Actualización para productos Adobe: Flash Player, Photoshop, Connect y Experience Manager

Adobe ha publicado actualizaciones para diversos productos. En esta ocasión los productos afectados son Flash Player, Photoshop, Connect y Experience Manager, en total se han solucionado 32 vulnerabilidades.

En el boletín de seguridad APSB16-03 de Adobe, se recoge una actualización para Adobe Photoshop CC 16.1.1 (2015.1.1 y anteriores) y Adobe Bridge CC (6.1.1 y anteriores) para Windows y Macintosh. Este parche está destinado a corregir tres vulnerabilidades relacionadas con corrupción de memoria (CVE-2016-0951, CVE-2016-0952 y CVE-2016-0953) que podrían permitir la ejecución de código.

Se recomienda a los usuarios actualicen sus productos a través de los mecanismos disponibles en cada aplicación (Help/Updates).

En el boletín APSB16-04 Adobe distribuye una nueva actualización para Adobe Flash Player, que en esta ocasión soluciona 22 vulnerabilidades, todas ellas podrían permitir la ejecución de código arbitrario y por tanto tomar el control de los sistemas afectados.

De estas 22 vulnerabilidades, una es de confusión de tipos, seis por usar memoria previamente liberada, un desbordamiento de búfer y 14 por corrupción de memoria. Los CVEs asignados son del CVE-2016-0964 al CVE-2016-0985.

Adobe ha publicado las siguientes versiones de Adobe Flash Player destinadas a solucionar las vulnerabilidades, y se encuentran disponibles para su descarga desde la página oficial: 

• Flash Player Desktop Runtime 20.0.0.306
• Flash Player Extended Support Release 18.0.0.329
• Flash Player para Linux 11.2.202.569

Igualmente se ha publicado la versión 20.0.0.306 de Flash Player para Internet Explorer, Edge y Chrome (Windows y Macintosh).

También se han actualizado AIR Desktop Runtime, AIR SDK, AIR SDK & Compiler a la versión 20.0.0.260 (Windows, Macintosh, Android e iOS).

Las actualizaciones se encuentran disponibles a través de los mecanismos a tal efecto en los propios productos. Hay que destacar que esta actualización de Flash Player también se encuentra incluida dentro de las actualizaciones publicadas por Microsoft (en el boletín MS16-022). 

También se ha publicado el boletín APSB16-05 que soluciona cuatro vulnerabilidades en Adobe Experience Manager versiones 6.1.0, 6.0.0 y 5.6.1 para Windows, Unix, Linux y OS X.

Se ha incluido un agente de mitigación de fallos de deserialización en Java, y se soluciona una vulnerabilidad de cross-site scripting, una divulgación de información que afecta a Apache Sling Servlets Post 2.3.6 y Dispatcher 4.1.5 (y superiores) resuelve una vulnerabilidad de salto de filtro de URL. Los CVEs son del CVE-2016-0955 al CVE-2016-0958.

Por último, en el boletín APSB16-07 se recoge una actualización para Adobe Connect 9.4 que soluciona tres vulnerabilidades.

Adobe Connect es una solución de conferencias web para reuniones, aprendizaje electrónico y seminarios Web. Hace posible el uso de soluciones de conferencias en múltiples dispositivos a través de tecnología web.

Adobe Connect 9.5.2 incluye una característica de protección ante Cross-Site Request Forgery, también se resuelve una validación insuficiente de los parámetros en una URL y una vulnerabilidad que se podría emplear para falsear la información presentada en la interfaz de usuario (suplantación de contenido). Los CVE asignados son CVE-2016-0948 al CVE-2016-0950.

