Informes Tecnicos / Version RSS

Vulnerabilidades en el cliente iPrint de Novell

Se han anunciado dos vulnerabilidades en el cliente Novell iPrint (versiones anteriores a la 5.44), que podr�an permitir a un atacante remoto lograr comprometer los sistemas afectados. El primero de los problemas reside en un desbordamiento de b�fer en el tratamiento de par�metros "call-back-url" demasiado largos para operaciones "op-client-interface-version" cuando el par�metro "result-type" est� configurado a "url". Un atacante remoto que explote exitosamente este problema podr� lograr la ejecuci�n de c�digo arbitrario. Un segundo problema se debe a un puntero no inicializado cuando se invoca el m�todo "GetDriverFile()" del Control ActiveX "ienipp.ocx". Tambi�n podr�a permitir a un atacante remoto ejecutar c�digo arbitrario. Se recomienda actualizar a Novell iPrint Client versi�n 5.44. Security Vulnerability - Novell iPrint Client "call-back-url" Buffer Overflow http://www.novell.com/support/viewContent.do?externalId=7006679 Novell iPrint Client Browser Plugin GetDriverFile Uninitialized Pointer Remote Code Execution Vulnerability http://dvlabs.tippingpoint.com/advisory/TPTI-10-08 iPrint Client for Windows XP/Vista/Win7 5.44 http://download.novell.com/Download?buildid=H-2-uHNc5-A~

Vulnerabilidades locales en el kernel Linux

Se han detectado recientemente dos vulnerabilidades en el kernel Linux, en su rama 2.6.x que podr�an permitir a atacantes locales provocar una denegaci�n de servicio u obtener acceso a informaci�n en memoria. El primero de los fallos se da a la hora de limpiar la memoria en la funci�n 'drm_ioctl' del fichero 'drivers/gpu/drm/drm_drv.c' del controlador DRM (Direct Rendering Manager). Un atacante local podr�a aprovechar esto para obtener acceso a direcciones de memoria basadas en pila anteriormente liberadas, mediante el env�o de llamadas al sistema especialmente manipuladas y con acceso al servidor X. El segundo problema es un desbordamiento de enteros en la familia de sockets 'AF_CAN', en concreto en los protocolos (Controller Area Network) y BCM (Broadcast Manager). Esto podr�a ser aprovechado por un atacante local para elevar privilegios a trav�s del env�o de paquetes CAN especialmente manipulados. Se recomienda aplicar las contramedidas especificadas en el apartado de m�s informaci�n. can: add limit for nframes and clean up signed/unsigned variables http://git.kernel.org/?p=linux/kernel/git/torvalds/linux-2.6.git;a=commitdiff;h=5b75c4973ce779520b9d1e392483207d6f842cde drm: stop information leak of old kernel stack. http://git.kernel.org/?p=linux/kernel/git/airlied/drm-2.6.git;a=commitdiff;h=b9f0aee83335db1f3915f4e42a5e21b351740afd http://git.kernel.org/?p=linux/kernel/git/airlied/drm-2.6.git;a=commitdiff&h=1b2f1489633888d4a06028315dc19d65768a1c05

Actualizaci�n del kernel para SuSE Linux Enterprise 10

SuSE ha publicado la actualizaci�n del kernel para SuSE Linux Enterprise Server y Desktop en la su versi�n 10 en la que se corrige una vulnerabilidad de denegaci�n de servicio. El problema reside en la funci�n nfs_wait_on_request (defs/nfs/pagelist.c) del kernel de Linux que puede permitir a un atacante provocar una denegaci�n de servicio (Oops) mediante vectores desconocidos relacionados con truncado de archivos y una operaci�n que no pueda interrumpirse. Tambi�n se han corregido otros bugs no relacionados con problemas de seguridad. Se recomienda actualizar a la �ltima versi�n del kernel, disponible a trav�s de la herramienta autom�tica YaST. [security-announce] SUSE Security Announcement: Linux kernel (SUSE-SA:2010:035) http://lists.opensuse.org/opensuse-security-announce/2010-08/msg00004.html

Corregido un interesante (y peligroso) fallo en el kernel Linux 2.6

Recientemente se ha parcheado una vulnerabilidad en el kernel Linux, rama 2.6, que podr�a permitir a un atacante elevar privilegios y ejecutar c�digo arbitrario con permisos de root. La vulnerabilidad ha sido descubierta por Rafal Wojtczuk de Invisible Things Labs, la empresa de la conocida investigadora Joanna Rutkowska. Rafal descubri� el bug mientras estaba trabajando en la virtualizaci�n de la interfaz de usuario del sistema operativo Qubes. Qubes es el proyecto m�s ambicioso de Rutkowska, un sistema operativo que permite virtualizar procesos independientemente. Seg�n Rutkowska el bug descubierto podr�a haber estado ya presente desde la introducci�n de la rama 2.6 a finales de 2003. Aunque en un primer momento los investigadores reportaron el error a los desarrolladores del servidor X (X.org) finalmente se deriv� a los mantenedores del kernel. Esto fue debido a que no se trataba de un fallo inherente al servidor X sino a la forma en la que el kernel maneja la memoria en determinadas circunstancias. La explotaci�n de la vulnerabilidad permitir�a a cualquier proceso no privilegiado con acceso al servidor X escalar a root. De facto los procesos de usuario que posean GUI corren con acceso al servidor X y de ah� que, como teoriza Rutkowska, la explotaci�n de una vulnerabilidad no relacionada en una aplicaci�n de usuario podr�a ser encadenada y aprovechar �sta para elevar privilegios. La puerta a una ejecuci�n remota de c�digo queda abierta. T�cnicamente la explotaci�n del bug reside en cargar de forma reiterativa en memoria pixmaps (XPM) de gran tama�o aumentando as� el �rea de memoria mapeada. Gracias a la extensi�n MIT-SHM del servidor X, se posibilita y se crea un segmento de memoria compartida que ser� usado por el proceso del servidor X. La idea es aumentar el tama�o de memoria mapeada y seguidamente llamar a una funci�n recursiva que vaya creando marcos de pila llevando el segmento de pila hacia la zona de memoria compartida, ya de por s� en direcciones altas debido a la expansi�n de la memoria mapeada usada a alojar los pixmaps. Durante ese instante, el puntero de pila ha llegado a la zona de memoria compartida y el atacante obtiene el control de la pila ya que puede escribir en esa �rea posibilitando de �sta forma la ejecuci�n de c�digo arbitrario. El fallo ha sido corregido en el repositorio de c�digo del kernel y su CVE asignado es CVE-2010-2240. Skeletons Hidden in the Linux Closet: r00ting your Linux Desktop for Fun and Profit http://theinvisiblethings.blogspot.com/2010/08/skeletons-hidden-in-linux-closet.html Exploiting large memory management vulnerabilities in Xorg server running on Linux http://www.invisiblethingslab.com/resources/misc-2010/xorg-large-memory-attacks.pdf

Vulnerabilidad en el reproductor VLC Media Player

Se ha descubierto una vulnerabilidad en el reproductor de archivos multimedia VLC (versiones 0.9.0 a 1.1.2) que podr�a ser aprovechada por un atacante remoto para ejecutar c�digo arbitrario. VLC Media Player es un completo reproductor multimedia que soporta un gran n�mero de formatos, como pueden ser: MP3, MPEG, DIVX, VCD o DVD entre otros, as� como varios protocolos de streaming. Adem�s est� disponible para un amplio n�mero de plataformas distintas como Windows, Mac OS X y para varias distribuciones de Linux. VLC tambi�n puede ser utilizado como servidor en unicast o multicast, en IPv4 o IPv6, para una red de banda ancha y tiene disponible un plug-in para Firefox que permite ver algunos archivos Quicktime y Windows Media desde p�ginas web sin necesidad de utilizar los reproductores de Apple o Microsoft. El problema reside en un error de corrupci�n de memoria en la funci�n "ReadMetaFromId3v2()" (de modules/meta_engine/taglib.cpp) incluida en el plugin TagLib cuando se extrae meta-informaci�n de etiquetas ID3v2. Un atacante podr�a aprovechar este problema para lograr ejecutar c�digo arbitrario convenciendo a un usuario para que abra un archivo multimedia espec�ficamente creado. Insufficient input validation in VLC TagLib plugin http://www.videolan.org/security/sa1004.html

Actualizaci�n de seguridad para Quicktime

Apple ha publicado una nueva versi�n de QuickTime (la 7.6.7), que solventa un problema de seguridad cr�tico en sus versiones para Windows. El problema reside en un desbordamiento de b�fer (basado en pila) en el sistema de registro de errores de QuickTime. Visualizar un archivo de v�deo espec�ficamente credo podr�a dar lugar a la ejecuci�n remota de c�digo arbitrario. Como contramedida se puede desactivar el registro de errores. Este problema no afecta a los usuarios de sistemas Mac OS X. La actualizaci�n puede instalarse a trav�s de las funcionalidades de actualizaci�n autom�tica (Software Update) de Apple, o descarg�ndolas directamente desde: http://www.apple.com/quicktime/download/

Actualizaciones para Adobe Flash Player, ColdFusion y Flash Media Server

En su ciclo habitual de boletines de seguridad Adobe ha publicado tres actualizaciones; una corrige seis vulnerabilidades en Flash Player, otra para evitar un fallo en ColdFusion y una �ltima para solucionar cuatro vulnerabilidades en Flash Media Server. El bolet�n APSB10-16 resuelve seis vulnerabilidades en Adobe Flash Player version 10.1.53.64 y versiones anteriores, en sistemas Windows, Macintosh, Linux y Solaris. Tambi�n se ve afectado Adobe AIR 2.0.2.12610 y anteriores para Windows, Macintosh y Linux. Cinco de las vulnerabilidades podr�an permitir la ejecuci�n remota de c�digo arbitrario. Adobe recomienda a los usuarios de Adobe Flash Player la actualizaci�n a Adobe Flash Player 10.1.82.76 y a los usuarios de Adobe AIR actualizar a Adobe AIR 2.0.3. El bolet�n APSB10-18, de car�cter importante, resuelve una vulnerabilidad de escalada de directorios en ColdFusion 8.0, 8.0.1, 9.0 y 9.0.1 para Windows, Macintosh y UNIX. Este problema podr�a permitir la obtenci�n de informaci�n sensible. Se recomienda a los usuarios de ColdFusion actualicen las instalaciones mediante las instrucciones ofrecidas en: http://kb2.adobe.com/cps/857/cpsid_85766.html Por �ltimo, el bolet�n APSB10-19, clasificado como cr�tico, resuelve cuatro vulnerabilidades en Flash Media Server 3.5.3 y 3.0.5 y versiones anteriores para Windows y Linux. Tres de los problemas permitir�an la realizaci�n de ataques de denegaci�n de servicio y otro la ejecuci�n remota de c�digo arbitrario. Adobe recomienda a los usuarios de Flash Media Server (FMS) instalar Flash Media Server versi�n 3.5.4 o Flash Media Server 3.0.6 disponibles desde: http://www.adobe.com/support/flashmediaserver/downloads_updaters.html. Tambi�n se ha realizado un adelanto, en forma de aviso de seguridad, para informar de diversas vulnerabilidades cr�ticas en Adobe Reader y Acrobat para Windows y Macintosh. Adobe planea publicar las actualizaciones para estos productos la semana que viene.

Android estrena su primer troyano medi�tico

En los laboratorios de Kaspersky se han topado esta semana con lo que podr�a ser el primer esp�cimen que afecta, de manera significativa, al sistema operativo para dispositivos m�viles de Google: Android. Era cuesti�n de tiempo que una plataforma como Android, con una cuota cada vez m�s amplia en el mercado de los smartphones, dejara de ser ignorada por los creadores de malware. No obstante, sin explosi�n medi�tica, ya se ten�a conocimiento de spyware en casos puntuales y pruebas de concepto como el rootkit presentado en la �ltima edici�n de la conferencia BlackHat. El reci�n bautizado SMS.AndroidOS.FakePlayer.a, con 13Kb de peso, se dedica una vez instalado en el sistema a enviar SMS indiscriminadamente a n�meros con tarificaci�n especial. Cobrados a algo m�s de 4 euros el mensaje. En principio s�lo parece afectar a Rusia aunque no se descarta que aparezcan versiones adaptadas a otros pa�ses. Llega con la forma de un reproductor multimedia y cuando se instala pide permiso para efectuar operaciones de acceso a la tarjeta de memoria, env�o de SMS y consulta de datos sobre el dispositivo. Autorizaciones sospechosamente poco relacionadas con la prometida funcionalidad de reproducci�n multimedia. A pesar de las advertencias del sistema, este tipo de solicitudes podr�an ser ignoradas por el usuario medio que no suele reparar y pens�rselo mucho antes de pulsar el "Aceptar" del cuadro de di�logo. El troyano lleg� por primera vez a VirusTotal.com el 4 de agosto, sin ser detectado por ning�n antivirus. Poco despu�s fue detectado por este orden, por Dr. Web, Kaspersky y VBA32, todos de factura rusa. Hispasec ha realizado un peque�o an�lisis de la muestra disponible desde: http://www.hispasec.com/laboratorio/troyano_android.pdf Se da la circunstancia que en el mismo d�a, la BBC ha publicado un reportaje donde se muestra la creaci�n de una aplicaci�n maliciosa, entre otros smartphones para Android, con funcionalidad de spyware. A pesar de la coincidencia no est� relacionado con el descubrimiento de Kaskersky. Se trata de una prueba de concepto para "demostrar lo f�cil que es crear aplicaciones maliciosas para un smartphone". Recordemos el reportaje del mismo estilo de marzo de 2009. En aquella ocasi�n la BBC disemin� un malware creado para la ocasi�n que lleg� a infectar 20.000 usuarios y crear una botnet con ellos. Con tiempo es de esperar que surja m�s malware para este tipo de dispositivos que d�a a d�a van ganando en usuarios.

Vulnerabilidad afecta a varios clientes FTP

Se ha descubierto una vulnerabilidad que afecta a m�ltiples clientes FTP y que podr�a permitir potencialmente a un atacante remoto ejecutar c�digo arbitrario a trav�s de un servidor FTP malicioso. La vulnerabilidad reside en una falta de validaci�n del nombre de los archivos que el cliente FTP obtiene del servidor cuando descarga un directorio completo. Si el nombre de los archivos procedentes del servidor contiene una ruta especialmente manipulada, el cliente usar� ese nombre cuando el archivo se escriba localmente y lo situar� en la ruta contenida en el nombre. Por ejemplo "........archivo.exe". Uno de los posibles vectores permitir�a a un atacante situar un archivo con contenido arbitrario en el directorio de inicio de una v�ctima. Lo que provocar�a la ejecuci�n autom�tica al inicio de sesi�n. Los clientes FTP afectados, todos para Microsoft Windows, son: Frigate FTP Client (versi�n 3.36 y posiblemente en inferiores) FTPRush (versi�n 1.1.3 y posiblemente en inferiores) SmartFTP (versi�n 4.0 Build 1124 y posiblemente en inferiores y corregido en la versi�n 4.0 build 1133) Las vulnerabilidades han sido reportadas por la empresa High-Tech Bridge.

Microsoft publicar� 14 boletines el pr�ximo martes

En su ciclo habitual de actualizaciones los segundos martes de cada mes, Microsoft ha anunciado que en esta ocasi�n se esperan catorce boletines de seguridad. Afectan a toda la gama del sistema operativo Windows, Office y Silverlight. En principio, hablan de 34 vulnerabilidades. Si en julio se publicaron cuatro boletines de seguridad, este mes ya se ha publicado uno fuera del ciclo habitual, adem�s Microsoft prev� publicar catorce el pr�ximo 10 de agosto. Ocho se consideran cr�ticos (ejecuci�n remota de c�digo) y el resto importantes (elevaci�n de privilegios o falsificaci�n). Adicionalmente, y como viene siendo habitual, Microsoft publicar� una actualizaci�n para Microsoft Windows Malicious Software Removal Tool. Adem�s, se publicar�n actualizaciones de alta prioridad no relacionadas con la seguridad. Uno de los boletines cr�ticos est� dedicado a Microsoft Silverlight 2 y 3. No se correg�a ning�n fallo de seguridad en Silverlight desde octubre de 2009. Los parches anunciados est�n sujetos a cambios, por tanto, no se garantiza que no se produzcan cambios de �ltima hora. Microsoft Security Bulletin Advance Notification for August 2010 http://www.microsoft.com/technet/security/bulletin/ms10-aug.mspx

Nuevo agujero de seguridad cr�tico en Adobe Reader, "ya no interesa a nadie"

Charlie Miller, un viejo conocido, habl� de un nuevo problema de seguridad cr�tico en Adobe Reader durante la conferencia Black Hat. Despu�s de su charla, Miller escribi� en su propio Twitter: "La seguridad de Adobe es tan mala que cuando anunci� un nuevo 0-day en Reader, ni una persona twite� sobre el asunto. Triste." Charlie Miller encontr� ya en 2007 c�mo ejecutar c�digo en un iPhone simplemente visitando una web con Safari. Tambi�n es responsable del fallo que permit�a ejecutar c�digo en iPhone a trav�s de SMS, adem�s de destapar muchos otros fallos de seguridad en Mac. A principios de abril de 2010, revel� 20 formas distintas de ejecutar c�digo en un Mac de forma remota, y otras 10 vulnerabilidades en otros programas. Tras su presentaci�n en la Black Hat, Adobe ha confirmado el fallo que afecta a Reader bajo todas las plataformas, y que la vulnerabilidad permite la ejecuci�n de c�digo en su �ltima versi�n. Los fallos de seguridad en Adobe, protagonista de los peores problemas de seguridad en los �ltimos tiempos, se han convertido en algo tan com�n que el propio descubridor se quejaba de que ya no interesaban a nadie, y que no eran noticia. Adobe, a causa de las numerosas vulnerabilidades, desbordada por las cr�ticas y una especial torpeza para garantizar la seguridad, decidi� programar las actualizaciones de seguridad cada tres meses, siguiendo el modelo de Microsoft. Desde entonces, ha tenido que romper el ciclo y publicar parches antes de tiempo en tantas ocasiones que se est� planteando acortar los ciclos de actualizaciones a un mes. Incluso, coordinar las actualizaciones a trav�s de m�todos m�s populares o accesibles como Microsoft Update.

La industria de las vulnerabilidades impone un l�mite de seis meses para corregirlas

Zero Day Initiative de TippingPoint ha impuesto una nueva regla destinada a presionar a los fabricantes de software para que solucionen lo antes posible sus errores: si pasados seis meses desde que se les avise de un fallo de seguridad de forma privada, no lo han corregido, lo har�n p�blico. Teniendo en cuenta que, seg�n un estudio que Hispasec realiz� hace unos meses, la media para corregir vulnerabilidades llega a los seis meses, sin duda la decisi�n tendr� consecuencias en los laboratorios. iDefense y Zero Day Initiative son dos iniciativas de compa��as privadas que compran vulnerabilidades, con la �nica condici�n de que se les cedan en exclusiva. La intenci�n de estas dos empresas es apropiarse de vulnerabilidades relevantes en sistemas muy usados. Los investigadores privados que encuentren un fallo, pueden acudir a ellos a vender los detalles. Una vez pagan por la vulnerabilidad, estas dos empresas aplican la pol�tica de "revelaci�n responsable" (o "coordinada" como prefiere ahora la industria), es decir, informan al fabricante del problema y anuncian el fallo (siempre que sea posible) s�lo cuando existe parche disponible. Ambas compa��as esperan (a veces pacientemente) a que el fabricante haya solucionado la vulnerabilidad para hacer p�blico su descubrimiento. Se centran en vulnerabilidades relevantes, que supongan un impacto real y que permitan realmente ser explotadas por un atacante. TippingPoint se ha cansado de esperar, y desde el 4 de agosto impondr� un l�mite de seis meses para que el fabricante solucione el fallo. Dicen que tienen unas 31 vulnerabilidades que llevan un a�o esperando. Seg�n ellos esto no es aceptable. Por ejemplo, y seg�n sus propios datos p�blicos, conocen seis vulnerabilidades cr�ticas de IBM que llevan m�s de 600 d�as esperando a ser resueltas. Tambi�n tienen m�s de 90 que llevan m�s de seis meses esperando. Ante este panorama, a los seis meses har� p�blicos ciertos datos del problema (en ning�n caso todos los detalles), si el fabricante no ha creado un parche a�n. En cualquier caso, dejan la puerta abierta a posibles excepciones si est� justificado que la soluci�n se demore por razones t�cnicas. Seg�n TippingPoint, una de las consecuencias de estas demoras es que cada vez con mayor frecuencia, los investigadores est�n descubriendo una vulnerabilidad y, pasado un tiempo, alguien vuelve a reportarla como nueva. Como los detalles no se hacen p�blicos, mientras se corrige, quien la descubre en segundo lugar no tiene forma de saber si �sta ha sido ya enviada o no a TippingPoint. Esto, evidentemente, indica que cuanto m�s tiempo tarde la soluci�n, m�s probable es que alguien con no muy buenas intenciones la descubra y la aproveche en beneficio propio. Esta iniciativa se enmarca en la agitada escena actual del "full disclosure". Hace poco el equipo de seguridad de Google (a ra�z de la vulnerabilidad encontrada por Tavis Ormandy) afirm� que dejar�a 60 d�as para que el fabricante creara un parche. Tras esto, Microsoft decidi� cambiar la palabra "responsable" por "coordinada" en la expresi�n "responsible disclosure". El informe de Hispasec En septiembre de 2009, Hispasec public� un informe de elaboraci�n propia. Se eligieron todas las vulnerabilidades de cada fabricante, reportadas a iDefense y Zero Day Initiative desde 2005 hasta final de agosto de 2009. Se concluy� que el tiempo medio de todos los fabricantes estudiados en general ascend�a a una media de 171,8 d�as, lo que son casi seis meses por vulnerabilidad. De hecho, casi el 84% de las vulnerabilidades se resuelven antes de los seis meses, y apenas un 10% pasa del a�o. Se clasificaban en tres grandes grupos: Oracle, Microsoft y en menor medida HP como los m�s "perezosos" a la hora de solucionar vulnerabilidades no hechas p�blicas, con una media de entre 200 y 300 d�as (entre siete y diez meses). Por otro lado Apple y Novell se mantuvieron rondando los 100 d�as (m�s de tres meses) para solucionar problemas de seguridad reportados de forma privada. El resto de fabricantes se manten�an entre los tres y los siete meses de media. Aunque Sun era uno de los fabricantes que m�s vulnerabilidades hab�a resuelto entre el a�o y los 18 meses.

