Flashback

Flex es un SDK (software development kit) para el desarrollo de aplicaciones RIA (Rich Internet Application o «aplicaciones de Internet enriquecidas«) basadas en la plataforma Adobe Flash. Flex, aunque en la actualidad es un proyecto Open Source de Apache (Apache Flex), hasta el 2011 era un producto de Adobe (Adobe Flex), que fue donado a la Apache SoftwareFoundation.

Los investigadores Luca Carettoni (de LinkedIn) y Mauro Gentile (de Minded Security) han descubierto que muchas aplicaciones Flex publicadas en Internet en la actualidad siguen siendo vulnerables a una vulnerabilidad del 2011. El problema (con CVE-2011-2461), fue parcheado por Adobe en su momento, a través de la actualización apsb11-25que también fue comentada por Hispasec en una-al-dia. El fallo podría permitir a un atacante evitar la política de mismo origen y realizar ataques de Cross-Site Request Forgery.

Aunque el fallo fue corregido en su momento por Adobe, no bastaba con actualizar Flex. Tal y como explicaba el aviso de Adobe, todos los archivos compilados con alguna versión vulnerable de Flex necesitaban ser recompilados (o parcheados) con una versión actualizada para evitar la vulnerabilidad. Si el archivo SWF está compilado con una versión vulnerable de Flex SDK, un atacante podrá utilizar esta vulnerabilidad ante los últimos navegadores web y Flash actualizados.

Durante los meses de octubre y diciembre de 2014, los investigadores analizaron múltiples dominios buscando SWFs vulnerables. Sorprendentemente encontraron que muchos aun alojan archivos SWF afectados, incluyendo sitios como Google, Yahoo! o incluso la propia Adobe.

Luca (@_ikki) y Mauro (@sneak_) han desarrollado una aplicación Java, ParrotNG, que permite identificar los archivos SWF vulnerables. La herramienta se encuentra disponible desde
https://github.com/ikkisoft/ParrotNG/releases

Los investigadores advierten que aun hay muchos sitios que alojan aplicaciones SWF vulnerables y recomiendan recompilarlas con la última versión de Apache Flex SDK, parchearlas con la utilidad oficial de Adobe (disponible aquí) o directamente eliminarlas si no se usan.

The old is new, again. CVE-2011-2461 is back!

una-al-dia (30/11/2011) Actualización de seguridad para Adobe Flex SDK

Antonio Ropero

Twitter: @aropero