Actualizaciones de seguridad para Adobe Acrobat, Reader, Flash Player y ColdFusion

Para Adobe Reader y Acrobat (boletín APSB16-14) se han solucionado 92 vulnerabilidadesque afectan a las versiones 15.010.20060 (y anteriores) de Acrobat DC y Acrobat Reader DC Continuous, 15.006.30121 (y anteriores) de de Acrobat DC y Acrobat Reader DC Classic y Acrobat XI y Reader XI 11.0.15 (y anteriores) para Windows y Macintosh.

Esta actualización soluciona 29 vulnerabilidades de uso después de liberar memoria, dos desbordamientos de búfer, 46 problemas de corrupción de memoria, un desbordamiento de entero y otra vulnerabilidad en la ruta de búsqueda de directorio utilizada para encontrar recursos; todos ellos podrían permitir la ejecución de código. También se resuelven dos vulnerabilidades de fuga de información, otra que podría permitir la divulgación de información y varios métodos para evitar restricciones de ejecución en la API javascript.

Los CVE asociados son: CVE-2016-1037 al CVE-2016-1088, CVE-2016-1090, CVE-2016-1092, al CVE-2016-1095, CVE-2016-1112, CVE-2016-1116 al CVE-2016-1130, CVE-2016-4088, CVE-2016-4089, CVE-2016-4090 al CVE-2016-4094 y CVE-2016-4096 al CVE-2016-4107.

Adobe ha publicado las versiones 11.0.16 de Acrobat XI y Reader XI, Acrobat DC y Reader DC Continuous 15.016.20039 y Acrobat DC y Reader DC Classic 15.006.30172; las cuales solucionan los fallos descritos.

Se encuentran disponibles para su descarga desde la página oficial, y a través del sistema de actualizaciones cuya configuración por defecto es la realización de actualizaciones automáticas periódicas.

Para Adobe Flash Player se ha publicado el boletín APSB16-15, destinado a solucionar otras 25 vulnerabilidades, entre las que se incluye un 0day que se está explotando en la actualidad de forma activa. Todos los problemas podrían permitir a un atacante tomar el control de los sistemas afectados.

Todo parece indicar que con objeto de incluir la solución a una vulnerabilidad 0-day (CVE-2016-4117) debida a una confusión de tipos, Adobe se vio obligada a retrasar la publicación de su habitual boletín mensual para Flash.

Todos los problemas que se corrigen en este boletín podrían permitir la ejecución de código arbitrario aprovechando ocho vulnerabilidades de uso de memoria después de liberarla, dos de confusión de tipos, dos desbordamientos de búfer, 12 de corrupción de memoria y una vulnerabilidad en la ruta de búsqueda de directorio empleada para encontrar recursos.

Los CVE asignados son: CVE-2016-1096 al CVE-2016-1110 y CVE-2016-4108 al CVE-2016-4117.

De igual forma, como viene siendo habitual en los últimos meses, Microsoft también publicó el boletín MS16-064, para reflejar estas actualizaciones de Adobe Flash (excepto el 0-day).

Adobe ha publicado las siguientes versiones de Adobe Flash Player destinadas a solucionar las vulnerabilidades, y se encuentran disponibles para su descarga desde la página oficial:

* Flash Player para Linux 11.2.202.616

Igualmente se ha publicado la versión 21.0.0.242 de Flash Player para navegadores Internet Explorer, Edge y Chrome. Así como la versión 21.0.0.215 de AIR.

Adobe recomienda a los usuarios de Adobe Flash Player Desktop Runtime

para Windows y Macintosh actualizar a través del sistema de

actualización del propio producto o desde

http://www.adobe.com/go/getflash

Los usuarios de Adobe Flash Player Extended Support Release deben

actualizar desde:

http://helpx.adobe.com/flash-player/kb/archived-flash-player-versions.html.

Para actualizar Adobe Flash Player para Linux:

http://www.adobe.com/go/getflash

En el boletín de seguridad APSB16-16de Adobe, se recoge una actualización para ColdFusion versiones 2016, 11 y 10. Este parche está destinado a corregir una vulnerabilidad importante relacionada con un error en la validación de entradas (CVE-2015-1113) que podría emplearse para realizar ataques de cross-site scripting. También se soluciona otro problema en la verificación del nombre de host certificados comodín (CVE-2016-1115) y se incluye una versión actualizada de la librería Apache Commons Collections para mitigar una deserialización en Java (CVE-2016-1114).

Se recomienda a los usuarios actualicen sus productos según las instrucciones proporcionadas por Adobe:

ColdFusion (2016):

ColdFusion 11:

ColdFusion 10:

Antonio Ropero

Twitter: @aropero