V�deo: Troyano "Dot-Torrent" aprovecha el miedo a las descargas "ilegales"

Presentamos una nueva familia de lo que se podr�a denominar "Ransomware" o "Rogueware". La finalidad de este esp�cimen, como de tantos otros, es obtener los datos de la tarjeta de cr�dito de la v�ctima. Lo que nos ha llamado la atenci�n es la forma tan elaborada de conseguirlo. Hemos realizado un v�deo demostraci�n. El troyano ha sido denominado por algunas casas antivirus como Dot-Torrent, aunque otras lo introducen en la familia "FakeAlert", "PrivacyProtector" y "Antipiracy ". No es t�cnicamente novedoso, ni siquiera en su planteamiento. Lo llamativo es la forma tan cuidada de enga�ar al usuario para que termine pagando por descargar contenido "protegido". Juega brillantemente con el potencial sentimiento de "culpa" de un usuario que comparte contenidos multimedia en la Red. Aprovecha el "miedo" que han inculcado en el usuario organizaciones como la RIAA, MPAA, Copyright Alliance... para pedir dinero y evitar as� un ficticio proceso judicial. El troyano se apoyaba en una web (icpp-online.com, actualmente offline) que conten�a supuestas noticias que avalaban la existencia del software, informando sobre campa�as de concienciaci�n y persecuci�n de los infractores. En la sociedad americana, el troyano est� obteniendo un "�xito" importante, aunque su difusi�n no es masiva. Hace ya algo m�s de un mes que est� activo, mejorando con diferentes versiones. Invitamos al lector a visualizar el v�deo alojado en YouTube (menos de 5:18 minutos). Si por alguna raz�n no se visualiza bien, recomendamos reproducirlo a 480p. Este valor se puede modificar desde la barra de desplazamiento de YouTube: http://www.youtube.com/watch_popup?v=pT-gJn506L0 Curiosidades: * El troyano puede llegar al usuario por cualquier medio: vulnerabilidad, ejecuci�n directa, etc. Simula ser un programa de descarga de archivos torrent. Por tanto, el usuario ser� m�s tarde acusado de una acci�n "real": efectivamente, ha descargado contenido "protegido" por medios "ilegales". * Descarga en tiempo real un componente binario que va modificando sus funcionalidades. * Contiene su propio desinstalador que funciona correctamente cuando se introduce un c�digo v�lido. * Se ejecuta antes de Explorer.exe (de que aparezca el escritorio) as� que para usuarios medios que no sepan cargar la lista de tareas y lanzar el escritorio, no hay forma de "escapar". * Utiliza datos reales que muestra "online" como la direcci�n IP y una consulta whois a la direcci�n IP. * En algunas versiones, busca archivos .torrent por todo el disco duro, los muestra en la pantalla principal y pide una cantidad por cada uno de ellos, en concepto de concienciaci�n por descarga. * El trabajo est�tico y de traducci�n, es simplemente excelente. * Valida los datos introducidos. De esta forma se controla que, por ejemplo, no se introduzca un n�mero de tarjeta inv�lido. * Si se decide no pagar y "pasar el caso a los tribunales", finalmente pide los datos y el correo electr�nico, que ir�n a parar al atacante, pero no desbloquea el sistema. * La opci�n "Enter a previously purchased license code" que se observa en la parte inferior derecha, permite introducir efectivamente un c�digo que desinstala el programa. En algunas versiones es RFHM2 TPX47 YD6RT H4KDM, y esto desinstalar� por completo el troyano (aunque aun as� habr� que ejecutar a mano Explorer.exe).

Microsoft publica actualizaci�n fuera de ciclo para vulnerabilidad en los .lnk

Hoy no es el segundo martes del mes pero Microsoft acaba de publicar el bolet�n de seguridad MS10-046 de car�cter cr�tico, en el que se soluciona la ya conocida vulnerabilidad relacionada con archivos LNK (accesos directos). La publicaci�n con car�cter de urgencia se debe a que como ya hab�amos anunciado se hab�an facilitado todos los detalles de la vulnerabilidad y adem�s est� siendo aprovechada de forma activa. Como ya anunciamos el pasado 18 de julio, se hab�a publicado un exploit, as� como los detalles t�cnicos, que hac�an posible explotar esta vulnerabilidad. En aquel momento ya vaticinamos, que Microsoft posiblemente adelantar�a la publicaci�n de la soluci�n a este problema a su ciclo habitual de actualizaciones (programado para el 10 de agosto). El problema afecta a Windows XP, Vista, Windows 7, Windows Server 2008 y Windows Server 2008 R2. Tal y como reconoce Microsoft, en la actualidad hay m�ltiples familias de malware que se aprovechan de esta vulnerabilidad y esta actualizaci�n protege contra cualquier intento de explotaci�n. Dada la gravedad de las vulnerabilidades se recomienda la actualizaci�n de los sistemas con la mayor brevedad posible, mediante Windows Update o descargando los parches, seg�n versi�n, desde las direcciones facilitadas en el propio bolet�n de seguridad: http://www.microsoft.com/technet/security/Bulletin/MS10-046.mspx

Diversas vulnerabilidades en IBM Tivoli Directory Server

Se ha anunciado una vulnerabilidad en IBM Tivoli Directory Server 6.1, que podr�a permitir a un atacante conseguir acceso a la informaci�n de la base de datos. Otro fallo en la versi�n 6.0 permitir�a a un atacante provocar una denegaci�n de servicio. Tivoli Directory Server es un software de gesti�n de identidad de IBM,basado en tecnolog�a LDAP (Lightweight Directory Access Protocol) que proporciona servicios de autenticaci�n centralizado. Soporta plataformas IBM AIX, i5, Solaris, Windows, HP-UX... El primer problema reside en que durante el proceso de instalaci�n se almacena en texto claro, en el archivo "ldapinst.log", la password de administraci�n de DB2. Gracias a esto un usuario podr�a conseguir acceso administrativo a la base de datos. Se recomienda aplicar la actualizaci�n acumulativa 6.1.0.4-TIV-ITDS-IF0006 (6.1.0.36 / 4.0022) o el APAR IO12776. Un segundo problema afecta a los m�todos vPrintMessage y vPrintMessageFile de Tivoli Directory Server, debiso a que no manejan adecuadamente las peticiones de autenticaci�n DIGEST-MD5 si se usan directamente. Si un atacante env�a m�ltiples peticiones especialmente manipuladas (incompletas), puede llegar a hacer que el servicio deje de responder. El fallo se da en la versi�n 6.0.0.8 y para solucionarlo, se debe aplicar la soluci�n provisional 6.0.0.8-TIV-ITDS-IF0006 o APAR IO12399. En ellas el m�todo PrintMessage es usado en vez de los dos anteriores mencionados.

Actualizaci�n para el navegador Google Chrome

Google ha publicado una actualizaci�n de su navegador Chrome para Linux, Mac y Windows. Esta nueva versi�n est� destinada a corregir cinco vulnerabilidades. Seg�n la propia clasificaci�n de Google tres son de gravedad alta, una media y una �ltima de nivel bajo. Las vulnerabilidades m�s graves est�n relacionadas con un problema en el tratamiento de canvas de gran tama�o, una corrupci�n de memoria en el c�digo de representaci�n y una corrupci�n de memoria en el tratamiento de SVG. La vulnerabilidad de gravedad media se refiere a una divulgaci�n de contenidos de la memoria en el c�digo de disposici�n. Por �ltimo tambi�n se ha corregido un error relacionado con el tratamiento incorrecto de nombres de hosts. Para evitar estos problemas, Google ha publicado la versi�n Chrome 5.0.375.125 para sistemas Linux, Mac y Windows. Esta actualizaci�n se instalar� de forma autom�tica en las �ltimas versiones del navegador; o de forma manual desde la opci�n "Acerca de Google Chrome". Tambi�n est� disponible para descarga desde http://www.google.com/chrome

Publicada nueva versi�n de Apache

Se ha publicado la versi�n 2.2.16 del servidor web Apache, con objeto de corregir dos vulnerabilidades de denegaci�n de servicio en los m�dulos "mod_cache" y "mod_dav" y otra de divulgaci�n de informaci�n sensible en "mod_proxy_http". El primer problema reside en la forma en que se procesan las solicitudes por los m�dulos "mod_cache" y "mod_dav". Un atacante remoto podr�a causar una denegaci�n de servicio en determinadas condiciones mediante el env�o de peticiones HTTP especialmente manipuladas. Hay que se�alar que el m�dulo "mod_cache" se ve afectado solamente si se hace uso de la directiva "CacheIgnoreURLSessionIdentifiers". Tambi�n se ha corregido un error en la detecci�n de tiempo de espera en "mod_proxy_http.c" que podr�a permitir que bajo determinadas condiciones, el servidor devuelva una respuesta destinada a otro usuario. S�lo se ven afectados los sistemas operativos Windows, Netware y OS2. Se recomienda actualizar a Apache 2.2.16 desde http://httpd.apache.org/download.cgi

Firefox introduce una grave vulnerabilidad con sus �ltimos parches

El d�a 20 de julio Mozilla anunciaba la nueva versi�n 3.6.7 y 3.5.11 de su navegador, que correg�a 15 vulnerabilidades en 14 boletines de seguridad diferentes. Tres d�as m�s tarde ya est� disponible la versi�n 3.6.8 para solucionar una vulnerabilidad introducida al corregir las anteriores. La versi�n 3.6.8 de Firefox se ha tenido que lanzar con cierta urgencia (solo tres d�as despu�s de publicar la versi�n 3.6.7) para corregir una vulnerabilidad que permite la ejecuci�n de c�digo arbitrario. La soluci�n introducida en la versi�n 3.6.7 para corregir un problema de manejo de plugins, introduc�a un fallo que, bajo ciertas circunstancias, podr�a producir un desbordamiento de memoria intermedia. Esto podr�a permitir la ejecuci�n de c�digo arbitrario. Para solucionarlo han publicado la versi�n 3.6.8 y el bolet�n MFSA2010-48 describiendo el fallo. La versi�n 3.6.7 ha sido por tanto bastante ef�mera, aunque no es la primera vez que ocurre con el navegador. La versi�n 3.6.4 apareci� el 22 de junio, y desde entonces en menos de un mes se han publicado varias subversiones. En la versi�n 3.6.4 los desarrolladores a�adieron cierta protecci�n contra los "cuelgues" de algunos plugins, para que no hicieran que todo el navegador dejase de responder. Para ello a�adieron un "timeout": si el plugin no respond�a en ese tiempo, Firefox tomaba el control terminando la tarea. As� se evitaba que el cuelgue arrastrase a todo el navegador. Sin embargo se dieron cuenta de que el "timeout" introducido era muy corto. Solo 10 segundos. Algunos plugins, como Flash, pueden no responder durante ese tiempo en algunas m�quinas sin que signifique que el complemento haya dejado de responder necesariamente. En muy pocos d�as, se produjo una "traves�a" hasta la versi�n 3.6.6 para corregir ese fallo, y aumentar el "timeout" hasta unos 45 segundos.

Escalada de directorios en Cisco Content Delivery System

Cisco ha anunciado la existencia de una vulnerabilidad en Cisco Content Delivery System (CDS), y que podr�a permitir a un atacante conseguir acceso no autorizado a archivos arbitrarios de los sistemas afectados. El problema reside en un error de validaci�n de entradas en el servidor web de la aplicaci�n Internet Streamer, que un atacante podr�a aprovechar para acceder a los contenidos de cualquier archivo (archivos de contrase�as, logs, configuraci�nes, etc.) mediante ataques de escalada de directorios. Se ven afectadas las versiones de Cisco Content Delivery System (CDS) 2.2.x, 2.3.x, 2.4.x y las anteriores a la 2.5.7. Se recomienda actualizar a la versi�n 2.5.7 o posterior, y como contramedida aplicar reglas de servicio para impedir la escalada de directorios. Se recomieda consultar el aviso de Cisco disponible en: http://www.cisco.com/warp/public/707/cisco-sa-20100721-spcdn.shtml

Se hace p�blico el exploit de la �ltima (y grave) vulnerabilidad en Windows

El pasado 16 de julio public�bamos una noticia sobre una "interesante" vulnerabilidad en Windows que estaba siendo aprovechada por un peligroso troyano. El peor de los escenarios se presenta ahora para Microsoft, puesto que se han hecho p�blicos todos los detalles para aprovechar el fallo y, por tanto, se espera que aparezcan nuevos troyanos aprovechando una peligrosa vulnerabilidad para la que todav�a no hay parche. Inform�bamos hace algunos d�as de una forma totalmente nueva de ejecutar c�digo en Windows cuando se inserta un dispositivo extra�ble, independientemente de que se hayan tomado todas las medidas oportunas conocidas hasta el momento para impedirlo. El fallo se aprovecha a trav�s de archivos LNK (accesos directos) y supone un duro varapalo para Microsoft, pues los atacantes han conseguido descubrir la manera de eludir todas las medidas que se han tomado contra la ejecuci�n autom�tica en Windows. Escrib�amos entonces que "Tarde o temprano los detalles t�cnicos sobre la vulnerabilidad en accesos directos saldr�n a la luz, y todo tipo de malware comenzar� a usar este nuevo m�todo para propagarse por llaves USB". Ha sido m�s temprano que tarde, puesto que ya se han hecho p�blicos todos los detalles y la posibilidad de aprovechar el fallo est� al alcance de cualquiera. La situaci�n es, por tanto, muy grave. Se espera pues un incremento de malware que se propague por dispositivos extra�bles puesto que en estos momentos (y hasta que Microsoft saque un parche), todos los Windows, independientemente de que est� actualizados y bien configurados, podr�an llegar a ejecutar un fichero de forma "silenciosa" si se inserta un dispositivo extra�ble como una llave USB. Por ahora, la �nica forma de que la vulnerabilidad no funcione es realizando el siguiente cambio (aunque se perder� funcionalidad, por lo que es conveniente realizar una copia de seguridad para restaurar el valor cuando el problema est� solucionado): * Poner en blanco el valor predeterminado (default) de la rama del registro: HKEY_CLASSES_ROOTlnkfileshellexIconHandler * Detener y deshabilitar el servicio "cliente web" (WebClient). No est� de m�s recordar que no se deben usar dispositivos extra�bles de dudosa procedencia. Aun as�, se deben tomar las precauciones oportunas incluso contra los dispositivos en los que se conf�e. Lo m�s probable es que Microsoft publique el parche en cuanto est� disponible, independientemente de su ciclo de actualizaciones. Ahora que el problema es p�blico y puede ser aprovechado por cualquiera, suponemos que muy posiblemente se adelante con respecto a la siguiente tanda de parches (programada para el 10 de agosto) o se retrase levemente con respecto a �sta. Esperamos en cualquier caso que no haya que esperar hasta septiembre para obtener una soluci�n oficial.

Firefox y la (in)seguridad de sus extensiones y complementos

Vuelve a ocurrir. Un plugin para el navegador Firefox, alojado en la p�gina oficial de Mozilla, estaba siendo utilizado para robar las contrase�as de los usuarios que lo utilizaran. Tambi�n se ha hecho p�blico que otro plugin conten�a una grave vulnerabilidad que permit�a la ejecuci�n de c�digo en el navegador. Es la cuarta vez que Mozilla sufre un incidente de seguridad relacionado con sus extensiones y complementos. Uno de los mayores atractivos de Mozilla Firefox es la capacidad de extender su funcionalidad casi indefinidamente gracias a las extensiones. Existen miles, muy �tiles, que han popularizado el navegador y lo han convertido adem�s en una herramienta muy potente. Pero en esta ventaja radica tambi�n una de sus debilidades: la facilidad por parte de terceros para crear extensiones y alojarlas en la web oficial de Mozilla se est� convirtiendo en un problema para los desarrolladores, que de nuevo han alojado una extensi�n peligrosa en addons.mozilla.org. Mozilla Sniffer, una extensi�n disponible desde el 6 de junio en la p�gina oficial, enviaba las contrase�as que el usuario introduc�a en los formularios a un sitio remoto, con el fin de robarlas. Era publicitada como una modificaci�n del plugin TamperData. El problema ha sido descubierto el 12 de julio, y en ese espacio de tiempo ha sido descargado unas 1.800 veces. Mozilla alega que se encontraba en un estado "experimental", pero el problema va m�s all�. En mayo de 2008 la Fundaci�n Mozilla distribuy� por error el plugin del idioma vietnamita infectado con adware. Aunque prometi� literalmente "analizar m�s a menudo sus archivos para evitar que esto vuelva a ocurrir", volvi� a ocurrir en febrero de 2010. La fundaci�n Mozilla informaba de que dos complementos "experimentales" para el navegador Firefox conten�an troyanos para Windows. Entonces escrib�amos en una-al-d�a: "hoy en d�a las firmas pueden tardar meses, como ha sido el caso, en ser a�adidas y poder detectar (de forma est�tica) un archivo infectado. No sabemos qu� m�todos usa Mozilla para analizar sus archivos, pero el a�adir nuevos m�todos antivirus puede mitigar el problema aunque no tiene por qu� solucionarlo." Efectivamente, no lo ha solucionado. El problema con Mozilla Sniffer y por lo que ha pasado desapercibido para los antivirus, es que se trataba simplemente de una extensi�n programada espec�ficamente para robar contrase�as silenciosamente. Solo una revisi�n pormenorizada del c�digo, sin automatismos, hubiese revelado la funcionalidad oculta. Esto ataca directamente a la ra�z del problema "de toda la vida" de la detecci�n v�rica: �qu� es "malware"? Cualquier cosa programada con malas intenciones sin hacer part�cipe al usuario. Desde luego, el malware no es exclusivamente "lo que detectan los antivirus", idea que un marketing agresivo y a veces irresponsable de las casas antivirus han incrustado en el usuario medio. Si Mozilla solo analiza sus complementos con antivirus asiduamente, estaba mitigando el problema, pero no lo solucionaba: detectar� lo conocido y dejar� pasar cualquier funcionalidad oculta espec�ficamente dise�ada, como ha ocurrido. En defensa de Mozilla hay que decir que en su repositorio deja claro que ciertas extensiones no han sido verificadas, o que el autor es desconocido... en estos casos se delega en el usuario la responsabilidad de utilizar el c�digo en entornos de producci�n. Pero todos sabemos que trasladar la responsabilidad al usuario no siempre acarrea buenos resultados. Adem�s, se ha detectado que el add-on CoolPreviews, conten�a una vulnerabilidad que permit�a la ejecuci�n de c�digo. La versi�n vulnerable ha sido descargada 177.000 veces. Mozilla ha bloqueado estas extensiones, y anuncia que mejorar� su proceso de validaci�n y publicaci�n, reconociendo impl�citamente que se est�n cometiendo errores. A partir de ahora (de nuevo, a posteriori) dice que revisar�n exhaustivamente el c�digo antes de poner a disposici�n de todos una extensi�n en su web.

