Encuentran una vulnerabilidad en Flash Player

ivel de gravedad: Crítico

Impacto: Ejecución remota de código

Fecha de publicación: 14 de noviembre de 2006

Software afectado por este parche:

- Microsoft Windows XP Service Pack 2

- Microsoft Windows XP Professional x64 Edition

Software NO afectado por este parche:

- Microsoft Windows 2000 Service Pack 4

- Microsoft Windows Server 2003

- Microsoft Windows Server 2003 Service Pack 1

- Microsoft Windows Server 2003 (Itanium)

- Microsoft Windows Server 2003 SP1 (Itanium)

- Microsoft Windows Server 2003 x64 Edition

- Windows Vista

El software en esta lista se ha probado para determinar si es afectado. Otras versiones anteriores no mencionadas, podrían o no ser vulnerables, pero ya no incluyen soporte de actualizaciones de parte de Microsoft.

Descripción

Flash Player es un reproductor gratuito de Macromedia (empresa adquirida por Adobe), que se instala como plug-in en la mayoría de los navegadores más utilizados, y que permite visualizar las animaciones y películas creadas en Flash. Las versiones afectadas de Microsoft Windows, incluyen este producto de origen.

Un atacante que explote exitosamente cualquiera de estos problemas, podría tomar el control total del sistema afectado mediante la carga de una animación en flash (SWF), maliciosamente modificada, que podría ser cargada automáticamente cuando el usuario visita un sitio web.

Un correo electrónico conteniendo un archivo SWF puede ser utilizado también como vector de ataque, siempre que el usuario abra el adjunto.

Las vulnerabilidades están relacionadas con las siguientes referencias CVE:

Macromedia Flash Player Vulnerabilities

www.cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2006-3014

www.cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2006-3311

www.cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2006-3587

www.cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2006-3588

www.cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2006-4640

CVE (Common Vulnerabilities and Exposures), es la lista de nombres estandarizados para vulnerabilidades y otras exposiciones de seguridad que han tomado estado público, la cuál es operada por cve.mitre.org, corporación patrocinada por el gobierno norteamericano.