Adobe Flash Player ha sido una de las herramientas gracias a la cual Internet es como es ahora. Este complemento permitía a la web poder disponer de aplicaciones y juegos web, así como de contenido multimedia que los estándares anteriores no soportaban. Sin embargo, los tiempos cambian, y mientras han crecido los distintos estándares web para ofrecer las mismas (y más) funcionalidades de Flash, el complemento de Adobe se ha convertido en un colador de amenazas debido al gran número de vulnerabilidades que oculta, vulnerabilidades como el nuevo zero-day descubierto que está poniendo en peligro a todos los usuarios.

Todos los meses, Adobe suele publicar una serie de actualizaciones para Flash y el resto de sus productos con las que solucionar todo tipo de vulnerabilidades y fallos detectados durante el último mes. Sin embargo, los compañeros de SoftZone nos contaron que este mes, Adobe había decidido jugársela y no lanzar actualizaciones para Flash. Un grave error.

Hace algunas horas, Adobe lanzaba una actualización de emergencia para su complemento Flash Player, actualización pensada exclusivamente para solucionar un grave fallo de seguridad zero-day que estaba siendo utilizado por piratas informáticos para distribuir FinFisher, uno de los spyware más peligrosos que podemos encontrar.

La vulnerabilidad en cuestión explotada por estos piratas es CVE-2017-11292, una vulnerabilidad del tipo “type confusion” que, al explotarla, permite a los atacantes ejecutar código remoto en los sistemas de las víctimas. Según los expertos de seguridad que han descubierto esta vulnerabilidad, utiliza el mismo servidor de control (C&C) que la vulnerabilidad CVE-2017-8759 de .Net Framework explotada recientemente para ejecutar, igualmente, código remoto en los sistemas.

El grupo de piratas informáticos responsable de esta amenaza, BlackOasis, ya cuenta con 5 vulnerabilidades zero-day a sus espaldas desde que empezó a operar en junio de 2015. En esta ocasión, el exploit se distribuye oculto en un documento de Word que, al abrirlo, explota la vulnerabilidad de Flash y lleva a cabo la infección con el malware FinFisher.

Esta vulnerabilidad afecta a todos los sistemas operativos, tanto Windows como macOS, Linux y ChromeOS, por lo que es muy importante asegurarnos de actualizar cuanto antes a la versión 27.0.0.170 de este complemento para evitar terminar siendo víctimas de estos piratas informáticos.

Hasta 2020, fecha en la que desaparecerá Adobe Flash Player, aún pueden ponernos en peligro muchas vulnerabilidades

En julio de este mismo año, Adobe se dio cuenta de que no podía hacer nada con este complemento y, finalmente, confirmó lo que se ha conocido como la muerte de Flash. Según la desarrolladora, en 2020, Flash dejará de recibir soporte y desaparecerá, de una vez por todas, de los ordenadores, dejando a los estándares modernos (como HTML5) que son mucho más seguros, eficientes y abiertos, poder seguir creciendo, mejorando y dando forma a un Internet que está constantemente cambiando.

Aunque este complemento no terminará de desaparecer hasta 2020, a lo largo de 2019 es muy probable que veamos cómo los principales navegadores web, como Google y Firefox, empiezan a bloquear de forma definitiva este complemento, así como los principales desarrolladores, como Microsoft, dejan igualmente de darle soporte.

Todo sea por un Internet mejor donde, tras muchos años, no podamos culpar a Flash de las vulnerabilidades.

¿Tienes Flash instalado en tu ordenador? ¿Has actualizado ya este complemento para protegerte de esta vulnerabilidad?