Interesante (y peligroso) troyano que aprovecha un interesante (y peligroso) 0 day en Microsoft Windows

Se ha descubierto un nuevo ataque contra Windows, que aprovecha una vulnerabilidad previamente desconocida. Lo interesante (y peligroso) en este caso, es que esta vulnerabilidad ha sido utilizada como nuevo m�todo "revolucionario" para eludir la desactivaci�n de AutoRun y ejecutarse bajo cualquier circunstancia cuando se inserta en el sistema una memoria USB extra�ble, por ejemplo. Adem�s, el troyano ha sido firmado digitalmente por una compa��a leg�tima. C�mo ha sido descubierto VirusBlokAda descubri�, ya el 17 de junio (lo que da una idea de la posible cantidad de tiempo que esta amenaza lleva atacando silenciosamente) m�dulos de un malware nuevo. Pasadas unas semanas, alertaron sobre algo realmente inusual en este troyano: su forma de propagarse a trav�s de memorias USB prescindiendo del tradicional archivo autorun.inf, que permite la ejecuci�n autom�tica cuando se detecta un dispositivo extra�ble y funcionalidad contra la que Microsoft lleva tiempo luchando. El troyano usaba en cierta manera, una vulnerabilidad (para la que no existe parche) en archivos .LNK (accesos directos), que permite la ejecuci�n de c�digo aunque el AutoPlay y AutoRun se encuentren desactivados. A efectos pr�cticos, implica que se ha descubierto una nueva forma totalmente nueva de ejecutar c�digo en Windows cuando se inserta un dispositivo extra�ble, independientemente de que se hayan tomado todas las medidas oportunas conocidas hasta el momento para impedirlo. Para qu� estaba siendo usado Independientemente de su m�todo de propagaci�n, el investigador Frank_Boldewin comenz� a analizar una de las muestras y descubri� que el objetivo del malware estaba dirigido espec�ficamente contra sistemas SCADA WinCC de Siemens, que se ejecutan en Windows. Dentro de su c�digo conten�a la contrase�a por defecto "2WSXcder" para la base de datos central del producto de Siemens, y al parecer el fabricante recomienda no modificarla. Por tanto el troyano consegu�a acceso de administraci�n de la base de datos. Los sistemas "Supervisory Control and Data Acquisition (SCADA)" son programas cr�ticos de producci�n industrial: toman datos muy sensibles de sensores de una f�brica, por ejemplo, y los env�an a un sistema central para ser controlados. Se usan en grandes plantas de tratamiento de aguas, control el�ctrico, de tr�fico... Por tanto, se trata de un malware destinado a un perfil muy diferente del usuario "medio". En otras palabras, malware para al espionaje industrial. Se est� usando sobre todo en Indonesia, India e Ir�n. Un malware muy profesional El troyano se esconde con habilidades de rootkit para pasar desapercibido en los sistemas en los que consigue instalarse. Llama la atenci�n, como se ha mencionado, el uso de una vulnerabilidad desconocida hasta ahora en los accesos directos, lo que da una nueva vuelta de tuerca a la pesadilla del AutoRun para Microsoft. Lejos de usar el tradicional autorun.inf (contra el que ya se puso remedio), se propaga en llaves USB en forma de archivos del tipo ~WTR4132.tmp, por ejemplo. Se parecen mucho a los ficheros temporales de Word que usa Office internamente cuando un fichero est� en uso. Para colmo, el troyano utiliza para su funcionalidad de rootkit unos drivers firmados digitalmente por la famosa empresa china Realtek. Esto significa que, en principio, solo Realtek puede ser responsable de ese c�digo... excepto que su clave privada haya sido comprometida de alguna forma, cosa que no se ha confirmado todav�a. En cualquier caso, Microsoft, muy acertadamente, ha trabajado con Verisign para revocar en sus sistemas los certificados (con el apoyo de Realtek tambi�n). Esto quiere decir que los sistemas bien configurados (que no puedan instalar drivers no firmados o firmados con certificados revocados) no sufrir�n este problema... eso s�, tendr�n que actualizar su lista de certificados a trav�s de windowsupdate.com. El uso de certificados leg�timos es de lo m�s interesante para un malware, y lo hace una pieza casi �nica. Otros troyanos han sido firmados antes, pero no nos consta que se haya realizado la firma con un certificado v�lido de una empresa reconocida. Y ahora qu� Pues este malware pone de nuevo sobre la mesa las posibilidades de la creaci�n de troyanos espec�ficos, de amenazas personalizadas y "trabajadas" convenientemente para pasar desapercibidas. O sea: usando vulnerabilidades no conocidas, criptograf�a, rootkits.... Tarde o temprano los detalles t�cnicos sobre la vulnerabilidad en accesos directos saldr�n a la luz, y todo tipo de malware comenzar� a usar este nuevo m�todo para propagarse por llaves USB. Recordemos el �xito de Conficker en octubre de 2009, que tambi�n encontr� una forma de eludir la desactivaci�n de AutoRun en Windows (gracias a una modificaci�n en autorun.inf que no se tuvo en cuenta) y que oblig� a Microsoft ha modificar toda su filosof�a en este sentido y desactivar (se cre�a que de forma eficaz hasta ahora) por completo el dichoso AutoRun. Microsoft ha publicado un alerta reconociendo la vulnerabilidad y recomendando estas contramedidas: * Poner en blanco el valor predeterminado (default) de la rama del registro: HKEY_CLASSES_ROOTlnkfileshellexIconHandler * Detener y deshabilitar el servicio "cliente web" (WebClient). Adem�s, lo de siempre: no usar la cuenta de administrador, mantenerse informado, no usar memorias USB no confiables y mantener actualizado el sistema y el antivirus.

M�ltiples vulnerabilidades en Novell GroupWise

Se han anunciado m�ltiples vulnerabilidades en Novell GroupWise, que podr�an permitir a un atacante realizar ataques de denegaci�n de servicio, robar informaci�n sensible y comprometer los sistemas afectados. Se ven afectadas las versiones Novell GroupWise version 7.0, 7.01, 7.02, 7.03x, 8.0 y 8.01x. Novell GroupWise es un software de colaboraci�n con funcionalidades para uso de correo electr�nico, calendarios, mensajer�a instant�nea, coordinaci�n de tareas, control de documentaci�n, etc. Dos de los problemas se deben a errores de validaci�n de entradas en la interfaz http de los agentes GroupWise (Message Transfer Agent, Post Office Agent, Internet Agent, WebAccess Agent, Monitor Agent), que podr�a permitir la realizaci�n de ataques de cross site scripting o inyectar cabeceras arbitrarias. Otras vulnerabilidades residen en errores de validaci�n de entradas en el componente WebAccess, que podr�a permitir la realizaci�n de ataques de cross site scripting. Tambi�n se ha detectado un problema debido a que determinados par�metros que se pasan a GroupWise WebAccess exponen informaci�n de autenticaci�n en el navegador del usuario. Un �ltimo problema reside en un desbordamiento de b�fer en el agente Internet cuando procesa peticiones espec�ficamente construidas, que podr�a permitir a atacantes autenticados ejecutar c�digo arbitrario. Para Novell GroupWise versi�n 8.0 se recomienda instalar GroupWise 8.0 Support Pack 2 (SP2) o posterior. Para Novell GroupWise versiones 7.x se recomienda instalar GroupWise 7.0 Support Pack 4 (SP4) o posterior.

Grupo de parches de julio para m�ltiples productos Oracle

Oracle ha publicado un conjunto de 59 parches para diversos productos de la casa que solventan una larga lista de vulnerabilidades. Las consecuencias son que atacantes locales y remotos pueden comprometer gravemente la seguridad de los sistemas y servicios afectados. Los fallos se dan en varios componentes de los productos: * Oracle Database 11g Release 2, versi�n 11.2.0.1 * Oracle Database 11g Release 1, versi�n 11.1.0.7 * Oracle Database 10g Release 2, versiones 10.2.0.3, 10.2.0.4 * Oracle Database 10g, versi�n 10.1.0.5 * Oracle Database 9i Release 2, versiones 9.2.0.8, 9.2.0.8DV * Oracle TimesTen In-Memory Database, versiones 7.0.6.0, 11.2.1.4.1 * Oracle Secure Backup versi�n 10.3.0.1 * Oracle Application Server, 10gR2, versi�n 10.1.2.3.0 * Oracle Identity Management 10g, versi�n 10.1.4.0.1 * Oracle WebLogic Server 11gR1 (10.3.1, 10.3.2 y 10.3.3) * Oracle WebLogic Server 10gR3 (10.3.0) * Oracle WebLogic Server 10.0 hasta MP2 * Oracle WebLogic Server 9.0, 9.1, 9.2 hasta MP3 * Oracle WebLogic Server 8.1 hasta SP6 * Oracle WebLogic Server 7.0 hasta SP7 * Oracle JRockit R28.0.0 y anteriores (JDK/JRE 5 y 6) * Oracle JRockit R27.6.6 y anteriores (JDK/JRE 1.4.2, 5 y 6) * Oracle Business Process Management, versiones 5.7.3, 6.0.5, 10.3.1, 10.3.2 * Oracle Enterprise Manager Grid Control 10g Release 5, versi�n 10.2.0.5 * Oracle Enterprise Manager Grid Control 10g Release 1, versi�n 10.1.0.6 * Oracle E-Business Suite Release 12, versiones 12.0.4, 12.0.5, 12.0.6, 12.1.1 y 12.1.2 * Oracle E-Business Suite Release 11i, versiones 11.5.10, 11.5.10.2 * Oracle Transportation Manager, Versiones: 5.5.05.07, 5.5.06.00, 6.0.03 * PeopleSoft Enterprise Campus Solutions, versi�n 9.0 * PeopleSoft Enterprise CRM, versiones 9.0 y 9.1 * PeopleSoft Enterprise FSCM, versiones 8.9, 9.0 y 9.1 * PeopleSoft Enterprise HCM, versiones 8.9, 9.0 y 9.1 * PeopleSoft Enterprise PeopleTools, versiones 8.49 y 8.50 * Oracle Sun Product Suite Hay que recordar que desde la anterior actualizaci�n se incluyen los parches para el sistema operativo Solaris. Tras la compra de Sun por parte de Oracle, las actualizaciones de Sun pasan a integrarse dentro del calendario de publicaciones trimestrales. A continuaci�n ofrecemos una relaci�n de productos y el n�mero de vulnerabilidades corregidas. Trece parches afectan a Oracle Database. Ocho de los problemas corregidos son explotables remotamente. Siente parches afectan a Oracle Fusion Middleware. Cinco de las vulnerabilidades podr�an ser explotadas por un atacante remoto sin autenticar. Los componentes afectados son: JRockit, WebLogicServer, Oracle Business Process Management, Wireless y Application Server Control. Un parche afecta a Oracle Enterprise Manager Grid Control. La vulnerabilidad podr�a ser explotada por un atacante remoto sin autenticar. El componente afectado es la consola. 17 parches afectan a Oracle Applications. 7 de ellas son para Oracle E-Business Suite, 2 para Oracle Supply Chain Products Suite y 8 a Oracle PeopleSoft and JDEdwards Suite. En total seis vulnerabilidades podr�an ser explotadas por un atacante remoto sin autenticar. 21 parches afectan a la suite de productos Oracle Sun. Siete de las vulnerabilidades podr�an ser explotadas por un atacante remoto sin autenticar. Los componentes afectados son: Solaris, Sun Java System Web Proxy Server, Sun Convergence, Access Manager/OpenSSO, OpenSSO, Solaris Studio, Sun GlassFish Enterprise Server y Sun Java System Application Server. Para comprobar las matrices de productos afectados, gravedad y la disponibilidad de parches, es necesario comprobar la notificaci�n oficial: Oracle Critical Patch Update Advisory - July 2010

Boletines de seguridad de Microsoft en junio

Este martes Microsoft ha publicado cuatro boletines de seguridad (del MS10-042 al MS10-045) correspondientes a su ciclo habitual de actualizaciones. Seg�n la propia clasificaci�n de Microsoft tres de los boletines presentan un nivel de gravedad "cr�tico", mientras que el restante es clasificado como "importantes". Los boletines "cr�ticos" son: * MS10-042: Actualizaci�n para corregir una vulnerabilidad en Windows Help y Centro de Soporte de Windows XP y Windows Server 2003, que podr�a permitir la ejecuci�n remota de c�digo si un usuario visitaba una p�gina web espec�ficamente creada. * MS10-043: Se trata de una actualizaci�n de seguridad para evitar una vulnerabilidad en Canonical Display Driver (cdd.dll) que podr�an permitir la ejecuci�n remota de c�digo. Afecta a Microsoft Windows Server 2008 y Windows 7. * MS10-044: Actualizaci�n para solucionar dos vulnerabilidades en Controles ActiveX de Microsoft Office Access, que podr�an permitir la ejecuci�n remota de c�digo si un usuario abre un documento Office espec�ficamente creado o visualiza una p�gina web que tenga instancias a controles ActiveX Access. El bolet�n clasificado como "importante" es: * MS10-032: Actualizaci�n para corregir dos vulnerabilidades de elevaci�n de privilegios a trav�s de los controladores en modo kernel de Windows. Afecta a Microsoft Windows 2000, Windows XP, Windows Server 2003, Windows Vista y Windows Server 2008. * MS10-036: Actualizaci�n para corregir una vulnerabilidad en Microsoft Office Outlook que podr�a permitir la ejecuci�n remota de c�digo si un usuario abre con una versi�n de Outlook afectada un adjunto de un e-mail espec�ficamente creado. Las actualizaciones publicadas pueden descargarse a trav�s de Windows Update o consultando los boletines de Microsoft donde se incluyen las direcciones de descarga directa de cada parche. Dada la gravedad de las vulnerabilidades se recomienda la actualizaci�n de los sistemas con la mayor brevedad posible. Resumen del bolet�n de seguridad de Microsoft de junio de 2010 http://www.microsoft.com/spain/technet/security/bulletin/ms10-jun.mspx Microsoft Security Bulletin MS10-042 - Critical Vulnerability in Help and Support Center Could Allow Remote Code Execution (2229593) http://www.microsoft.com/technet/security/Bulletin/MS10-042.mspx Microsoft Security Bulletin MS10-043 - Critical Vulnerability in Canonical Display Driver Could Allow Remote Code Execution (2032276) http://www.microsoft.com/technet/security/Bulletin/MS10-043.mspx Microsoft Security Bulletin MS10-044 - Critical Vulnerabilities in Microsoft Office Access ActiveX Controls Could Allow Remote Code Execution (982335) http://www.microsoft.com/technet/security/bulletin/MS10-044.mspx Microsoft Security Bulletin MS10-045 - Important Vulnerability in Microsoft Office Outlook Could Allow Remote Code Execution (978212) http://www.microsoft.com/technet/security/bulletin/ms10-045.mspx

Hasta siempre, Windows 2000 y Service Pack 2 (y II)

Microsoft quiere deshacerse cuanto antes de ciertos lastres que le vienen persiguiendo desde sus inicios. Para ello, debe dejar de dar soporte a sus sistemas operativos m�s antiguos y centrarse en Vista, 7 y 2008, �nicos desarrollados completamente bajo una perspectiva en la que prima la seguridad. Dados los resultados, sin duda es un acierto. Son sistemas operativos muy seguros y, en concreto con Windows 7, han conseguido incluso que resulten atractivos para el usuario medio. A partir del d�a 13, Microsoft solo soportar� XP Service Pack 3 y todas las versiones de Vista, 2003 y 2008 y Windows 7, abandonando el �ltimo reducto de lo que representa una �poca eficaz para Microsoft, pero muy poco estimulante desde el punto de vista de la seguridad. Comienza una nueva p�gina. Pero el hecho de dejar de publicar parches para 2000 y XP SP2 no har� que autom�ticamente, todos los usuarios migren a sistemas operativos m�s modernos de Microsoft. Solo hay que asomarse a las pantallas de los ordenadores de grandes almacenes, supermercados, etc. para comprobar que XP SP2 y Windows 2000 (este �ltimo especialmente) siguen m�s que vigentes. Si sus administradores no est�n atentos y dado el caso, intentan mitigar de alguna forma las vulnerabilidades que vayan apareciendo, pueden tener un serio problema de seguridad. Incluso, habr� fallos que no podr�n ser parcheados ni mitigados de ninguna forma y, por tanto, estar�n expuestos sin remedio a la vulnerabilidad de turno. Hoy en d�a no son pocas las empresas (y la mayor�a de cajeros autom�ticos en Espa�a, por poner un ejemplo) que mantienen un NT. En la vida real, parece tener prioridad el hecho de funcionar y cumplir con su misi�n que permanecer seguro. Los Windows NT en activo, a pesar de carecer de parches desde hace unos seis a�os, parece que sobreviven sin grandes cat�strofes que percibamos� entonces �por qu� preocuparnos ahora del soporte de XP y 2000? Pensamos que la situaci�n es diferente. Cuando NT dej� de tener soporte, ya era un sistema obsoleto frente a sus hermanos mayores. Hab�a un fuerte aliciente para cambiar. Hoy en d�a, el cambio se hace m�s complejo puesto que XP SP2 (e incluso 2000) colma las expectativas para muchos. Tambi�n hay que pensar en que cuando NT dej� de tener soporte, su cuota de mercado era ya menor que la que hoy mantienen XP y 2000 juntos. Existen "ah� fuera" muchos m�s de los que podamos pensar. Por ejemplo Softchoice dice que el 77% de las empresas mantiene XP SP2 en un 10% de sus m�quinas. Por otro lado, la situaci�n actual del malware, crimen organizado y espionaje, unido a la interdependencia que se ha desarrollado en torno a la informaci�n y la Red, hacen muy peligroso para las empresas no mantener sus sistemas perfectamente a punto. Son muchos los secretos que guardar y demasiadas las rendijas que tapar. Si adem�s algunas no pueden ser eliminadas, el esfuerzo para estar seguros debe redoblarse. Todo est� "demasiado" interconectado y adem�s dependemos de esa interconexi�n... esto nos vuelve tambi�n m�s vulnerables. Se abre una nueva etapa de incertidumbre para estas compa��as que no podr�n parchear, puesto que tarde o temprano la situaci�n se har� insostenible y tendr� que migrar a otro sistema operativo para continuar funcionando o aislarlos a un entorno sin conexi�n. La situaci�n ser� cr�tica sobre todo, cuando aparezca un grave fallo de seguridad en Internet Explorer, por ejemplo, o una vulnerabilidad aprovechable por un gusano� Los usuarios de XP pueden migrar a SP3 sin que suponga un cambio radical, y tendr�n soporte hasta 2014... pero el cambio de Windows 2000 a cualquier sucesor dentro de Windows puede resultar en un importante trauma que se traduzca en costes disparatados. Seg�n el entorno, el paso a otros sistemas operativos puede, simplemente, no estar contemplado. En todo caso, incluso con todos los problemas que puede acarrear el abandono de estas versiones, se supone que as� Microsoft se centrar� en la mejora de sus Windows m�s recientes de forma mucho m�s eficaz.

Desbordamiento de b�fer en VLC Media Player

Se ha descubierto una vulnerabilidad en el reproductor de archivos multimedia VLC 1.0.5 que podr�a ser aprovechada por un atacante remoto para ejecutar c�digo arbitrario. VLC Media Player es un completo reproductor multimedia que soporta un gran n�mero de formatos, como pueden ser: MP3, MPEG, DIVX, VCD o DVD entre otros, as� como varios protocolos de streaming. Adem�s est� disponible para un amplio n�mero de plataformas distintas como Windows, Mac OS X y para varias distribuciones de Linux. VLC tambi�n puede ser utilizado como servidor en unicast o multicast, en IPv4 o IPv6, para una red de banda ancha y tiene disponible un plug-in para Firefox que permite ver algunos archivos Quicktime y Windows Media desde p�ginas web sin necesidad de utilizar los reproductores de Apple o Microsoft. El problema reside en un desbordamiento de b�fer en el tratamiento de URLs ftp:// con archivos M3U espec�ficamente creadas. Esto puede ser explotado por atacantes remotos para lograr la ejecuci�n de c�digo y comprometer los sistemas afectados. Se ve afectada la versi�n 1.0.5, la versi�n 1.1.0 no est� afectada.

