El precio de la popularidad de Adobe

Adobe apuró ayer una actualización de emergencia para reparar seis distintas vulnerabilidades de su ubicuo Flash Player. De estas seis, cuatro estaban directamente relacionadas con el código de ejecución (CVE-2011-2426, CVE-2011-2427, CVE-2011- 2428, CVE-2011-2430), una tiene que ver con la conocida vulnerabilidad XXS (CVE-2011-2444), y la última puede ocasionar fuga de información (CVE-2011-2429).
Recomendamos a todos los usuarios actualizar de inmediato sus sistemas. Adobe también informa que la vulnerabilidad CVE-2011-244, vinculada con XXS, está circulando en Internet. Nuestros lectores pueden acceder a la actualización aquí: ACTUALIZACIÓN

Lo que me parece más interesante, como investigador de programas maliciosos para plataformas móviles, es que muchas de las nuevas vulnerabilidades de Flash también afectan ahora a la plataforma Android. Para la mayoría de usuarios de ordenadores y smartphones, Adobe está en todas partes y en casi todo tipo de dispositivo. Esta ubicuidad lleva a los ususarios a tomar la gran decisión entre el coste de actualizar adecuadamente el software en sus múltiples dispositivos o exponer innecesariamente su información personal ante el riesgo de intrusiones.

Este es el precio del predominio de una tecnología en particular. La mayor ubicuidad del software genera un aumento exponencial de la urgencia de contar con un mantenimiento adecuado. Si uno compara tecnologías similares pero menos conocidas, como por ejemplo el lector de archivos PDF Sumatra, se observa una cantidad considerablemente menor de ataques en internet y de códigos de explotación. Sin embargo, este desequilibrio no significa necesariamente que el uso de software desconocido garantice una mejor protección. Muchas de las vulnerabilidades pueden trasladarse de una marca a otra, y es muy difícil saber cuál queda expuesta. Además, la búsqueda de seguridad en lo desconocido nunca ha sido un enfoque exitoso.

Lo que falta es una mayor educación de los usuarios de dispositivos móviles. La gente me sigue contando, incluyendo ejecutivos corporativos, que alegremente abren documentos PDF, enlaces a sitios, y archivos adjuntos de todo tipo en sus smartphones y en sus tablets. Parece que muy pocos comprenden que su Smartphone es básicamente un ordenador tan susceptible a ataques como los tradicionales equipos de escritorio. Mientras la comodidad de poder acceder a todo tipo de información desde cualquier lugar es increíblemente seductora, ésta no viene sin riesgos. En algunos casos, las actualizaciones no se hacen por simple dejadez del usuario, en otros, pueden perturbar la funcionalidad con otras aplicaciones. Cualquiera que sea el caso, se debe tomar una decisión entre soporte y seguridad.

Todas las vulnerabilidades de esta actualización están relacionadas con Flash. Flash está presente en múltiples formatos, desde sitios web hasta documentos PDF y Microsoft Word, e incluso puede llegar a ejecutarse como aplicación independiente.

Quisiera recomendar a nuestros lectores que actualicen sus ordenadores, ya sean de escritorio, portátiles, o Macs, y también sus smartphones y tablets. Si bien esto puede parecer una molestia y una pérdida de tiempo, puede ser mucho peor cuando uno se convierte en víctima de los programas maliciosos; además hay que tener en cuenta que Adobe ha revelado que saben que hay incidentes de ataques contra su propio software.

Agradecemos a Kurt Baumgartner su colaboración en esta entrada del blog.