Más información:

APSB16-07

Security updates available for Adobe Connect

https://helpx.adobe.com/content/help/en/security/products/connect/apsb16-07.html

APSB16-05

Security updates available for Adobe Experience Manager

https://helpx.adobe.com/content/help/en/security/products/experience-manager/apsb16-05.html

APSB16-04

Security updates available for Adobe Flash Player

https://helpx.adobe.com/content/help/en/security/products/flash-player/apsb16-04.html

APSB16-03

Security updates available for Adobe Photoshop CC and Bridge CC

https://helpx.adobe.com/content/help/en/security/products/photoshop/apsb16-03.html

Antonio Ropero

antonior@hispasec.com

Twitter: @aropero

Actualizaciones de seguridad para Adobe Photoshop y Bridge

Adobe ha publicado dos boletines de seguridad para corregir un total de cuatro vulnerabilidades en sus productos Adobe Photoshop CC y Adobe Bridge CC para las plataformas de Windows y Macintosh.

Los boletines han sido identificados como APSB15-12 y APSB15-13. El primero relacionado con el popular Adobe Photoshop, está afectado por las cuatro vulnerabilidades corregidas, y el segundo, orientado a Adobe Bridge, que está afectado por tres de las cuatro vulnerabilidades anunciadas.

Las vulnerabilidades en cuestión han sido identificadas con los CVEs correlativos que abarcan desde el CVE-2015-3109 hasta el CVE-2015-3112 y han sido calificadas como críticas. Debido a que todas las vulnerabilidades podrían permitir la ejecución de código arbitrario en la máquina afectada.

La vulnerabilidad CVE-2015-3109, que solo afecta al producto Adobe Photoshop CC, ha sido descubierta por Jeremy Brown, un investigador de seguridad de Microsoft, y se debe a una corrupción de memoria.

Las tres vulnerabilidades restantes, CVE-2015-3110, CVE-2015-3111 y CVE-2015-3112 afectan a los dos productos mencionados y han sido descubiertas por el investigador Francis Provencher de Protek Research Labs. Podrían causar un desbordamiento de enteros, una corrupción de memoria y un desbordamiento de memoria intermedia respectivamente.

Adobe recomienda que el usuario actualice sus productos con la máxima brevedad posible por medio de los mecanismos de actualización de las aplicaciones.

Más información:

Security update available for Adobe Photoshop CC

https://helpx.adobe.com/security/products/photoshop/apsb15-12.html

Security update available for Adobe Bridge CC

https://helpx.adobe.com/security/products/bridge/apsb15-13.html

Jose Ignacio Palacios Ortega

jipalacios@hispasec.com

Vulnerabilidades en Adobe Photoshop CS6

Adobe ha publicado un boletín de seguridad en el que corrige dos vulnerabilidades en su producto Adobe Photoshop CS6. El boletín es calificado como crítico por parte de Adobe y tiene el identificador APSB12-20.

Adobe Photoshop es un software de tratamiento de imágenes muy potente y popular en varias ramas de la industria multimedia, principalmente en el retoque fotográfico.

Adobe no ha dado mucha información sobre las dos incidencias. Simplemente indica que el error provocaría un desbordamiento de memoria intermedia que puede ser aprovechado para ejecutar código arbitrario en la máquina objetivo a través de un fichero especialmente manipulado. A efectos prácticos esto significa que, abriendo con CS6 algún tipo de fichero de imagen compatible, se podría llegar a ejecutar/descargar código en la máquina sin que la víctima se percatase.

Las vulnerabilidades han sido clasificadas como CVE-2012-4170 y CVE-2012-0275 y afectan tanto a la versión de Windows como la de Macintosh.

Adobe ha publicado la versión 13.0.1 de su rama CS6 (Creative Suite 6). La rama anterior CS5 (que va por sus versiones 12.1.1 y 12.0.5 para Windows y Macintosh respectivamente) no necesitarán ser actualizadas.

http://blogs.adobe.com/photoshopdotcom/files/2012/08/103551.jpg

Para actualizar es necesario hacerlo desde la propia aplicación, en el menú de ayuda. Además, esta nueva versión soluciona hasta 31 errores de "cuelgues" y otros muchos errores menores.

Más información

Adobe Secutity Bulletin APSB12-20

http://www.adobe.com/support/security/bulletins/apsb12-20.html

How To Get The Update

http://blogs.adobe.com/photoshopdotcom/2012/08/photoshop-cs6-13-0-1-update-now-available.html

Jose Ignacio Palacios 

jipalacios@hispasec.com