Vulnerabilidades en Cisco Content Services Switch

Se ha anunciado la existencia de dos vulnerabilidades en los dispositivos Cisco Content Services Switches 11500, que pueden ser explotadas por un usuario malicioso para provocar una denegaci�n de servicio o evitar restricciones de seguridad. La vulnerabilidad de denegaci�n de servicio (explotable remotamente) reside en el tratamiento de cabeceras HTTP con saltos de l�nea especialmente manipulados. Otro problema permitir�a saltar restricciones de seguridad mediante el uso de cabeceras HTTP especialmente manipuladas con el par�metro "ClientCert". Hasta el momento no se ha publicado ninguna actualizaci�n para corregir estos problemas. Para mitigar el riesgo de las cabeceras con "ClientCert" se recomienda el uso del siguiente comando: ssl-server http-header prefix ""

Vulnerabilidad en el kernel de Windows permite elevar privilegios

Se ha anunciado una vulnerabilidad en el kernel de Microsoft Windows (Vista y Server 2008), que podr�a permitir a un atacante local provocar una denegaci�n de servicio o elevar sus prvilegios en el sistema. El problema reside en un fallo al usar un puntero despu�s de ser liberado en el kernel de Windows. El error se produce en llamadas a la funci�n del kernel "LockProcessByClientId()" a trav�s de "NtUserCheckAccessForIntegrityLevel()". Un atacante local podr�a aprovechar esta vulnerabilidad para provocar una denegaci�n de servicio y, potencialmente, elevar sus privilegios en el sistema. Por el momento, Microsoft no ha publicado ninguna actualizaci�n para solucionar este problema. MSRC-001: Windows Vista/Server 2008 NtUserCheckAccessForIntegrityLevel Use-after-free Vulnerability http://seclists.org/fulldisclosure/2010/Jul/3

El divorcio entre el malware y la pornograf�a

A principios de esta d�cada, se sol�a acusar a los usuarios que quedaban infectados por alg�n tipo de malware de navegar por p�ginas "de dudosa reputaci�n". Esto inclu�a p�ginas pornogr�ficas, cracks, warez, etc. Pero los tiempos han cambiado, y esta relaci�n malware-pornograf�a ha pasado a ser un mito m�s que revisar. El peligro hoy, de hecho, est� en cualquier p�gina. Dialers, codecs, v�deos camuflados como ejecutables� todo tipo de trucos eran v�lidos a principios de esta d�cada para que los usuarios que buscaban sexo en la red quedaran infectados. Hoy se siguen usando, pero los m�todos de infecci�n preferidos por el malware de entonces eran sobre todo el correo (tanto en forma de adjuntos como explotando las numerosas vulnerabilidades en Outlook), el acceso directo a puertos (gusanos) y las p�ginas web "de dudosa reputaci�n". Con estos m�todos, cubr�an sus necesidades de infecci�n por aquel entonces. Pero apareci� en 2004 el Service Pack 2 de Windows XP, que activaba por defecto el cortafuegos y se popularizaron los routers, con lo que los gusanos vieron amenazada su popularidad. Por otro lado, Outlook y Windows mejoraron su seguridad, los administradores comenzaron a filtrar el correo con adjuntos sospechosos� �Qu� les quedaba? Eludir todos estos mecanismos y colarse a trav�s de otros m�todos. Emerg�a la llamada web 2.0 y "la nube", que no es m�s que el traslado de todos los servicios desde el escritorio a la red; y por tanto el acceso a ellos a trav�s del navegador� as� que atacaron por esta v�a. Hoy, el malware se distribuye en gran medida a trav�s del navegador. El retraso de Microsoft con Internet Explorer (cinco a�os entre su versi�n 6 y 7) facilit� el proceso: los atacantes quer�an aprovechar esas vulnerabilidades y ejecutar malware con solo visitar una web. Para ello, necesitan "crear" webs que infecten. Ya no eran suficientes las p�ginas pornogr�ficas o de warez y se han lanzado a contaminar todo tipo de contenido. Y esto es lo que confirman dos estudios recientes. International Secure System Lab investig� 269.000 sitios pornogr�ficos a principios de junio. El 96% estaba limpio. Evidentemente, muchos usaban t�cnicas muy "agresivas" para redirigir al usuario a p�ginas de pago, evitar que abandonase la p�gina, etc. pero apenas un 4% trataba de infectar directa o indirectamente al visitante. Avast Software, por otro lado, acaba de publicar un informe cuya conclusi�n es clara: "por cada p�gina de adultos infectada que hemos identificado, existen otras 99 con cualquier otro contenido que tambi�n est�n infectadas" e intentan ejecutar c�digo en el visitante. Ambos estudios concluyen que el peligro no est� ya tanto en las p�ginas para adultos, sino en todas. No es que sea seguro visitar p�ginas con contenido sexual, es que hoy en d�a resulta tan inseguro visitar el peri�dico online como una p�gina de contactos. Otro estudio de Websense apoya esta teor�a: el 71% de las p�ginas infectadas con c�digo malicioso son p�ginas leg�timas comprometidas. Adem�s, el 95% de los posts generados en blogs y similares son spam o redirigen a p�ginas que intentan infectar al visitante. Las razones para este abandono de la pornograf�a como fuente de malware pueden ser varias. Aunque el sexo siempre resulta un poderoso reclamo en la Red, apostamos una vez m�s por una simple cuesti�n econ�mica y de mercado. El rango de v�ctimas potenciales que se puede conseguir alojando malware en p�ginas de cualquier tipo (preferiblemente populares) ser� siempre superior al obtenido si se centran en p�ginas web para adultos. Por tanto, pensamos que los atacantes no realizan ning�n tipo de distinci�n por contenido, y s� m�s bien por el esfuerzo necesario para contaminar esas webs leg�timas. Y en ese caso, la pornograf�a es veterana en la Red, donde la competencia es dura y su negocio se basa en una web "s�lida", sin fallos de seguridad (lo que significa m�s esfuerzo para ser infectada por un atacante), y que d� confianza a un potencial suscriptor (por lo que no hay motivo para infectar conscientemente y perder reputaci�n). Por tanto, la inversi�n en seguridad y conocimiento del medio de la industria pornogr�fica puede ser incluso mayor que la de otras entidades que mantienen online apenas una r�plica "secundaria" del mundo real, y su negocio no depende exclusivamente de Internet.

Actualizaciones de seguridad para Adobe Reader y Acrobat

Adobe ha publicado una actualizaci�n para corregir 17 vulnerabilidades en Adobe Reader y Acrobat en diferentes plataformas, que podr�an permitir a un atacante ejecutar c�digo con los permisos con los que se lance la aplicaci�n afectada. Las versiones afectadas son Adobe Reader 9.3.2 (y anteriores) para Windows, Macintosh y UNIX, Adobe Acrobat 9.3.2 (y anteriores) para Windows y Macintosh; y Adobe Reader 8.2.2 (y anteriores) y Adobe Acrobat 8.2.2 (y anteriores) para Windows y Macintosh. Las vulnerabilidades anunciadas residen en 17 problemas diferentes de corrupci�n de memoria, tratamiento de punteros o indexado de matrices que pueden dar lugar a ejecuci�n de c�digo arbitrario. Adobe recomienda a los usuarios de Reader y Acrobat la actualizaciones a las versiones recientemente publicadas empleando la opci�n de actualizaci�n autom�tica de los productos o bien descarg�ndolas desde la propia web de Adobe: http://www.adobe.com/downloads/ M�s informaci�n: Security updates available for Adobe Reader and Acrobat

Denegaci�n de servicio en MySQL

Se ha descubierto una vulnerabilidad en MySQL que podr�a ser utilizada por un atacante para provocar una denegaci�n de servicio. MySQL es un sistema de gesti�n de base de datos relacional, multihilo y multiusuario que se desarrolla como software libre y cuenta con millones de implantaciones en todo el mundo. El problema reside en el tratamiento de determinados comandos "ALTER DATABASE". Un atacante con permisos "ALTER" podr�a alterar el nombre del directorio usando caracteres especiales y provocar que el directorio de sistema se usase como directorio de la base de datos. Esto volver�a todo el sistema inusable. Se ven afectadas las versiones de MySQL anteriores a la 5.1.48, a la 5.5.5 y a la 6.0.14. Se recomienda actualizar a MySQL versiones 5.1.48, 5.5.5 o 6.0.14, disponible para descarga desde: http://dev.mysql.com/downloads/

Nueva actualizaci�n para el navegador Google Chrome

Google ha publicado (por segunda vez en este mes) una actualizaci�n de su navegador Chrome para Linux, Mac y Windows. Esta nueva versi�n est� destinada a corregir cinco vulnerabilidades que podr�an permitir a un atacante realizar ataques de cross-site scripting, de denegaci�n de servicio y otras implicaciones de las que no se han facilitado detalles. Adem�s, esta es la primera versi�n que integra Flash y est� activo por defecto. El primer problema reside en que se pueden utilizar las respuestas de "application/json" para construir ataques de cross-site scripting. Del resto de problemas no se han facilitado detalles, dos est�n relacionados con el tratamiento de v�deo, otro con los subrecursos que se muestran en la carga de omnibox y un �ltimo con el tratamiento de punteros en respuestas x509-user-cert. Para evitar estos problemas, Google ha publicado la versi�n Chrome 5.0.375.86 para sistemas Linux, Mac y Windows. Esta actualizaci�n se instalar� de forma autom�tica en las �ltimas versiones del navegador. Tambi�n est� disponible para descarga desde http://www.google.com/chrome Stable Channel Update http://googlechromereleases.blogspot.com/2010/06/stable-channel-update_24.html

Boletines de seguridad de la Fundaci�n Mozilla

La Fundaci�n Mozilla ha publicado ocho boletines de seguridad (del MFSA2010-26 al MFSA2010-33) para solucionar diversas vulnerabilidades en productos Mozilla (Firefox, Thunderbird y SeaMonkey). Seg�n la propia clasificaci�n de Mozilla cinco de los boletines presentan un nivel de gravedad "cr�tico", dos son "moderados" y un �ltimo considerado bajo. Los boletines publicados son: * MFSA2010-26: En este bolet�n cr�tico se cubren m�ltiples fallos de en el motor del navegador de Firefox, Thunderbird y SeaMonkey que podr�an llegar a permitir la ejecuci�n remota de c�digo arbitrario. * MFSA2010-27: Bolet�n cr�tico que afecta a Firefox y SeaMonkey, relacionado con el acceso a punteros de determinados tipo de de men�s previamente liberados; lo que podr�a llegar a permitir la ejecuci�n remota de c�digo arbitrario. * MFSA2010-28: Otro problema cr�tico relacionado con la reutilizaci�n de objetos liberados a trav�s de instancias de plugins. * MFSA2010-29: Bolet�n considerado de impacto cr�tico en Firefox, Thunderbird y SeaMonkey, en el que se refiere a una vulnerabilidad de desbordamiento de entero en determinados tipos de nodos DOM. * MFSA2010-30: En este se trata un problema cr�tico en Firefox, Thunderbird y SeaMonkey, relacionado con un desbordamiento de entero en la rutina de clasificaci�n de nodos XSLT. * MFSA2010-31: Bolet�n considerado moderado que afecta a Firefox y SeaMonkey, en el que se trata un problema en "focus()" que podr�a emplearse para obtener o inyectar pulsaciones del teclado. * MFSA2010-32: Otro bolet�n de car�cter moderado en el que se soluciona una vulnerabilidad de cross-site scripting en Firefox y SeaMonkey. * MFSA2010-33: El �ltimo bolet�n, considerado de gravedad baja, hace relaci�n a un problema en Math.random(), que podr�a permitir realizar ingenier�a inversa del valor empleado como semilla. Se han publicado las versiones 3.6.4 y 3.5.10 del navegador Firefox, la versi�n 3.0.5 de Thunderbird y la 2.0.5 de SeaMonkey. que corrige todas estas vulnerabilidades, disponibles desde: http://www.mozilla-europe.org/es/firefox/ http://www.mozillamessaging.com/es-ES/thunderbird/ http://www.seamonkey-project.org/

Apple actualiza oficiosamente su "antivirus" con una tercera firma

En septiembre de 2009 Apple introdujo en su Mac OS X 10.6 un rudimentario antivirus integrado capaz de detectar la descarga de dos troyanos espec�ficos para su sistema operativo. Con la actualizaci�n 10.6.4, adem�s de corregir bugs, vulnerabilidades, etc., parece que ha a�adido una tercera firma y ahora tambi�n reconoce un troyano llamado HellRTS. Snow Leopard incluy� un rudimentario sistema "antivirus" en septiembre de 2009. Tan rudimentario que solo reconoce dos familias de malware que suele atacar al sistema operativo de Apple y solo comprueba las descargas por Safari. No limpia el sistema ni analiza el disco duro, ni nada parecido: solo aconseja de la peligrosidad del archivo. En concreto, detectaba iServices y RSPlug.A. Con la nueva actualizaci�n, tambi�n HellRTS, a�adiendo as� una nueva firma diez meses despu�s. HellRTS es un malware que se suele disfrazar bajo la apariencia de iPhoto, y que abre una puerta trasera para la ejecuci�n de c�digo por parte de un atacante. El troyano es conocido desde al menos, abril. La inclusi�n de este "antivirus" es un movimiento que caus� cierta sorna en la industria. Escrib�amos entonces: "Realmente es un gesto que debe valorarse positivamente, pero de poca utilidad real. Apple ha realizado por fin un movimiento claro en contra del malware que ataca a su sistema operativo, y aunque resulte un gesto infantil, casi ingenuo, puede marcar una nueva forma de afrontar la seguridad en Mac OS X a largo plazo, al asumir por fin el malware como uno de los potenciales frentes que debe combatir. El gesto tiene poca utilidad real porque resulta trivial eludir esa m�nima protecci�n, pero "algo es algo"." Despu�s de este tiempo, parece que sus pasos hacia el control del malware no son precisamente r�pidos ni decididos. El hecho de que diez meses despu�s haya incluido una sola firma en su base de datos, y de que mantenga el secretismo, puede tener varias lecturas. Cabe destacar que lo ha hecho sin anuncio oficial. Apple siempre se ha caracterizado por su "ocultismo" a la hora de hablar de seguridad. Con respecto al malware, no se ha preocupado de desmentir la hist�ricamente irresponsable publicidad que habla de su sistema operativo como "libre de virus" o peor a�n "invulnerable". Muchos han alimentado esta mentira y Apple, por supuesto, se ha beneficiado de la falsa creencia. Todav�a muchos usuarios piensan que Mac "no puede" alojar malware. Reconocer que su base de datos de malware es actualizada... �podr�a influir en su imagen? En cualquier caso, mantener a sus usuarios en una falsa nube de seguridad, un mundo ficticio donde no existe el malware, no nos parece la pol�tica adecuada. Mac OS X, lejos de ser objetivo preferente de la industria del malware, puede contener c�digo malicioso como cualquier sistema operativo. Luchar contra �l s�lo con firmas, es una aproximaci�n muy limitada. La verdadera prevenci�n estar�a quiz�s en la educaci�n del usuario: eliminando la falsa sensaci�n de seguridad y haci�ndole entender sin alarmismos que debe seguir unos m�nimos h�bitos para evitar infecciones, independientemente de fanatismos o preferencias de uso. Es probable que as� se consiguieran mejores resultados... pero parece que Apple no quiere renunciar as� a la imagen "libre de virus" que se ha forjado durante a�os. A finales de 2008 se extendi� el rumor de que Apple, por primera vez, animaba abiertamente a sus clientes a usar un antivirus. El contenido era cierto, pero no la fecha: Apple lo hizo por primera vez en 2002, de forma muy "sutil". En 2007 public� una nota oficial en la que animaba abiertamente al uso de antivirus; en 2008 alguien pens� que el art�culo era nuevo y el asunto tom� cierta relevancia medi�tica. Poco despu�s Apple elimin� el art�culo de su web. En cualquier caso, quiz�s a�adir una sola firma en diez meses, podr�a incluso venderse como una "buena" noticia, s�ntoma de que los atacantes no se centran en este sistema operativo para crear malware. El problema es que esto no significa que no se haya creado malware para Mac desde hace diez meses. Nunca es comparable con la producci�n para Windows, pero desde luego, en este tiempo se ha creado m�s de un nuevo troyano para Mac. S� es cierto que desde hace meses, no aparece ning�n malware "medi�tico". http://www.computerworlduk.com/management/security/cybercrime/news/index.cfm?newsid=20776

Vulnerabilidad en IBM WebSphere Application Server permite la lectura de archivos

Se ha reportado una vulnerabilidad en IBM WebSphere Application Server que podr�a permitir a un atacante remoto leer o visualizar el contenido de archivos arbitrarios en el sistema afectado. IBM WebSphere Application Server (WAS) es el servidor de aplicaciones de software de la familia WebSphere de IBM. WAS puede funcionar con diferentes servidores web y sistemas operativos incluyendo Apache HTTP Server, Netscape Enterprise Server, Microsoft Internet Information Services (IIS), IBM HTTP Server en sistemas operativos AIX, Linux, Microsoft, Windows y Solaris. Afecta a IBM WebSphere Application Server versiones 7.0 a 7.0.0.12, Feature Pack para Web Services versiones 6.1.0.9 a 6.1.0.32, y Feature Pack para Web 2.0 versi�n 1.0.1.0. Un atacante remoto podr� introducir un mensaje XML espec�ficamente creado, para aprovechar un error en Apache Axis2 que permitir� visualizar el contenido de archivos arbitrarios del sistema. Se ven afectados los sistemas con el par�metro disableREST (en axis2.xml) establecido como falso. IBM ha publicado diferentes actualizaciones para corregir esta vulnerabilidad, se recomienda consultar el aviso de seguridad publicado para acceder a los diferentes parches en funci�n de la versi�n afectada. Potential security exposure with IBM WebSphere Application Server with JAX-WS or JAX-RS (PM14844, PM14847, PM14765) http://www-01.ibm.com/support/docview.wss?uid=swg21433581

Desbordamiento de b�fer en Novell NetWare

Se ha anunciado una vulnerabilidad en Novell NetWare (versiones 6.5 SP8 y anteriores), que podr�a permitir a un atacante remoto lograr el compromiso de los sistemas afectados. El problema reside en un desbordamiento de b�fer en el controlador "CIFS.NLM" cuando procesa paquetes SMB "Sessions Setup AndX" que contengan un campo "AccountName" con un tama�o excesivamente largo. Un atacante remoto podr�a aprovechar este problema para ejecutar c�digo arbitrario con privilegios elevados y comprometer los sistemas vulnerables. Se recomienda instalar la actualizaci�n: http://download.novell.com/Download?buildid=tMWCI1cdI7s~ Netware SMB Remote Stack Overflow (SS-2010-006) http://www.stratsec.net/Research/Advisories/SS-2010-006-Netware-SMB-Remote-Stack-Overflow

M�ltiples vulnerabilidades en Apple iTunes

Se han identificado hasta 40 vulnerabilidades en Apple iTunes (versiones anteriores a la 9.2), que pueden permitir a un atacante remoto obtener informaci�n sensible, evitar restricciones de seguridad o comprometer los sistemas afectados. El primero de los problemas est� provocado por un desbordamiento de b�fer basado en heap relacionado con el tratamiento de im�genes con un perfil ColorSync. Un atacante podr�a explotar �sta vulnerabilidad para ejecutar c�digo arbitrario. Una segunda vulnerabilidad se debe a un desbordamiento de entero en el tratamiento de archivos TIFF. Igualmente, un atacante podr�a explotar �sta vulnerabilidad para ejecutar c�digo arbitrario. Por �ltimo, tambi�n se han detectado hasta 38 vulnerabilidades de diversa �ndole relacionadas con WebKit. Apple recomienda actualizar a Apple iTunes versi�n 9.2 disponible desde: http://www.apple.com/itunes/download/ About the security content of iTunes 9.2 http://support.apple.com/kb/HT4220

�Por qu� lo llaman "incompatibilidad" cuando quieren decir "negocio"?

