Campus Self Service, versión 9.0
  • Oracle PeopleSoft Enterprise HRMS Talent Acquisition Manager, versiones 8.52 y 8.53
  • Oracle PeopleSoft Enterprise PT Tools, versiones 8.52 y 8.53
  • Oracle Siebel UI Framework, versiones 8.1.1 y 8.2.2
  • Oracle iLearning, versiones 6.0 y 6.1
  • Oracle JavaFX, versión 2.2.51
  • Oracle Java SE, versiones 5.0u61, 6u71, 7u51 y 8
  • Oracle Java SE Embedded, versión 7u51
  • Oracle JRockit, versiones R27.8.1 y R28.3.1
  • Oracle Solaris, versiones 9, 10 y 11.1
  • Oracle Secure Global Desktop, versiones 4.63, 4.71, 5.0 y 5.1
  • Oracle VM VirtualBox, versiones anteriores a 3.2.22, 4.0.24, 4.1.32, 4.2.24 y 4.3.10
  • Oracle MySQL Server, versiones 5.5 y 5.6

A continuación ofrecemos una relación de productos y el número de vulnerabilidades corregidas:

  • Dos nuevas vulnerabilidades corregidas en Oracle Database Server, que afectan al componente Core RDBMS.
       
  • Otras 20 vulnerabilidades afectan a Oracle Fusion Middleware. 13 de ellas podrían ser explotadas por un atacante remoto sin autenticar. Los componentes afectados son: Oracle Access Manager, Oracle Containers for J2EE, Oracle Data Integrator, Oracle Endeca Server, Oracle Event Processing, Oracle Identity Analytics, Oracle OpenSSO, Oracle WebCenter Portal y Oracle WebLogic Server.
        
  • Tres actualizaciones afectan a Oracle Hyperion, dos de ellas podrían ser explotadas por un atacante remoto sin autenticar. El todos los casos el componente afectado es Hyperion Common Admin.
        
  • Dentro de Oracle Applications, 10 parches son para Oracle Supply Chain Products Suite, ocho para productos Oracle PeopleSoft, uno para Oracle Siebel CRM y uno para iLearning.
        
  • En lo referente a Oracle Java SE se incluyen 37 nuevos parches de seguridad. 35 de las vulnerabilidades podrían ser explotadas por un atacante remoto sin autenticar.
        
  • 14 nuevas vulnerabilidades afectan a MySQL Server, dos de ellas explotables de forma remota sin autenticación. Los componentes
         
  • Esta actualización también incluye tres parches que afectan a Solaris en sus versiones 9, 10 y 11.1 aunque ninguno de ellos es explotable remotamente sin autenticación (uno de ellos solo afecta a las plataformas SPARC64-X).

Para comprobar las matrices de productos afectados, gravedad y la disponibilidad de parches, es necesario comprobar la notificación oficial en:
Oracle Critical Patch Update Advisory - April 2014

Más información:

Oracle Critical Patch Update Advisory - April 2014



Antonio Ropero
Twitter: @aropero