Martes de parches de Adobe y Microsoft

Este mes se lanzaron muchas actualizaciones de seguridad. Microft publicó sus boletines de seguridad de este mes y Adobe también lanzó actualizaciones críticas para Adobe Reader y Acrobat 9.3.1 en Windows, Mac y Unix, así como actualizaciones para Reader y Acrobat 8.2.1 en Windows y Mac. Estas actualizaciones solucionan varios problemas de corrupción de memoria, saturación de buffer y cross-site scripting.

Adobe también activó su nuevo actualizador automático que facilitará a los usuarios la tarea de mantener sus productos adobe con las últimas actualizaciones. El actualizador instalará las actualizaciones de Adobe en silencio cuando el ordenador esté inactivo.

Tomando en cuenta que Adobe es uno de los programas más explotados por los cibercriminales, esto parece una buena idea, ¿no es así?, pero, hay un problema. Adobe está lanzando el actualizador, pero no piensa activarlo de forma automática. Esto significa que sus usuarios no recibirán las actualizaciones de forma automática a no ser que decidan activar esta característica. Pero Adobe dice que cree que esta es la mejor opción para la mayoría de los usuarios, y que están evaluando las posibilidades para determinar cuál es la mejor solución a largo plazo. Una de las posibles soluciones es incluir una ventana de activación en el proceso de actualización.

Yo creo que Adobe necesita tomar la seguridad más en serio y comenzar a utilizar métodos más seguros por defecto.

Por otra parte, Microsoft ha lanzado 11 boletines de seguridad para 24 vulnerabilidades en Windows, Microsoft Office y Exchange. Los boletines de este mes afectan a todos los sistemas operativos, incluyendo Windows 7, y 5 de ellos son críticos, 5 importantes y 1 moderado. Las actualizaciones de este mes incluyen boletines que solucionan la vulnerabilidad SMB crítica que Microsoft notificó en noviembre y la vulnerabilidad en VBScript sobre la que alertó el mes pasado.

MS10-019 parcha dos vulnerabilidades en Windows Authenticode Verification. Estas vulnerabilidades permiten a los atacantes modificar archivos ejecutables (archivos PE y CAB) sin validar la firma. Este boletín agrega operaciones de verificación al firmar y al comprobar un archivo portátil ejecutable o .CAB.

MS10-020 es el boletín que lanzó Microsoft para solucionar las vulnerabilidades en el cliente SMB. Este problema afecta a SMBv1 y SMBv2. El cliente SMB en general se utiliza para ofrecer acceso compartido a archivos e impresoras en una red. Si se explota, podría causar un ataque de negación de servicio.

MS10-022 Parcha la vulnerabilidad en VBScript que permite la ejecución remota de código. Los usuarios pueden explotarla al visitar una página web diseñada de forma especial y presionar la tecla F1. Este boletín se considera Importante para usuarios con Windows 2000, XP o Server 2003. No se considera una falla grave para los usuarios de Windows 7, Server 2008 o Server 2008 R2. Microsoft llama a este boletín una medida de defensa profunda.

woMS10-025 Resuelve una vulnerabilidad en la forma en la que Unicast Services de Windows Media transporta la información de los paquetes de red. Un atacante podría controlar por completo el ordenador. Vale la pena notar que Windows Media Services es un componente opcional en Windows 2000 y no está instalado por defecto.

woMS10-026 Se ocupa de una vulnerabilidad en cómo Windows maneja el flujo de audio MPEG Layer-3 (MP3). Esta vulnerabilidad hace que el atacante tenga control absoluto del sistema si un usuario abre un archivo AVI malicioso.

woMS10-027 soluciona una vulnerabilidad en Windows Media Player. Para que los atacantes exploten esta vulnerabilidad, el usuario debe ingresar a un sitio web malicioso y abrir el archivo de música o video infectado.

Para más información sobre el resto de los boletines e información detallada sobre los parches que Microsoft y Adobe lanzaron este mes, visite el Resumen del Boletín de Seguridad de Microsoft o el Boletín de Seguridad de Adobe.

Tomen en cuenta que todas las actualizaciones requieren que se reinicie el sistema, así que estén preparados para ello cuando decidan instalar los parches.