Microsoft ha vuelto a poner la excusa de la "incompatibilidad" para dejar sin un parche de seguridad a un producto al que todav�a da "soporte extendido". En este caso se trata de Office XP. La suite ofim�tica aparecida en 2001, se ha quedado sin el parche MS10-036, que corrige una vulnerabilidad que permite la ejecuci�n de c�digo. La raz�n oficial: incompatibilidad. La raz�n probable: el negocio. No es la primera vez que realiza este movimiento. El soporte extendido Microsoft, dentro de su pol�tica de "vida" de sus productos, entiende como soporte extendido a los cinco a�os siguientes al soporte "mainstream" o principal. Esto quiere decir que en la mayor�a de sus productos, el ciclo de vida llega hasta unos 10 a�os tras su lanzamiento. Despu�s del soporte "mainstream", durante el que Microsoft se compromete a mantener activamente el producto, incluyendo cambios si es necesario, hotfixes, parches, etc, comienza el periodo extendido. En �ste, Microsoft se compromete en su pol�tica a dar soporte de seguridad sin coste adicional al producto. Office XP Service Pack 3, aparecido el 9 de marzo de 2004 (y �nica versi�n de Office XP soportada) est� en su periodo de soporte extendido hasta el 12 de julio de 2011, durante el que, seg�n la propia pol�tica de Microsoft, deber�a obtener parches de seguridad. MS10-036 MS10-036 es el parche aparecido el 8 de junio de 2010 que corrige una �nica vulnerabilidad en el proceso de validaci�n de objetos COM que permite le ejecuci�n de c�digo. Office 2003 y 2007 tambi�n son vulnerables y han sido parcheados. Office XP, no. Seg�n Microsoft: "La arquitectura para soportar adecuadamente la soluci�n para corregir la validaci�n no existe en Microsoft Office XP, lo que hace inviable crear soluciones que eliminen la vulnerabilidad. Para hacerlo, habr�a que reconstruir una buena parte del producto Microsoft Office XP, no solo el componente afectado. El resultado de ese esfuerzo de reconstrucci�n podr�a introducir incompatibilidad con otras aplicaciones�[]" Y recomienda al usuario de Office XP que deshabilite el componente afectado. Esto no soluciona realmente el problema, por tanto, el producto quedar� vulnerable y virtualmente "muerto" desde el punto de vista de la seguridad. Los usuarios que quieran seguir razonablemente seguros se ver�n forzados a actualizar, como m�nimo, a Office 2003. Esto, en �ltima instancia, es el objetivo de Microsoft. Hoy en d�a, los requerimientos de hardware no son el motor de las actualizaciones de los sistemas operativos. "Antiguamente", aprovechar las capacidades de los nuevos procesadores era una excusa suficiente para querer actualizarlos. Tampoco la estabilidad o prestaciones son hoy la motivaci�n del cambio: tanto Office XP como Windows XP son productos ya maduros, y muchos usuarios no ven ventajas claras en saltar a Vista, Office 2007, etc. Por tanto, Microsoft parece usar la falta de seguridad para "acelerar" el cambio y deshacerse de productos que considera obsoletos y que le consume muchos recursos mantener. Ya lo hizo con Windows 2000 y NT Esta misma excusa fue puesta ya en al menos dos ocasiones anteriores, cuando no se desarrollaron parches de seguridad para ciertos productos. Todos cerca del final de su vida �til pero dentro de su periodo extendido de soporte. El 9 de septiembre de 2009, Microsoft no parche� un grave problema de dise�o de las pilas TCP en Windows 2000 por la misma raz�n de "incompatibilidad". Recomendaba usar un cortafuegos. En este caso, el bolet�n correg�a tres vulnerabilidades: dos permit�an la denegaci�n de servicio y una ejecuci�n de c�digo (MS09-048). El final de la vida de Windows 2000 ser� el 13 de julio de 2010. El 27 de marzo de 2003 Microsoft publica un bolet�n (MS03-010) de seguridad para advertir de una vulnerabilidad en el servicio RCP Endpoint Mapper que pod�a ser aprovechada para provocar una denegaci�n de servicio en Windows NT 4.0, 2000 y XP. Todos reciben parches menos NT. Windows NT 4.0 Workstation dej� de recibir soporte poco despu�s, el 30 de junio de 2004, y Server el �ltimo d�a de ese mismo a�o. Por tanto, parece que es un movimiento "reincidente" en Microsoft el no parchear software que est� a punto de ser retirado, quiz�s con la esperanza de acelerar la actualizaci�n por parte de sus clientes. Adem�s, no nos convence la versi�n "oficial" por el simple hecho de que estas vulnerabilidades podr�an haber aparecido mucho antes. Se supone que han estado siempre ah� excepto que hayan sido introducidas con nuevas funcionalidades, cosa poco probable puesto que Office XP no contiene nuevas funcionalidades desde hace muchos a�os. Que aparezcan hoy o hace un a�o es completamente arbitrario. En el caso de que hubieran sido detectadas, por ejemplo, poco antes de la salida del producto o mucho antes de acercarse su final de ciclo... �Hubiesen quedado igualmente sin parchear? �Es realmente la supuesta complejidad de creaci�n de los parches, el motivo para no publicarlos?

Actualizaci�n de seguridad para Mac OS X vuelve a contener una versi�n vulnerable de Flash Player

El propio equipo de respuesta a incidentes de seguridad de Adobe ha advertido de que Apple ha incluido una versi�n vulnerable de Flash Player en la �ltima actualizaci�n para su sistema operativo. Apple cometi� el mismo error en septiembre de 2009. Apple ha publicado una actualizaci�n de seguridad (2010-004) para Mac OS X v10.6.4 que corrige 28 vulnerabilidades. En ella, se incluye una actualizaci�n de Flash Player que en realidad, sigue siendo vulnerable. Apple incluye en su mega-parche la versi�n de Flash Player 10.0.45.2, que a su vez contiene 32 fallos de seguridad que fueron corregidos en la actual versi�n 10.1.53.64. Esta �ltima fue hecha p�blica el d�a 10 de junio y por tanto, se supone que Apple ha tenido tiempo suficiente de incluirla en sus parches de seguridad. Al menos, parece que en esta ocasi�n el parche no "desactualiza" al usuario, como ocurri� en septiembre de 2009. En aquella ocasi�n, se instalaba una versi�n antigua y vulnerable de Adobe Flash Player incluso si el usuario ya pose�a la �ltima. Al actualizar el sistema operativo, quedaba otra vez vulnerable con una versi�n que conten�a fallos de seguridad conocidos. En cualquier caso, Adobe recomienda que, despu�s de actualizar el Mac OS X, se visite http://www.adobe.com/go/getflashplayer para comprobar que efectivamente se mantiene la �ltima versi�n (si es que se ten�a ya instalada) y si no, reemplazar la vulnerable.

Publicadas nuevas versiones de Wireshark

Wireshark.org ha publicado las versiones 1.0.14 y 1.2.9 de Wireshark destinadas a corregir diversas vulnerabilidades de desbordamiento de b�fer y de denegaci�n de servicio. Wireshark (a�n conocido como Ethereal, su nombre anterior) es una aplicaci�n de auditor�a orientada al an�lisis de tr�fico en redes. Su popularidad es muy elevada, puesto que soporta una gran cantidad de protocolos y es de f�cil manejo. Adem�s Wireshark es software libre (sujeto a licencia GPL) y se ejecuta sobre la mayor�a de sistemas operativos Unix y compatibles, as� como en Microsoft Windows. Las nuevas versiones corrigen cinco problemas de seguridad, tres de ellos asociados a los disectores SMB, ASN.1 VER y SMB PIPE. Otras dos vulnerabilidades est�n relacionadas con errores en la maquina virtual del descompresor SigComp. Las nuevas versiones pueden descargarse desde: http://www.wireshark.org/download.html

Popular servidor de IRC troyanizado desde hace unos 8 meses

Se ha descubierto que UnrealIRCd, un popular servidor de IRC, estaba troyanizado y disponible desde la p�gina oficial al menos desde noviembre. Los atacantes reemplazaron el c�digo fuente de la versi�n para sistemas Unix/Linux, y la modificaci�n ha pasado inadvertida durante unos 8 meses. A ra�z del incidente, han comenzado a firmar su c�digo. �Qu� errores han cometido? UnrealIRCd es un popular servidor IRC para Linux y Windows. Los responsables del programa (en una entrada en su web que comienza con la frase "Esto es embarazoso...") han hecho p�blico que la versi�n disponible para descarga desde noviembre de 2009 contiene una puerta trasera, y permite a un atacante ejecutar c�digo arbitrario (con los mismos privilegios con los que se ejecute el programa) en el servidor donde se instale. La �nica versi�n que ha sido reemplazada en los servidores oficiales ha sido el c�digo fuente para Unix/Linux (Unreal3.2.8.1.tar.gz) y no las versiones ya compiladas para Windows. El problema ahora lo tienen los administradores que se hayan visto afectados (que han compilado e instalado la versi�n con la puerta trasera). Realmente, los servidores que han ejecutado esta versi�n (aunque sea durante poco tiempo), no pueden ser ya confiables, puesto que el atacante ha podido obtener informaci�n de todo tipo. Es de esperar que pocos administradores ejecutasen el servidor IRC como root, lo que limitar�a los poderes de los atacantes. Aun as�, esto no evita que en este tiempo, no hayan conseguido robar informaci�n accesible por el usuario bajo el que corre el servidor IRC, o escalar privilegios aprovechando cualquier vulnerabilidad en el kernel. Se trata de un hecho relevante que, efectivamente, resulta embarazoso para los desarrolladores del programa. Lo tomamos como excusa para repasar lo que pueden ser algunos malos h�bitos adquiridos tanto por parte de los programadores como de los usuarios. Hashes para comprobar la integridad UnrealIRCd se hab�a tomado la molestia de publicar los hashes de los archivos para que los usuarios pudieran comprobar que realmente se descargaban el fichero "oficial". Esta medida ha resultado poco efectiva por varias razones. * Seg�n podemos comprobar por la cach� de Google, a fecha de 22 de mayo, al parecer los atacantes tambi�n hab�an modificado el hash MD5 de la p�gina oficial de descarga. Esto quiere decir que los usuarios que descargaran la fuente y comprobasen el hash con la p�gina oficial, no notar�an nada raro. Este es uno de los puntos d�biles de esta medida de seguridad: si un atacante consigue comprometer un servidor como para sustituir un archivo, si es cuidadoso, deber�a sustituir tambi�n el hash en la misma p�gina. Esta medida es �til sin embargo, cuando existen numerosos servidores desde donde descargar el archivo (y los usuarios se toman la molestia de comprobarlo en diferentes servidores). * En los foros oficiales de UnrealIRCd (forums.unrealircd.com), sin embargo, el hash publicado desde hace meses era el correcto. Por tanto, cualquier usuario que efectivamente hubiese comparado los hashes, lo deber�a haber notado. * Como detalle menor, a fecha de 22 de mayo, UnrealIRCd solo publicaban el hash MD5. No es ning�n secreto que MD5 est� "roto" y que es mucho m�s seguro utilizar (como parece que ya hacen) SHA. Auditor�as A pesar de ser un programa veterano (desde 1999), un cambio en los archivos fuente de ciertos servidores ha pasado desapercibido durante unos 8 meses. Es uno de los periodos m�s largos que podemos recordar en los que un programa troyanizado ha pasado inadvertido. Los desarrolladores deber�an haber realizado una m�nima auditor�a del estado de sus servidores y archivos. No se tiene informaci�n de c�mo han conseguido entrar en los servidores. Creemos que es irrelevante que la puerta trasera fuese "visible" en el c�digo fuente descargado. Esto no ha "acelerado" su detecci�n. Aunque ha sido compilado por (probablemente miles de) administradores, nadie ha detectado el problema (o nadie ha avisado). Esto es l�gico en proyectos de cierta envergadura: simplemente, es muy poco probable que un usuario ocasional detecte algo "raro" en un c�digo ajeno de miles de l�neas. Mantenerlo a punto es responsabilidad de los desarrolladores principales, no de las personas que lo descargan. Criptograf�a Como hemos dicho, usar un hash para comprobar la integridad es �til en algunas ocasiones, pero es una medida limitada. Los programadores de UnrealIRCd han necesitado pasar este mal trago para darse cuenta de que deben firmar criptogr�ficamente los ficheros. Acaban de anunciar una clave p�blica GPG con la que, a partir de ahora, firmar�n sus archivos. Solo queda que los usuarios que descarguen su programa, comprueben la firma. Aprendiendo la lecci�n Varios desarrolladores importantes han "sufrido" recientemente el problema de hacer p�blico software troyanizado (aunque ninguno durante tanto tiempo). A Mozilla le ocurri� en febrero de 2010 y a mediados de 2008. En marzo de 2007, la versi�n de Wordpress fue troyanizada igualmente. Tampoco firmaban digitalmente sus archivos (y siguen sin hacerlo). En 2002, las versiones 3.4 y 3.2 de OpenSSH fueron troyanizadas desde ftp.openssh.com y ftp.openbsd.org. Poco despu�s, el servidor HTTP de Tcpdump, fue comprometido (el 11 de noviembre de 2002), y su descarga no fue deshabilitada hasta el d�a 13. El c�digo troyanizado ignoraba el tr�fico del puerto 1963, desde donde un atacante podr�a controlar la m�quina en la que se ejecutase. Aproximadamente el 28 de septiembre de 2002 comprometieron ftp.sendmail.org (el servidor de correo m�s usado del mundo). No fue hasta el 6 de octubre de ese a�o que se deshabilit� la descarga del programa envenenado. Al menos, los responsables de UnrealIRCd parece que han aprendido la lecci�n. Seg�n el aviso oficial "Simplemente no lo notamos, deber�amos haberlo hecho; No comprobamos los ficheros en los servidores de forma regular. Deber�amos haberlo hecho; No firmamos los archivos con PGG/GPG, deber�amos haberlo hecho". El archivo troyanizado es Unreal3.2.8.1.tar.gz, con hash md5 752e46f2d873c1679fa99de3f52a274d. La versi�n oficial, sin embargo, deber�a devolver el hash 7b741e94e867c0a7370553fd01506c66. Al parecer solo algunos servidores de descarga fueron comprometidos, y no los repositorios de c�digo fuente. Aparte del hash, para saber si se est� corriendo una versi�n con esta puerta trasera, se puede hacer un: grep DEBUG3_DOLOG_SYSTEM include/struct.h en el directorio del programa. Si devuelve dos l�neas, est� troyanizado.

Adobe soluciona 32 fallos de seguridad en Flash Player (y deja uno compartido con Adobe Reader sin corregir)

El pasado d�a 10, Adobe public� una nueva versi�n de Flash Player que corrige 32 fallos de seguridad. Entre ellos, un problema conocido y p�blico, que permite la ejecuci�n de c�digo arbitrario y que tambi�n contiene Adobe Reader 9.x. Sin embargo, para este programa no ha solucionado a�n el fallo. La versi�n corregida por adobe es la 10.0.45.2, y la nueva que los soluciona, la 10.0.45.2. Para comprobar la versi�n que se tiene instalada, se puede visitar la p�gina http://www.adobe.com/software/flash/about/. Es importante recordar que si se dispone de varios navegadores en el sistema, hay que actualizar Flash para todos ellos por separado desde http://www.adobe.com/go/getflash. Como cabe esperar, entre las 32 vulnerabilidades se encuentran problemas de todo tipo, desde ejecuci�n de c�digo hasta denegaciones de servicio. Adobe no iba a publicar ninguna actualizaci�n hasta el 13 de julio, pero, dada la gravedad de uno de los fallos, se ha visto obligada a adelantar esta nueva versi�n. En concreto, se trata de CVE-2010-1297, que permite la ejecuci�n de c�digo y que ha sido incluido en Metasploit. Adobe Reader es tambi�n vulnerable, pero el fabricante ha decidido en este caso que, aunque no esperar� al 13 de julio para solucionar el problema, no tendr� listo el parche hasta el 29 de junio. Security update available for Adobe Flash Player http://www.adobe.com/support/security/bulletins/apsb10-14.html Security Advisory for Flash Player, Adobe Reader and Acrobat http://www.adobe.com/support/security/advisories/apsa10-01.html

Actualizaci�n acumulativa para Internet Explorer

Dentro del conjunto de boletines de seguridad de diciembre publicado este martes por Microsoft y del que ya efectuamos un resumen, se cuenta el anuncio (en el bolet�n MS10-035) de una actualizaci�n acumulativa para Internet Explorer 5.01, 6, 7 y 8; que adem�s solventa seis nuevas vulnerabilidades. Dos de los problemas pueden permitir a un atacante obtener datos del sistema a trav�s de una pagina web especialmente manipulada. El primero a trav�s de un error de comprobaci�n de permisos en el uso del protocolo "file:" y un segundo problema se presenta en la API "toStaticHTML". Las otras cuatro vulnerabilidades corregidas residen en errores de desbordamiento de memoria al acceder a objetos no inicializados o borrados en Internet Explorer. Esto podr�a ser aprovechado por un atacante remoto para ejecutar c�digo arbitrario a trav�s de una p�gina web especialmente manipulada. Este parche, al ser acumulativo, incluye todas las actualizaciones anteriores. Se recomienda actualizar el navegador mediante Windows Update o descargando los parches seg�n plataforma desde la p�gina del bolet�n de seguridad: http://www.microsoft.com/spain/technet/security/bulletin/ms10-035.mspx Bolet�n de seguridad de Microsoft MS10-035 - Cr�tico Actualizaci�n de seguridad acumulativa para Internet Explorer (982381) http://www.microsoft.com/spain/technet/security/bulletin/ms10-035.mspx

Ejecuci�n de comandos arbitrarios en Microsoft Windows XP y Server 2003

Tavis Ormandy ha publicado, en la lista de Full Disclosure, los detalles y prueba de concepto de una vulnerabilidad sin parche que permite ejecutar comandos arbitrarios a trav�s de una URL. El fallo descubierto se halla en Microsoft Windows Help Centre, la aplicaci�n para acceder a la documentaci�n de ayuda. Dicha aplicaci�n registra un manejador de protocolo con el esquema "hcp://" para acceder a la documentaci�n a trav�s de URLs. Cuando se accede a trav�s de una URL a la documentaci�n, el manejador del nombrado esquema "hcp", a�ade el par�metro de l�nea de comandos "/fromhcp" para indicarle a la aplicaci�n del centro de ayuda que el recurso ha sido solicitado desde una URL; restringiendo el uso de par�metros y permitiendo s�lo un conjunto de documentos que se encuentran en una lista blanca. Ormandy ha encontrado un m�todo para evadir esta lista blanca, basado en un error en la implementaci�n de la funci�n que comprueba las URL. El fallo reside en la funci�n "MPC::HTML::UrlUnescapeW", usada para la normalizaci�n y filtrado de la URL antes de ser validada. Dicha funci�n usa a su vez la funci�n "MPC::HexToNum" para convertir los caracteres escapados (p.ej %20 al valor de espacio en blanco) a su correspondiente valor num�rico. Sin entrar en detalles t�cnicos, b�sicamente, la funci�n "MPC::HTML::UrlUnescapeW" omite el chequeo del valor de retorno de "MPC::HexToNum", permitiendo envenenar la cadena final y evadir la restricci�n de lista blanca. Para proseguir con la explotaci�n Ormandy necesitaba una p�gina de la documentaci�n que cumpliese con varias condiciones, poder ser invocado directamente desde una URL y con un fallo de cross-site scripting que le permitiese incluir una cadena manipulada. Pudo localizar la p�gina de documentaci�n e identificar el XSS, pero curiosamente no pudo explotarlo (Ormandy no es especialista en Web). As� que tuvo que echar mano de su compa�ero en Google y experto en seguridad web y navegadores Michal Zalewski, muy nombrado �ltimamente por su esc�ner de seguridad web Skipfish. Con la ayuda de Zalewski y de una propiedad exclusiva de Internet Explorer el XSS pudo ser explotado. En ese momento se dispon�a de un m�todo para evadir la lista blanca, una p�gina de documentaci�n de ayuda instalada por defecto y con un XSS explotable. Al ejecutarse la p�gina en una zona privilegiada tan solo bastaba incluir un comando en la cadena para provocar su ejecuci�n. �Acab� aqu�? Hasta ahora est� claro que con una URL con el manejador "hcp://" y apropiadamente manipulada se pueden inyectar comandos, pero cuando se invoca a trav�s del navegador el usuario es advertido y aunque es conocida la incapacidad retentiva de la mayor�a para hacer click en aceptar, a Ormandy no le pareci� una forma elegante de finalizar con su investigaci�n. Consigui� un m�todo para evitar la atenci�n del usuario mediante el uso de archivos ASX (Advanced Stream Redirector). Windows Media Player 9 usa estos archivos, con estructura XML, para almacenar listas de reproducci�n. El navegador invoca el reproductor cuando abre un archivo con extensi�n ".asx". Entre los valores a incluir en dicho archivo uso el elemento "HTMLView" y le dio como valor una URL hacia una p�gina HTML que contiene, ahora si, la URL maliciosa. No deja de resultar curioso, en este caso en particular, el encadenamiento de explotaciones y descubrimientos que llevan al investigador desde un punto de intuici�n hasta la consecuci�n de sus objetivos. Son vulnerables los sistemas Windows XP y Windows Server 2003. Mike Reavey, director del MSRC de Microsoft ha publicado una respuesta en el blog del MSRC, en la que ofrece una contramedida y explica el poco tiempo que el investigador les ha otorgado, para solucionar el fallo, antes de hacer p�blicos los detalles. Microsoft Windows Help Centre Handles Malformed Escape Sequences Incorrectly http://seclists.org/fulldisclosure/2010/Jun/205 Windows Help Vulnerability Disclosure http://blogs.technet.com/b/msrc/archive/2010/06/10/windows-help-vulnerability-disclosure.aspx

Boletines de seguridad de Microsoft en mayo

Tal y como adelantamos, este martes Microsoft ha publicado diez boletines de seguridad (del MS10-032 al MS10-041) correspondientes a su ciclo habitual de actualizaciones. Seg�n la propia clasificaci�n de Microsoft tres de los boletines presentan un nivel de gravedad "cr�tico", mientras que los siete restantes son clasificados como "importantes". En total se han resuelto 34 vulnerabilidades. Los boletines "cr�ticos" son: * MS10-033: Actualizaci�n para corregir dos vulnerabilidades en el tratamiento y descompresi�n de archivos multimedia que podr�an permitir la ejecuci�n remota de c�digo. Afecta a Microsoft Windows 2000, Windows XP, Windows Server 2003, Windows Vista, Windows Server 2008 y Windows 7. * MS10-034: Se trata de una actualizaci�n de seguridad acumulativa de bits de interrupci�n de ActiveX. Adem�s, est� destinada a solucionar dos vulnerabilidades que podr�an permitir la ejecuci�n remota de c�digo si un usuario visita una p�gina web especialmente dise�ada que ejecute un control ActiveX espec�fico mediante Internet Explorer. Afecta a Microsoft Windows 2000, Windows XP, Windows Server 2003, Windows Vista, Windows Server 2008 y Windows 7. * MS10-035: Actualizaci�n acumulativa para Microsoft Internet Explorer que adem�s soluciona seis nuevas vulnerabilidades que podr�an permitir la ejecuci�n remota de c�digo arbitrario. Afecta a Internet Explorer 5.01, 6, 7 y 8. Los boletines clasificados como "importantes" son: * MS10-032: Actualizaci�n para corregir dos vulnerabilidades de elevaci�n de privilegios a trav�s de los controladores en modo kernel de Windows. Afecta a Microsoft Windows 2000, Windows XP, Windows Server 2003, Windows Vista y Windows Server 2008. * MS10-036: Actualizaci�n para corregir una vulnerabilidad en la validaci�n COM en Microsoft Office que podr�a permitir la ejecuci�n remota de c�digo. Afecta a Office XP, Office 2003 y 2007 Microsoft Office System. * MS10-037: Actualizaci�n para corregir una vulnerabilidad de elevaci�n de privilegios a trav�s del controlador de OpenType CFF (Compact Font Format). Afecta a Microsoft Windows 2000, Windows XP, Windows Server 2003, Windows Vista, Windows Server 2008 y Windows 7. * MS10-038: Esta actualizaci�n de seguridad resuelve catorce vulnerabilidades, las m�s graves podr�an permitir la ejecuci�n remota de c�digo si un usuario abre un archivo de Excel especialmente creado. * MS10-039: Se trata de una actualizaci�n de seguridad para resolver tres vulnerabilidades en Microsoft SharePoint que podr�an permitir la elevaci�n de privilegios. * MS10-040: Bolet�n destinado a corregir una vulnerabilidad en Internet Information Services (IIS) que podr�a permitir la ejecuci�n remota de c�digo si se recibe una solicitud HTTP espec�ficamente dise�ada. * MS10-041: Actualizaci�n destinada a corregir una vulnerabilidad en Microsoft .NET Framework, que podr�a permitir la alteraci�n de datos en el contenido XML firmado sin que se detecte. Las actualizaciones publicadas pueden descargarse a trav�s de Windows Update o consultando los boletines de Microsoft donde se incluyen las direcciones de descarga directa de cada parche. Dada la gravedad de las vulnerabilidades se recomienda la actualizaci�n de los sistemas con la mayor brevedad posible. M�s informaci�n: Resumen del bolet�n de seguridad de Microsoft de junio de 2010 http://www.microsoft.com/spain/technet/security/bulletin/ms10-jun.mspx Bolet�n de seguridad de Microsoft MS10-032 - Importante Vulnerabilidades en los controladores en modo kernel de Windows podr�an permitir la elevaci�n de privilegios (979559) http://www.microsoft.com/spain/technet/security/bulletin/MS10-032.mspx Bolet�n de seguridad de Microsoft MS10-033 - Cr�tico Vulnerabilidades en la descompresi�n de medios podr�an permitir la ejecuci�n remota de c�digo (979902) http://www.microsoft.com/spain/technet/security/bulletin/MS10-033.mspx Bolet�n de seguridad de Microsoft MS10-034 - Cr�tico Actualizaci�n de seguridad acumulativa de bits de interrupci�n de ActiveX (980195) http://www.microsoft.com/spain/technet/security/bulletin/MS10-034.mspx Bolet�n de seguridad de Microsoft MS10-035 - Cr�tico Actualizaci�n de seguridad acumulativa para Internet Explorer (982381) http://www.microsoft.com/spain/technet/security/bulletin/MS10-035.mspx Bolet�n de seguridad de Microsoft MS10-036 - Importante Una vulnerabilidad en la validaci�n COM en Microsoft Office podr�a permitir la ejecuci�n remota de c�digo (983235) http://www.microsoft.com/spain/technet/security/bulletin/MS10-036.mspx Bolet�n de seguridad de Microsoft MS10-037 - Importante Una vulnerabilidad en el controlador de OpenType CFF (Compact Font Format) podr�a permitir la elevaci�n de privilegios (980218) http://www.microsoft.com/spain/technet/security/bulletin/MS10-037.mspx Bolet�n de seguridad de Microsoft MS10-038 - Importante Vulnerabilidades en Microsoft Office Excel podr�an permitir la ejecuci�n remota de c�digo (2027452) http://www.microsoft.com/spain/technet/security/bulletin/MS10-038.mspx Bolet�n de seguridad de Microsoft MS10-039 - Importante Vulnerabilidades en Microsoft SharePoint podr�an permitir la elevaci�n de privilegios (2028554) http://www.microsoft.com/spain/technet/security/bulletin/MS10-039.mspx Bolet�n de seguridad de Microsoft MS10-040 - Importante Una vulnerabilidad en Internet Information Services podr�a permitir la ejecuci�n remota de c�digo (982666) http://www.microsoft.com/spain/technet/security/bulletin/MS10-040.mspx Bolet�n de seguridad de Microsoft MS10-041 - Importante Una vulnerabilidad en Microsoft .NET Framework podr�a permitir la alteraci�n (981343) http://www.microsoft.com/spain/technet/security/bulletin/MS10-041.mspx

Apple corrige 48 vulnerabilidades para su navegador Safari (y deja otros dos sin soluci�n)

Apple acaba de publicar un parche para su navegador Safari en sus ramas 4.x y 5.x y para Windows y Mac OS X, que corrige nada menos que 48 fallos de seguridad. Entre ellos como es l�gico, se encuentran numerosas vulnerabilidades que pueden permitir la ejecuci�n de c�digo con solo visitar un enlace. El componente m�s afectado es el motor Webkit, con 44 vulnerabilidades. S�lo dos vulnerabilidades son exclusivas de Windows, mientras que el resto est�n compartidas entre Mac OS X v10.4.11, Mac OS X Server v10.4.11, Mac OS X v10.5.8, Mac OS X Server v10.5.8, Mac OS X v10.6.2 o posterior, Mac OS X Server v10.6.2 o posterior, Windows 7, Vista y XP. La mayor parte de las vulnerabilidades permiten la ejecuci�n de c�digo y la revelaci�n de informaci�n sensible. Solo cuatro han sido encontradas por Apple, mientras el resto se las reparten diferentes especialistas, empresas e investigadores privados. Siguiendo su l�nea habitual "Para la protecci�n de sus clientes, Apple no revela, discute o confirma problemas de seguridad hasta que se ha llevado a cabo una completa investigaci�n y cualquier parche necesario est� disponible", por lo que no hay mucha informaci�n sobre los fallos. A juzgar por la lista de vulnerabilidades corregidas, los fallos calificados con los CVE CVE-2010-1940 y CVE-2010-1939 no han sido solucionados en esta tanda. En mayo fueron encontrados tres errores, pero al parecer s�lo se ha parcheado el m�s grave. Para al menos una de las vulnerabilidades (relacionados con la autenticaci�n HTTP b�sica) existen exploits p�blicos. La �ltima actualizaci�n del navegador tuvo lugar a principios de marzo con 16 vulnerabilidades corregidas. En esta tanda, por ejemplo, se han corregido errores conocidos desde enero. Se recomienda actualizar a las �ltimas versiones seg�n cada plataforma disponibles desde http://www.apple.com/safari/download/

Ejecuci�n arbitraria de c�digo en Adobe Acrobat Reader 9.x

Se ha anunciado una vulnerabilidad en Adobe Reader y Acrobat, que podr�a permitir a un atacante lograr comprometer los sistemas vulnerables. El problema reside en un error de corrupci�n de memoria en "authplay.dll". Un atacante podr�a aprovechar esta vulnerabilidad para ejecutar c�digo arbitrario a trav�s de un PDF que contenga un fichero SWF. Como contramedida se recomienda eliminar o renombrar el fichero "authplay.dll" alojado habitualmente en "C:Program FilesAdobeAcrobat 9.0Acrobatauthplay.dll". Security Advisory for Flash Player, Adobe Reader and Acrobat http://www.adobe.com/support/security/advisories/apsa10-01.html

Microsoft publicar� 10 boletines el pr�ximo martes

En su ciclo habitual de actualizaciones los segundos martes de cada mes, Microsoft ha anunciado que en esta ocasi�n se esperan diez boletines de seguridad. Afectan a toda la gama del sistema operativo Windows y Office. En principio, hablan de 34 vulnerabilidades. Si en mayo se publicaron dos boletines de seguridad dentro del ciclo habitual, este mes Microsoft prev� publicar diez el pr�ximo 8 de junio. Tres se consideran cr�ticos (ejecuci�n remota de c�digo) y el resto importantes (elevaci�n de privilegios o falsificaci�n). Adicionalmente, y como viene siendo habitual, Microsoft publicar� una actualizaci�n para Microsoft Windows Malicious Software Removal Tool. Adem�s, se publicar�n actualizaciones de alta prioridad no relacionadas con la seguridad. Parece que Microsoft dar� soluci�n en esta tanda al problema de seguridad encontrado en SharePoint Server 2007 y Windows SharePoint Services 3.0. Hace pocas semanas, la empresa "High-Tech Bridge" public� un fallo que afectaba a estos productos. Se trata de un cross-site scripting no persistente. Tambi�n corregir� un fallo reconocido en febrero por Microsoft (que previamente se hab�a hecho p�blico en la conferencia Black Hat DC 2010) en Internet Explorer. Existe un error de comprobaci�n de permisos cuando se usa el protocolo "file:" que podr�a ser aprovechado por un atacante remoto para obtener datos del sistema a trav�s de una pagina web especialmente manipulada. Al parecer se trata de un fallo complejo de resolver, seg�n los propios descubridores, puesto que en a�os anteriores hab�an reportado vulnerabilidades parecidas, y Microsoft en ning�n momento ha conseguido erradicar el problema por completo con los parches que ha ido publicando. Sin embargo, es necesario apuntar que el "modo protegido" en el que funcionan las versiones 7 y 8 por defecto en Vista, 7 y 2008, previene la explotaci�n de la vulnerabilidad. Tambi�n se corrigen fallos en Office InfoPath, Excel Viewer. Los parches anunciados est�n sujetos a cambios, por tanto, no se garantiza que no se produzcan cambios de �ltima hora. Hispasec Sistemas publicar� puntualmente a trav�s de este bolet�n informaci�n detallada sobre los nuevos parches. Microsoft Security Bulletin Advance Notification for June 2010

Diversas vulnerabilidades en Novell eDirectory

Se han anunciado cuatro vulnerabilidades en Novell eDirectory (versiones anteriores a 8.8 SP5 patch4) por la que un atacante remoto puede llegar a comprometer los sistemas afectados. Novell eDirectory es el servicio de directorio LDAP de Novell, compatible con AIX, HP-UX, Linux, NetWare, Solaris y Windows, admite todo un abanico de est�ndares emergentes y protocolos de servicios Web: DSML, SOAP y XML, entre otros. El primero de los problemas consiste en una denegaci�n de servicio en NDSD al tratar un verbo err�neo. Un segundo problema est� provocado por un desbordamiento de b�fer en DHOST al tratar peticiones espec�ficamente construidas y que podr�a permitir a un atacante provocar las ca�da del proceso o ejecutar c�digo arbitrario. Otro problema reside en que DHOST emplea cookies de sesi�n predecibles, lo que podr�a dar lugar a que los atacantes eviten las restricciones de seguridad. Por �ltimo, una vulnerabilidad de denegaci�n de servicio provocada por un error en DHOST en el tratamiento de peticiones espec�ficamente construidas enviadas por algunos esc�neres. Se recomienda la instalaci�n de Novell eDirectory version 8.8 SP5 patch4, disponible para descarga mediante el uso del m�dulo de actualizaci�n online YaST. History of Issues Resolved in eDirectory 8.8.x http://www.novell.com/support/viewContent.do?externalId=3426981 eDirectory 20100430 http://support.novell.com/docs/Readmes/InfoDocument/patchbuilder/readme_5076151.html http://support.novell.com/docs/Readmes/InfoDocument/patchbuilder/readme_5076150.html

Google abandona Windows... ��por seguridad?�

Financial Times publica una noticia en la que se afirma que seg�n "varios empleados" (no se trata por tanto de una nota oficial) est�n empezando a abandonar Windows en sus escritorios por cuestiones de seguridad, motivadas probablemente por el ataque que sufri� la compa��a el pasado enero. La decisi�n (y el titular) es cuando menos discutible, porque en definitiva, el ataque en el que se bas� la operaci�n "Aurora" fue un problema de pol�ticas de seguridad de Google, no de un sistema operativo u otro. Google no se ha pronunciado oficialmente al respecto, por lo que la noticia parece ser una recopilaci�n de declaraciones de empleados no identificados y por tanto habr� que tomarla con cierta precauci�n. En el caso de que sea cierto, afirman que "muchos se est�n pasando a Mac OS, tras los ataques de China en enero" y que desde entonces, "a los empleados nuevos se les da la oportunidad de elegir entre Apple o GNU/Linux� y si quieren utilizar Windows, deben pasar por un proceso burocr�tico. El contexto En enero, Google reconoc�a en su blog oficial haber sido objeto de un ataque "altamente sofisticado" de origen chino sobre sus infraestructuras, por el que hab�an robado c�digo de ciertos programas. En su evaluaci�n de da�os declaraban el robo de propiedad intelectual y un ataque limitado sobre dos cuentas de correos de GMail. El objetivo final era la obtenci�n de informaci�n sobre activistas chinos para los derechos humanos. En la investigaci�n abierta (que se llam� "Aurora") descubrieron que alrededor de veinte grandes compa��as de varios sectores habr�an sido atacadas de manera similar. El malware utilizaba varias vulnerabilidades 0-day. Una de ellas permit�a la ejecuci�n de c�digo en Internet Explorer. Microsoft public� un parche fuera del ciclo habitual de los segundos martes de cada mes para solucionarlo lo antes posible. Este medi�tico incidente provoc� una crisis diplom�tica entre Estados Unidos y China, cuando Google amenaz� con retirar sus operaciones en el pa�s tras una serie de desencuentros y declaraciones cruzadas. La decisi�n Seg�n la noticia, los ataques que consiguieron colarse en la red interna de Google a trav�s de un fallo en el navegador, habr�an motivado el cambio hacia otros sistemas operativos supuestamente "m�s seguros". Esto podr�a hacer pensar que utilizar otros sistemas operativos tendr� un impacto positivo en la protecci�n de la red interna y sus empleados. Pero el problema es otro, m�s "gen�rico". Adem�s, es probable los incidentes protagonizados en enero no sean m�s que una excusa para motivar el uso interno de productos propios de Google, como el inminente sistema operativo Chrome OS. Al menos, no deber�an ser el motivo principal para desestimar Windows. Las declaraciones an�nimas de los empleados pueden tener tambi�n el mismo objetivo. Veamos algunos ejemplos de por qu� el ataque bajo el que se basaba la operaci�n "Aurora", puso ser m�s un problema de pol�tica de seguridad de Google que del hecho de usar un sistema operativo u otro: * Uno de los empleados de Google pinch� sobre un enlace que le lleg� a trav�s de mensajer�a instant�nea. �ste le redirigi� a una web que aprovech� el fallo de seguridad, previamente desconocido. Los empleados de todas las compa��as deber�an estar concienciados sobre el peligro que supone visitar enlaces no solicitados, o filtrarlos directamente. * Probablemente, una buena pol�tica de filtrado de Zonas en Internet Explorer (prohibiendo la ejecuci�n de JavaScript en p�ginas desconocidas) hubiese contenido el ataque. * Un binario disfrazado de JPEG se descargaba y ejecutaba la puerta trasera. Una buena pol�tica de uso de opciones integradas en Windows que previenen la ejecuci�n de programas no aprobados previamente, habr�a contenido tambi�n el ataque. * Una vez dentro de la red, los atacantes aprovecharon unas d�biles caracter�sticas de seguridad en Perforce (el programa de gesti�n y revisi�n de c�digo que usa Google) para conseguir su objetivo final. Perforce estaba configurado con unas pobres pol�ticas de seguridad, que McAfee ha analizado no hace mucho en un documento. La empresa que lo comercializa ha tenido que reconocer sus errores y seguir las indicaciones de seguridad que apunta McAfee. La responsabilidad de Microsoft en este asunto es que conoc�a la vulnerabilidad de forma privada desde hac�a meses, y no la remedi� a tiempo, desestimando su gravedad (tambi�n a causa de una deficiente pol�tica de gesti�n de vulnerabilidades, probablemente). El resto, es cosa de la propia Google. Aunque se puede ahondar m�s en el asunto, queda claro que el problema de una intrusi�n de estas caracter�sticas no es achacable a un sistema operativo o programa en particular (que puede ser parte del problema, pero no "el" problema en s�), sino a un conjunto de pol�ticas que claramente han fallado. Por tanto, reemplazar un sistema operativo o un programa de revisi�n de c�digo no es una soluci�n por s� misma si no va acompa�ada de un refuerzo de otros frentes. En el caso particular del cambio de sistema operativo, el hecho de que los usuarios utilicen Mac OS en Google es posiblemente un cambio desacertado. Apple sufre de problemas de seguridad mucho mayores que Microsoft y los gestiona de forma ciertamente discutible. Probablemente los empleados de Google se libren solo en cierta medida del malware gen�rico y masivo si usan Mac OS, pero, si los atacantes son profesionales y realizan un ataque "dirigido" espec�ficamente contra ellos, con Apple lo tendr�n igual de f�cil (o m�s) que con cualquier otro sistema operativo, sea de c�digo abierto o cerrado. Windows se est� librando poco a poco del desastroso bagaje en seguridad que acarrea desde hace a�os, realizando un buen trabajo de seguridad en sus servidores y sistemas operativos. Apple (y otras compa��as como Adobe) parece que no han aprendido esa lecci�n y est�n tropezando en las mismas piedras en las que cay� Microsoft. En definitiva, el problema de los ataques dirigidos no es que se centren en un software concreto, sino que rara vez yerran su objetivo si est�n suficientemente motivados para ello. �Google� Hackers Had Ability to Alter Source Code http://www.wired.com/threatlevel/2010/03/source-code-hacks/ Protecting Your Critical Assets - Lessons Learned from �Operation Aurora� http://www.wired.com/images_blogs/threatlevel/2010/03/operationaurora_wp_0310_fnl.pdf Perforce Software Responds to McAfee White Paper on Operation Aurora http://www.perforce.com/perforce/press/pr121_McAfee_statement.pdf Google ditches Windows on security concerns http://www.ft.com/cms/s/2/d2f3f04e-6ccf-11df-91c8-00144feab49a.html

Actualizaci�n del kernel 2.6 para Debian Linux 5.x

Debian ha publicado una actualizaci�n del kernel 2.6 que corrige un total de 13 vulnerabilidades de seguridad que podr�an causar denegaciones de servicio, elevaci�n de privilegios o p�rdidas de informaci�n sensible. Entre otros se han corregido problemas de denegaci�n de servicio en el driver r8169, en los sistemas de archivos GFS2 y NFS, en el subsistema Bluetooth, en el subsistema DVB para adaptadores de TV Digital y en los subsistemas tty, SCTP y keyring. Otros problemas con diverso impacto se han encontrado en el subsistema USB, en enlaces simb�licos a automount, en kgdb para arquitectura PowerPC y una �ltima vulnerabilidad en aquitectura SPARC. Se recomienda actualizar a trav�s de las herramientas autom�ticas apt-get. New Linux 2.6.26 packages fix several issues

Actualizaci�n de GNU tar y GNU cpio para Solaris

Se ha anunciado una vulnerabilidad en Cpio y Tar de Solaris 9, 10 y OpenSolaris. Un atacante podr�a utilizar este problema para lograr comprometer los sistemas afectados. El error reside en un desbordamiento de memoria basado en heap en la funci�n "rmt_read__" de "lib/rtapelib.c" de la funcionalidad rmt del cliente. Un atacante remoto podr�a ejecutar c�digo arbitrario a trav�s del env�o de un flujo de datos mayor al solicitado. Se han publicado las siguientes actualizaciones: Para Opensolaris: Solucionado en los sistemas basados en snv_137 o posterior. Para Solaris se han publicado actualizaciones disponibles desde: http://sunsolve.sun.com/patchfinder/?bugId=6930214&state=AVAILABLE&max=20&uiForm=N&osRelease=9 Heap-based overflow in rmt client of GNU tar and GNU cpio may lead to DoS or arbitrary code execution

Vulnerabilidades de ejecuci�n de c�digo en Adobe Photoshop CS

Se han anunciado diversas vulnerabilidades en Adobe Photoshop CS4 (versiones 11.01 y anteriores), el popular software de retoque fotogr�fico, que podr�an permitir a un atacante lograr el compromiso de los sistemas afectados. Los problemas se deben a errores en el tratamiento de archivos ".ASL", ".ABR" o ".GRD" espec�ficamente construidos. Un atacante podr�a emplear esto para lograr la ejecuci�n de c�digo arbitrario si consigue que el usuario abra un archivo malicioso. Se recomienda actualizar a Adobe Photoshop CS4 versi�n 11.0.2. Para Windows: http://www.adobe.com/support/downloads/detail.jsp?ftpID=4713 Para Macintosh : http://www.adobe.com/support/downloads/detail.jsp?ftpID=4712 Security update available for Adobe Photoshop CS4

Actualizaci�n para el navegador Google Chrome

Google ha publicado una actualizaci�n de su navegador Chrome para Linux, Mac y Windows. Esta nueva versi�n est� destinada a corregir seis vulnerabilidades que podr�an permitir a un atacante evitar restricciones de seguridad, falsear URLs o comprometer los sistemas afectados. El primer problema reside en la canonizaci�n de URLs. Otro problema podr�a permitir falsificar la direcci�n URL a trav�s de manejadores de eventos no cargados. Un tercer problema estar�a relacionado con la navegaci�n segura mientras que otra vulnerabilidad permitir�a evitar el bloqueo a trav�s de lista blanca. Los �ltimos fallos residen en un error de memoria con la funcionalidad arrastrar y soltar y una ejecuci�n incorrecta de JavaScript. Para evitar estos problemas, Google ha publicado la versi�n Chrome 5.0.375.55 para sistemas Linux, Mac y Windows. Esta actualizaci�n se instalar� de forma autom�tica en las �ltimas versiones del navegador; o de forma manual desde la opci�n "Acerca de Google Chrome". Tambi�n est� disponible para descarga desde http://www.google.com/chrome Stable Channel Update http://googlechromereleases.blogspot.com/2010/05/stable-channel-update.html

Acceso a informaci�n sensible en IBM WebSphere Application Server

Se ha anunciado una vulnerabilidad en IBM WebSphere Application Server (versiones 6.x y 7.0), que podr�a permitir a un atacante la obtenci�n de informaci�n sensible. IBM WebSphere Application Server (WAS) es el servidor de aplicaciones de software de la familia WebSphere de IBM. WAS puede funcionar con diferentes servidores web y sistemas operativos incluyendo Apache HTTP Server, Netscape Enterprise Server, Microsoft Internet Information Services (IIS), IBM HTTP Server en sistemas operativos AIX, Linux, Microsoft, Windows y Solaris. El problema reside en el Web Container cuando maneja nombres de m�s de 20 caracteres. Un atacante podr�a aprovechar esto para provocar que el servidor devuelva un archivo err�neo y conseguir acceder a archivos arbitrarios. Para IBM WebSphere Application Server 7.0.x se recomienda instalar el Fix Pack 7.0.0.11 o APAR PM06111 Para IBM WebSphere Application Server 6.1.x se recomienda instalar el Fix Pack 6.1.0.31 o APAR PM06111 Para IBM WebSphere Application Server 6.0.x se recomienda instalar el Fix Pack 6.0.2.43 o APAR PM06111 M�s informaci�n: Recommended fixes for WebSphere Application Server http://www-01.ibm.com/support/docview.wss?rs=180&uid=swg27004980 WebSphere Application Server Web Container information disclosure was-webcontainer-info-disclosure (58557) http://xforce.iss.net/xforce/xfdb/58557

Diversas vulnerabilidades en 3Com Intelligent Management Center (IMC)

Se han anunciado cuatro vulnerabilidades en 3Com Intelligent Management Center (IMC) versiones anteriores a la 3.3 SP2 (R2606P13), que podr�an permitir a unatacante conseguir informaci�n sensible o evitar restricciones de seguridad. El primero de los problemas se debe a errores de validaci�n de entrada en el script "imc/report/DownloadReportSource" al procesar los par�metros "fileDir" y "fileName". Un atacante podr�a emplear esto para descargar cualquier archivo mediante ataques de escalada de directorios. La segunda vulnerabilidad se debe a errores al procesar los par�metros "javax.faces.ViewState" y "callCount", o URLs introducidas por el usuario. Un atacante podr�a aprovechar este problema para construir ataques de cross-site scripting. Un tercer fallo reside en la validaci�n de accesos en los archivos "/imc/reportscript/sqlserver/deploypara.properties", "/rpt/reportscript/sqlserver/deploypara.properties" y "/imc/reportscript/oracle/deploypara.properties". Un atacante podr�a llegar a descubrir la contrase�a de la cuenta "sa" de SQL a trav�s de esta vulnerabilidad. Por �ltimo, errores en la consola Axis2, podr�an permitir a un atacante conseguir acceso administrativo no autorizado a la consola o conseguir informaci�n sensible. Se recomienda actualizar a 3Com Intelligent Management Center (IMC) version 3.3 SP2 (R2606P13). M�s informaci�n: Intelligent Management Center v3.3 SP2 (R2606P13) http://support.3com.com/documents/netmgr/imc/3Com_IMC_readme_plat_3.30-SP2.html PR10-01 Unauthenticated File Retrieval (traversal) within 3Com* iMC (Intelligent Management Center) http://www.procheckup.com/vulnerability_manager/vulnerabilities/pr10-01 PR10-02 Various XSS and information disclosure flaws within 3Com* iMC (Intelligent Management Center) http://www.procheckup.com/vulnerability_manager/vulnerabilities/pr10-02

Vulnerabilidad a trav�s de Aero en Windows 7 y 2008 R2 (versiones de 64 bits)

Microsoft ha advertido sobre una vulnerabilidad que en realidad se hizo p�blica hace meses, y que afecta a Windows 7 y 2008 R2 en sus versiones de 64 bits. El fallo se puede aprovechar solo si el componente Aero est� activo. La vulnerabilidad se ha descubierto a trav�s del popular visor gratuito de im�genes Irfanview. El fallo se encuentra en el renderizado de im�genes con la API GDI, en concreto en el componente Canonical Display Driver (cdd.dll). CDD emula una interfaz de Windows XP para que las aplicaciones accedan al motor de gr�ficos GDI. El fallo podr�a ser aprovechado por un atacante para causar una denegaci�n de servicio y potencialmente ejecutar c�digo arbitrario a trav�s de una imagen especialmente manipulada que sea visitada con el navegador o vista con el visor por defecto. Aunque los vectores de ataque siguen siendo discutidos. La ejecuci�n de c�digo es, en principio, te�rica. Se trata de un problema de acceso desde la memoria del usuario a la memoria del kernel, lo que garantiza la posibilidad para un atacante de, al menos, provocar una denegaci�n de servicio a trav�s de un BSOD (Blue Screen Of Death o "pantallazo azul"). A partir de ah�, conseguir controlar el flujo de los registros de sistema para ejecutar c�digo en el espacio del kernel (el m�s privilegiado) puede resultar complejo, en gran medida, por los nuevos sistemas de seguridad ASLR (Address Space Layout Randomisation) que incluyen los Windows desde su versi�n Vista. Existen f�rmulas para eludir esta medida de seguridad (demostradas en el �ltimo concurso Pwn2Own), pero su explotaci�n se hace mucho m�s compleja. Adem�s, el fallo solo funciona en las versiones de 64 bits (e Itanium) y, como hemos mencionado, Aero debe estar activo. Ni siquiera viene instalado por defecto en 2008. En Windows 7, por el contrario, aparece instalado y activo. Por �ltimo, seg�n el CVE (CVE-2009-3678) que le ha otorgado Microsoft a la vulnerabilidad, se deduce que fue encontrada en 2009. El popular visor gratuito Irfanview es el que aport� la pista. Sin estar todav�a oficialmente programado para funcionar en Windows, se observ� que al visualizar muchas miniaturas, el programa provocaba un BSOD en Windows 7 de 64 bits. Se pens� que el fallo era exclusivamente de la aplicaci�n y no del sistema operativo hasta que, varios meses despu�s, parece que Microsoft reconoce el problema como propio. V4.25: bluescreen with Windows 7, cdd.dll / win32k.sys http://en.irfanview-forum.de/vb/showthread.php?5647-V4-25-bluescreen-with-Windows-7-cdd-dll-win32k-sys Vulnerability in Canonical Display Driver Could Allow Remote Code Execution http://www.microsoft.com/technet/security/advisory/2028859.msp.

Actualizaciones de seguridad de Adobe Shockwave Player y ColdFusion

En su ciclo, ya habitual, de boletines de seguridad Adobe ha publicado dos actualizaciones; una corrige 18 vulnerabilidades en Shockwave Player, y otra para evitar 3 fallos en ColdFusion. El bolet�n APSB10-12 resuelve 18 vulnerabilidades, muchas de ellas cr�ticas, en Adobe Shockwave Player 11.5.6.606 y versiones anteriores en sistemas Windows y Macintosh. Las vulnerabilidades podr�an permitir a un atacante lograr la ejecuci�n de c�digo arbitrario en los sistemas afectados. Adobe recomienda actualizar a la versi�n 11.5.7.609 de Shockwave Player, disponible desde: http://get.adobe.com/shockwave/. El bolet�n APSB10-11, resuelve tres problemas de car�cter importante, en ColdFusion 8.0, 8.0.1, 9.0 y versiones anteriores para Windows, Macintosh y UNIX. Los problemas podr�an permitir la realizaci�n de ataques de cross-site scripting y de obtenci�n de informaci�n sensible. Se recomienda a los usuarios de ColdFusion actualicen las instalaciones mediante las instrucciones ofrecidas en: http://kb2.adobe.com/cps/841/cpsid_84102.html M�s informaci�n: Security update available for Shockwave Player http://www.adobe.com/support/security/bulletins/apsb10-12.html Security update: Hotfixes available for ColdFusion http://www.adobe.com/support/security/bulletins/apsb10-11.html ColdFusion : Security Bulletin APSB10-11 http://kb2.adobe.com/cps/841/cpsid_84102.html

Boletines de seguridad de Microsoft en mayo

Tal y como adelantamos, este martes Microsoft ha publicado dos boletines de seguridad (el MS10-030 y el MS10-31) correspondientes a su ciclo habitual de actualizaciones. Seg�n la propia clasificaci�n de Microsoft los boletines presentan un nivel de gravedad "cr�tico". El bolet�n MS10-030 ofrece una actualizaci�n para corregir una vulnerabilidad en Outlook Express, Windows Mail y Windows Live Mail, que podr�a permitir la ejecuci�n remota de c�digo si un usuario accede a un servidor de correo malicioso. Por otra parte, el bolet�n MS10-031 presenta una actualizaci�n para corregir una vulnerabilidad en Microsoft Visual Basic para Aplicaciones. Este problema podr�a permitir la ejecuci�n remota de c�digo si una aplicaci�n host abre y pasa un archivo especialmente creado al m�dulo de tiempo de ejecuci�n de VBA. Las actualizaciones publicadas pueden descargarse a trav�s de Windows Update o consultando los boletines de Microsoft donde se incluyen las direcciones de descarga directa de cada parche. Dada la gravedad de las vulnerabilidades se recomienda la actualizaci�n de los sistemas con la mayor brevedad posible. M�s informaci�n: Resumen del bolet�n de seguridad de Microsoft de mayo de 2010 http://www.microsoft.com/spain/technet/security/bulletin/ms10-may.mspx Microsoft Security Bulletin MS10-030 - Critical Vulnerability in Outlook Express and Windows Mail Could Allow Remote Code Execution (978542) http://www.microsoft.com/spain/technet/security/Bulletin/MS10-030.mspx Microsoft Security Bulletin MS10-031 - Critical Vulnerability in Microsoft Visual Basic for Applications Could Allow Remote Code Execution (978213) http://www.microsoft.com/spain/technet/security/Bulletin/MS10-031.mspx

Denegaci�n de servicio en switches 3Com

Se ha confirmado la existencia de una vulnerabilidad de denegaci�n de servicio en switches 3Com de las familias 4200 y 4500 y en la serie H3C S3100. El problema reside en el tratamiento de paquetes SSH espec�ficamente construidos mientras act�a como servidor SSH. Un atacante podr�a emplear este fallo para provocar el reinicio del dispositivo vulnerable, lo que crea la condici�n de denegaci�n de servicio. Se recomienda actualizar el software de los dispositivos afectados, con las ultimas versiones publicadas: Switch 4500 V3.03.02p09, Switch 4200G V3.02.04 y H3C S3100-52P-CMW310-R1702P13. Switch 4500 V3.03.02p09 Release Notes http://support.3com.com/documents/switches/4500/Switch_4500_V3.03.02p09_Release_Notes.pdf Switch 4200G V3.02.04 Release Notes http://support.3com.com/documents/switches/4200G/Switch_4200G_V3.02.04_Release_Notes.pdf H3C S3100-52P-CMW310-R1702P13 Release Notes http://support.3com.com/documents/H3C/switches/3100/H3C_S3100-52P_CMW3.10.R1702P13_Release_Notes.pdf

Denegaci�n de servicio en impresoras Lexmark

Se ha anunciado una vulnerabilidad de denegaci�n de servicio que afecta a decenas de modelos de impresoras Lexmark. El problema reside en el servidor HTTP embebido en las impresoras l�ser y de inyecci�n y en los dispositivos MarkNet de Lexmark, al procesar cabeceras de autorizaci�n HTTP enviadas a los puertos 80, 443, 8000 o 631. Un atacante podr�a emplear esto para provocar la ca�da del servidor lo que conlleva la parada del sistema operativo. Esto afecta a todos los servicios TCP de la impresora que usen el protocolo http. Dada la cantidad de dispositivos e impresoras afectadas se recomienda consultar el aviso de Lexmark e instalar la actualizaci�n correspondiente: http://support.lexmark.com/index?page=content&id=TE87

Microsoft publicar� dos boletines de seguridad el pr�ximo martes

En su ciclo habitual de actualizaciones los segundos martes de cada mes, Microsoft ha anunciado que en esta ocasi�n se esperan dos boletines de seguridad. Afectan a toda la gama del sistema operativo Windows y Office adem�s de Microsoft Visual Basic for Applications. Pueden contener un n�mero indeterminado de vulnerabilidades. Si en abril se publicaron 11 boletines de seguridad dentro del ciclo habitual, este mes Microsoft prev� publicar s�lo dos el pr�ximo 11 de mayo. Se confirma la tendencia que �ltimamente sigue Microsoft, en la que un mes se publican entre m�s de diez boletines y al siguiente ciclo suelen hacerse p�blicos apenas 2 � 4. Se consideran cr�ticos los dos, (aunque como viene siendo habitual, en Windows Vista, 7 y 2008, el impacto es menor que en el resto de sistemas operativos). Recalcar tambi�n que 2008 y 7, no son vulnerables por defecto. Entre las mejoras de seguridad introducidas en estas versiones, la nueva pol�tica de "seguridad por defecto" que tan mal aplic� Microsoft desde sus inicios (o que directamente, obvi�), est� dando resultados. Adicionalmente, y como viene siendo habitual, Microsoft publicar� una actualizaci�n para Microsoft Windows Malicious Software Removal Tool. Adem�s, se publicar�n actualizaciones de alta prioridad no relacionadas con la seguridad. Parece que Microsoft no dar� soluci�n en esta tanda al problema de seguridad encontrado en SharePoint Server 2007 y Windows SharePoint Services 3.0. Hace pocas semanas, la empresa "High-Tech Bridge" public� un fallo que afectaba a estos productos. Se trata e un cross-site scripting no persistente. Aunque en un principio no pueda parecer un problema grave, si la v�ctima visita un enlace enviado por el atacante, �ste podr�a llegar a obtener sus privilegios de acceso al sitio SharePoint. En este tipo de ataques la persona que lo perpetra realmente no consigue la contrase�a de su v�ctima. En la suplantaci�n de identidad que se lleva a cabo a trav�s de los cross site scriptings no permanentes, normalmente la v�ctima visita un enlace al sitio SharePoint real, pero con unos par�metros en la URL especialmente manipulados con JavaScript. Al visitarlo, la v�ctima est� enviando inadvertidamente la cookie de sesi�n al atacante. �ste solo debe visitar la p�gina con la cookie de sesi�n de su v�ctima (lo que le permitir� entrar como si fuera �l mientras no expire) y a continuaci�n podr� cambiar la contrase�a y bloquear el acceso al due�o leg�timo. Los parches anunciados est�n sujetos a cambios, por tanto, no se garantiza que no se produzcan cambios de �ltima hora. Microsoft Security Bulletin Advance Notification for May 2010 http://www.microsoft.com/technet/security/bulletin/ms10-may.mspx

Un error en Facebook permit�a ver el chat de los amigos

Esta tarde se ha dado ha conocer un problema en Facebook que permit�a a cualquier usuario visualizar el chat de sus amigos en tiempo real. El fallo, f�cilmente reproducible por cualquier usuario, con unas pocas pulsaciones de rat�n, permit�a visualizar las conversaciones que cualquiera de sus amigos estuviera manteniendo en ese momento. Todo ello sin necesidad de ning�n conocimiento t�cnico ni escribir ninguna l�nea de c�digo. El problema resid�a en la forma en que Facebook permite previsualizar los ajustes de privacidad propios. Muchos lo han considerado como ir�nico, una caracter�stica de privacidad ten�a un fallo que afectaba a la privacidad, al permitir a otros visualizar informaci�n personal. De forma similar, tambi�n se pod�a acceder a las invitaciones de amistad pendientes de confirmaci�n de cualquiera de sus amigos y los amigos que compart�an en com�n. En total, informaci�n que ha sido considerada por todos los usuarios como de algo grado de confidencialidad. Lo que se desconoce es desde qu� momento el fallo estaba presente, si era algo reciente o esa posibilidad llevaba m�s tiempo activa. Tan pronto como Facebook recibi� la alerta desactiv� la funcionalidad de chat. Si bien ambos problemas fueron corregidos en poco tiempo, y recuperar el funcionamiento habitual de la red social. Video: Major Facebook security hole lets you view your friends� live chats http://eu.techcrunch.com/2010/05/05/video-major-facebook-security-hole-lets-you-view-your-friends-live-chats/ Facebook flaw exposes private information http://www.v3.co.uk/v3/news/2262535/facebook-flaw-makes-users

Denegaci�n de servicio a trav�s de la funci�n "php_dechunk" en PHP 5.3.x

Stefan Esser, conocido investigador de seguridad especializado en vulnerabilidades en el lenguaje de programaci�n PHP, ha descubierto un fallo en la �ltima versi�n publicada. Se trata de un error de desbordamiento de entero en la funci�n "php_dechunk" de "ext/standard/filters.c" al procesar ciertas peticiones HTTP. Esta funci�n se usa para decodificar fragmentos (chunks) codificados de un flujo HTTP. La funci�n efect�a una comparaci�n del tama�o del fragmento a decodificar y el b�fer reservado, empleando para ello un entero con signo, "chunk_size", miembro de la estructura "_php_chunked_filter_data". El uso de un entero positivo interpretado como negativo podr�a provocar la copia de datos, entre memorias intermedias reservadas en el heap, de tama�o entre 2 y 4 Gb, resultando en una corrupci�n de memoria y provocando que la aplicaci�n deje de responder. Esto podr�a permitir a un atacante remoto causar una denegaci�n de servicio a trav�s de peticiones HTTP especialmente manipuladas. Seg�n Esser, son vulnerables las versiones inferiores de la 5.3.2 a la 5.3 incluidas. No existe parche para esta vulnerabilidad. MOPS-2010-003: PHP dechunk Filter Signed Comparison Vulnerability

Actualizaci�n de squidguard para Debian Linux

Debian ha publicado una actualizaci�n de squidguard que corrige dos vulnerabilidades que podr�an permitir a un atacante evadir restricciones de seguridad y provocar una denegaci�n de servicio. Squidguard es un plugin para el servidor proxy squid que permite efectuar redirecciones, filtros y listas de control de acceso. La primera, con CVE-2009-3826, corrige varios errores de desbordamiento de memoria intermedia que podr�an permitir a un atacante evadir las restricciones de bloqueo sobre URLs a trav�s de una URL especialmente manipulada. La segunda, con CVE-2009-3700, corrige un desbordamiento de memoria intermedia en "sgLog.c" que podr�a permitir a un atacante causar un ataque de denegaci�n de servicio a trav�s de una URL especialmente manipulada. DSA-2040-1 squidguard -- buffer overflow http://www.debian.org/security/2010/dsa-2040

Vulnerabilidades en varios componentes de Apache Tomcat

Se ha anunciado una vulnerabilidad en Apache Tomcat versiones 5 y 6, que podr�a permitir realizaci�n de a ataques de cross-site request forgery. El problema reside en errores de validaci�n de entradas en los componentes Web Application Manager y Host Manager al procesar peticiones http. Un atacante podr�a emplear esto para manipular datos (como detener o eliminar una aplicaci�n, o a�adir un host virtual) al enga�ar a un administrador para que visite una p�gina web espec�ficamente creada. Se recomienda cerrar el navegador tras una sesi�n administrativa de Tomcat Web Application Manager o Host Manager y no navegar por sitios desconocidos o seguir enlaces no confiables mientras se est� autenticado en la interfaz administrativa. Apache Tomcat Web Application Manager / Host Manager Vulnerability

Cross-site scripting en Microsoft Office SharePoint Server 2007

A trav�s de la publicaci�n en la lista de correo Bugtraq, la empresa "High-Tech Bridge" ha publicado un fallo que afecta a los productos Office SharePoint Server 2007 y Windows SharePoint Services 3.0. La vulnerabilidad reside en una falta de validaci�n del par�metro "cid0" en el "/_layouts/help.aspx". Un atacante podr�a emplear este problema para causar ataques de cross-site scripting no persistente, a trav�s de una url especialmente manipulada. Un ataque exitoso permite a un atacante obtener los privilegios y acceso de la v�ctima al sitio Sharepoint. Microsoft ha comunicado, a trav�s de un bolet�n oficial, que se encuentra trabajando en una soluci�n. Por el momento y hasta la publicaci�n de la actualizaci�n definitiva, como contramedida se recomienda restringir el acceso a Help.aspx de SharePoint; siguiendo las instrucciones del aviso de seguridad: http://www.microsoft.com/technet/security/advisory/983438.mspx M�s informaci�n: Vulnerability in Microsoft SharePoint Could Allow Elevation of Privilege (983438) http://www.microsoft.com/technet/security/advisory/983438.mspx XSS in Microsoft SharePoint Server 2007 http://www.htbridge.ch/advisory/xss_in_microsoft_sharepoint_server_2007

Actualizaci�n para el navegador Google Chrome

Google ha publicado una actualizaci�n de su navegador Chrome para Windows, para corregir tres vulnerabilidades que podr�an llegar a permitir a un atacante evitar restricciones de seguridad o comprometer los sistemas afectados. Dos de los problemas residen en una corrupci�n de memoria, el primero en el tratamiento de HTML5 y otro al manejar las fuentes de texto. Por �ltimo, un error en Google URL (GURL) puede permitir ataques de "cross-origin bypass". Para evitar estos problemas, Google ha publicado la versi�n Chrome 4.1.249.1064. Esta actualizaci�n se instalar� de forma autom�tica en las �ltimas versiones del navegados, tambi�n est� disponible para descarga desde http://www.google.com/chrome

Microsoft publica de nuevo la actualizaci�n del bolet�n MS10-025

Tal y como anunciamos la semana pasada, Microsoft se ha visto obligada a publicar de nuevo el parche del bolet�n MS10-025, al descubrir que tras su instalaci�n no proteg�a de la vulnerabilidad que pretend�a corregir. La vulnerabilidad, con CVE-2010-0478, afecta al sistema operativo Windows 2000 SP4 y est� calificada de cr�tica al permitir la ejecuci�n de c�digo arbitrario. El problema reside en un proceso corresponde al servicio "Windows Media Unicast Service" del componente opcional "Windows Media Services". El error se trata de un desbordamiento de pila en el proceso "nsum.exe" durante el procesamiento de paquetes con informaci�n de transporte especialmente manipulados. Se recomienda la instalaci�n de la nueva actualizaci�n distribuida a trav�s de la herramienta Widnows Update o descarg�ndola desde el centro de descargas de Microsoft: http://www.microsoft.com/downloads/details.aspx?familyid=73B3D681-26BB-49C1-849E-1F72484CB978&displaylang=en M�s informaci�n: Microsoft Security Bulletin MS10-025 - Critical Vulnerability in Microsoft Windows Media Services Could Allow Remote Code Execution (980858) http://www.microsoft.com/technet/security/bulletin/ms10-025.mspx

IBM corrige dos vulnerabilidades en IBM DB2

IBM ha publicado una actualizaci�n para corregir dos nuevas vulnerabilidades en IBM DB2 (el popular gestor de base de datos de IBM) por el cual un atacante podr�a conseguir provocar denegaciones de servicio o evitar restricciones de seguridad. El primero de los problemas se debe a un desbordamiento de b�fer en la funci�n escalar "REPEAT", que podr�a permitir la ca�da del servidor vulnerable. El segundo problema est� relacionado con un error en el proceso de renegociaciones del protocolo TLS (Transport Layer Security). Se ven afectadas las versiones de IBM DB2 para Linux, UNIX y Windows anteriores a la 9.1 Fix Pack 9. IBM ha publicado el Fix Pack 9 disponible desde: http://www.ibm.com/support/docview.wss?rs=71&uid=swg27007053 M�s informaci�n: Security Vulnerabilities and HIPER APARs fixed in DB2 for Linux, UNIX, and Windows Version 9.1 Fix Pack 9 http://www-01.ibm.com/support/docview.wss?uid=swg21426108 IC65922: SECURITY: BUFFER OVERRUN IN REPEAT UDF. http://www-01.ibm.com/support/docview.wss?uid=swg1IC65922 IC67848: SECURITY: TRANSPORT LAYER SECURITY (TLS) HANDSHAKE RENEGOTIATIONWEAK SECURITY CVE-2009-3555 http://www-01.ibm.com/support/docview.wss?uid=swg1IC67848

Microsoft volver� a publicar el parche del bolet�n MS10-025

Microsoft se ha visto obligada a revisar el parche del bolet�n MS10-025, publicado el pasado 13 de abril, tras descubrir que su aplicaci�n no proteg�a de la vulnerabilidad descrita. La vulnerabilidad, con CVE-2010-0478, afecta al sistema operativo Windows 2000 SP4 y est� calificada de cr�tica. El problema puede permitir a un atacante remoto ejecutar c�digo arbitrario a trav�s del env�o de paquetes especialmente manipulados. El error se trata de un desbordamiento de pila en el proceso "nsum.exe" durante el procesamiento de paquetes con informaci�n de transporte. Dicho proceso corresponde al servicio "Windows Media Unicast Service" del componente opcional "Windows Media Services". Windows Media Services provee de un servidor de streaming al sistema. Anteriormente conocido como NetShow Server y NetShow Services, el servidor se inclu�a en los sistemas Windows NT y en adelante hasta Windows Server 2008 en el que solo se distribuye como un complemento independiente y descargable. Microsoft recomienda seguir las indicaciones de contramedidas, incluidas en el bolet�n, con el objetivo de mitigar la vulnerabilidad hasta la pr�xima publicaci�n del parche, fecha de la que no se han publicado detalles. Opina sobre esta noticia: http://www.hispasec.com/unaaldia/4199/comentar M�s informaci�n MS10-025 Security Update to be Re-released Vulnerability in Microsoft Windows Media Services Could Allow Remote Code Execution

Actualizaci�n de McAfee provoca un falso positivo sobre un proceso del sistema

Hoy no est� siendo un d�a f�cil para muchos administradores. A las 14:00 horas GMT del 21 de abril, McAfee liber� un nuevo fichero DAT de actualizaci�n de firmas, el 5958. Dicho fichero contiene informaci�n que el motor del antivirus usa para la detecci�n de amenazas, sin embargo su instalaci�n ha provocado que cientos de miles de sistemas se quedaran inutilizados. El DAT 5958 contiene una firma que le indica al antivirus de McAfee que ponga en cuarentena al proceso "svchost.exe" de los sistemas operativos Windows XP SP3, al confundirlo con el virus W32/Wecorl.a. Esta acci�n provoca que cuando se reinicie el equipo �ste entre en un bucle de reinicios consecutivos y vuelva a la m�quina inoperable. Esta situaci�n se agrava en entornos empresariales donde las actualizaciones se realizan en masa, a trav�s de la herramienta "ePolicyOrchestrator", dejando redes de m�quinas eventualmente fuera de juego. El tr�fico de mensajes ha llegado a ser tan elevado, que los administradores del foro de soporte de McAfee se han visto obligado a cerrarlo durante algunas horas. La compa��a ha reaccionado r�pidamente, retirando la infame actualizaci�n y sustituy�ndola por la 5959. McAfee ha publicado una herramienta para ayudar en la recuperaci�n de los sistemas afectados denominada "SuperDAT". En el blog oficial, Barry McPherson (vicepresidente ejecutivo de McAfee), se lamenta y disculpa del error cometido por la compa��a. Este tipo de errores, relativamente habituales, provocan verdaderos quebraderos de cabeza a los administradores debido a la rapidez e instantaneidad con la que surgen y se propagan. Casi todas las casas han tenido y temido este tipo de errores y el impacto que producen sobre su reputaci�n. Recordemos algunos incidentes que afectaron masivamente a sus usuarios. Marzo de 2010, BitDefender marca falsos positivos sobre varios archivos del sistema en Windows Vista. Julio de 2009, CA detecta archivos del sistema (Windows XP) como "Win32/AMalum.ZZQIA". Diciembre de 2009, Avast confund�a archivos leg�timos con "Win32:Delf-MZG". Noviembre de 2008, AVG detectaba la dll "user32" como un troyano y recomendaba su eliminaci�n. Octubre de 2008, McAfee marca como troyano al ejecutable de la consola IME en Windows Vista. Diciembre de 2007, Kaspersky emite un falso positivo sobre el explorador de Windows. Mayo de 2007, Symantec provoca falsos positivos en los archivos "netapi32.dll" y "lsasrv.dll" confundi�ndolos con el troyano "Backdoor.Haxdoo" en Windows XP SP2 con el idioma Chino simplificado. False positive detection of w32/wecorl.a in 5958 DAT https://kc.mcafee.com/corporate/index?page=content&id=KB68780

El filtro XSS de Internet Explorer 8 sigue siendo vulnerable

Los investigadores Eduardo Vela y David Lindsay han presentado, en el marco de la conferencia Black Hat Europa de este a�o, un nuevo m�todo para ejecutar ataques de cross-site scripting a trav�s de los filtros XSS de Internet Explorer 8. Microsoft introdujo un mecanismo para filtrar ataques de cross-site scripting, concretamente los de "tipo 1" o no persistentes. Un cross-site scripting no persistente es la clase de ataque m�s com�n y extendida de este tipo de ataques. El atacante manipula una URL insertando c�digo malicioso que, de manera err�nea, aprovechando una vulnerabilidad, el sitio web usar� para generar una p�gina que contendr� el c�digo leg�timo m�s el c�digo introducido por el atacante. La v�ctima que "inadvertidamente" use la URL proporcionada por el atacante, enviar� una petici�n hacia el servidor web y este "reflejar�" el c�digo de vuelta hacia el cliente donde es usado por el navegador como si fuese c�digo leg�timo. Es denominado no persistente ya que el servidor no almacena el c�digo malicioso y es reflejado porqu� en realidad es el mismo navegador el que va a enviar el ataque a trav�s de la petici�n HTTP hacia el servidor web y �ste de vuelta al navegador de la v�ctima. La idea general del filtro XSS de Internet Explorer, es observar la secuencia solicitud-respuesta entre navegador y sitio web. A grandes rasgos, modifica el c�digo que se recibe del servidor antes de que sea interpretado por el navegador, si detecta que la p�gina recibida contiene c�digo sospechoso enviado en una de las solicitudes del navegador. B�sicamente, evita "reflejar" el c�digo malicioso. La base del mecanismo de neutralizaci�n de ataques del filtro es alterar el c�digo malicioso. En caso de observar c�digo sospechoso de vuelta al navegador, el filtro act�a antes de que se interprete la p�gina, insertando o reemplazando caracteres en partes de ese c�digo para impedir su ejecuci�n transform�ndolo en c�digo no v�lido. Ya en su momento se hizo p�blico una vulnerabilidad que aprovechaba el filtro XSS para producir este tipo de ataques. Microsoft liber� un bolet�n (MS10-002) en el que se correg�a la vulnerabilidad. Aun as�, se encontraron nuevas formas para revertir el uso del filtro y Microsoft volvi� a reforzarlo en un nuevo bolet�n (MS10-018). Lo que han mostrado los investigadores es que es no solo es posible evadir el filtro sino que sigue siendo posible efectuar ataques de cross-site scripting, incluso en sitios webs que no son vulnerables. Adicionalmente, el filtro tambi�n podr�a ser usado por el atacante para impedir la ejecuci�n de scripts leg�timos, posibilitando la evasi�n de mecanismos de seguridad propios del sitio web visitado. David Ross de Microsoft, ha confirmado que publicar�n un parche hacia el mes de junio para prevenir este tipo de ataque. Abusing IE8s XSS Filters [PDF] Guidance on Internet Explorer XSS Filter

OWASP: Los diez riesgos m�s importantes en aplicaciones web (2010)

La OWASP (Open Web Application Security Project) ha publicado una actualizaci�n del ranking de los riesgos m�s importantes que afectan a las aplicaciones web. Su misi�n es concienciar a la industria sobre los riesgos de seguridad, en el �mbito de las aplicaciones web, identificando y remarcando las diez amenazas m�s serias a las que se expone. Dicho ranking nace del consenso y debate entre expertos en la materia de la seguridad en aplicaciones web. El proyecto Top Ten comenz� a gestarse en 2003, cuando se public� el primer ranking. En 2004, se efectuaron cambios menores de aquella primera edici�n y en 2007 se liber� la segunda. Tal y como refleja la organizaci�n, y se hace cada vez m�s evidente, no se han de limitar los esfuerzos en la erradicaci�n o el tratamiento de las amenazas se�aladas (El n�mero de riesgos o vulnerabilidades identificadas es de varios ordenes mayor), sino de un plan de seguridad que comience y se alargue durante todo el ciclo de desarrollo de una aplicaci�n, desde su dise�o inicial hasta la fase de mantenimiento. En esta edici�n de 2010 han efectuado un cambio significativo en la metodolog�a usada para la elaboraci�n del top. En vez de estimar una amenaza por su frecuencia (las m�s comunes) se han tenido en cuenta m�ltiples factores para el c�lculo de cada una de ellas, dando lugar a un ranking de riesgos evaluados por su vector, predominio, detectabilidad e impacto. La edici�n del 2010 presenta las siguientes categor�as: A1 � Inyecciones. Vulnerabilidades de inyecci�n de c�digo, desde SQL hasta comandos del sistema. A2 � Cross-site Scripting. El anterior n�mero uno. Una de las vulnerabilidades m�s extendidas y a la par subestimada. A3 � Gesti�n defectuosa de sesiones y autenticaci�n. Comprende los errores y fallos en las funciones de gesti�n de sesiones y autenticaci�n. A4 � Referencias directas a objetos inseguras. Errores al exponer partes privadas o internas de una aplicaci�n sin control y accesibles p�blicamente. A5 � Cross-site Request Forgery. Se mantiene en el mismo puesto anterior. Vulnerabilidad consistente en el desencadenamiento de acciones legitimas por parte un usuario autenticado, de manera inadvertida por este �ltimo y bajo el control de un atacante. A6 � Ausencia de, o mala, configuraci�n de seguridad. M�s que un error en el c�digo se trata de la falta o mala configuraci�n de seguridad de todo el conjunto de elementos que comprende el despliegue de una aplicaci�n web, desde la misma aplicaci�n hasta la configuraci�n del sistema operativo o el servidor web. A7 � Almacenamiento con cifrado inseguro. Referida a la ausencia o mal uso de los sistemas de cifrado en relaci�n a los datos almacenados o manejados por la aplicaci�n. A8 � Falta de restricciones en accesos por URL. Falta de validaci�n en el procesamiento de URLs que podr�an ser usadas para invocar recursos sin los derechos apropiados o p�ginas ocultas. A9 � Protecci�n insuficiente de la capa de transporte. Relacionada con A7 pero orientada a la protecci�n del tr�fico de red. Elecci�n de un cifrado d�bil o mala gesti�n de certificados. A10 � Datos de redirecciones y destinos no validados. Errores en el tratamiento de redirecciones y uso de datos no confiables como destino.

Actualizaci�n cr�tica por vulnerabilidades en el cliente SMB (detalles del bolet�n MS10-020)

Dentro del conjunto de boletines de seguridad de abril publicado el pasado martes por Microsoft y del que ya efectuamos un resumen, se cuenta el anuncio (en el bolet�n MS10-020) de una actualizaci�n cr�tica destinada a corregir cinco errores en el cliente SMB de los sistemas Windows. La primera de las vulnerabilidades, con CVE-2010-0269, afecta a toda la familia Windows permitiendo a un atacante remoto ejecutar c�digo arbitrario. Esta �ltima vulnerabilidad fue descubierta por Mark Rabinovich, recien nombrado jefe de investigaci�n y desarrollo de la empresa "Visuality System", especializada en productos que usan CIFS (denominaci�n que introdujo Microsoft a la tecnolog�a SMB en 1998). El resto de vulnerabilidades se le debe a Laurent Gaffi� de "stratsec", un investigador bastante conocido en las listas de seguridad y al que no se le da nada mal la b�squeda de agujeros en SMB a juzgar por sus resultados. * CVE-2009-3676 - SMB Client Incomplete Response Vulnerability: Esta vulnerabilidad afecta a sistemas Windows 7 y Windows Server 2008 R2 y podr�a permitir a un atacante causar una denegaci�n de servicio. El error se produce al enviar una cabecera NetBIOS con un valor en la que especifica un tama�o cuatro bytes menor que el tama�o real del paquete SMB. Si observamos el CVE vemos que fue asignado en 2009, y es debido a que Gaffi�, hizo publico un exploit y los detalles de la explotaci�n en la lista de "Full Disclosure" el d�a 11 de noviembre de 2009. En el mismo aviso, Gaffi� criticaba con cierta dureza al MSRC y el SDL de Microsoft (el equipo de respuesta y el programa de desarrollo seguro respectivamente), al responderle, seg�n Gaffi�, que la vulnerabilidad no deber�a aparecer en un bolet�n de seguridad. * CVE-2010-0269 - SMB Client Memory Allocation Vulnerability: Como hab�amos comentado, afecta a toda la gama de sistemas Windows y su explotaci�n podr�a permitir a un atacante remoto sin autenticar ejecutar c�digo arbitrario. Est� vulnerabilidad se debe a la forma en la que el cliente SMB de Windows reserva memoria cuando procesa las respuestas que son enviadas por un servidor SMB. Un atacante remoto podr�a aprovechar est� vulnerabilidad para ejecutar c�digo arbitrario a trav�s del env�o de respuestas SMB especialmente manipuladas. La explotaci�n puede efectuarse inyectando las respuestas en un ataque de hombre en el medio o mediante una p�gina web que contenga una URI hacia un servidor SMB controlado por el atacante. * CVE-2010-0270 - SMB Client Transaction Vulnerability: Esta vulnerabilidad, descubierta por Gauffi� en diciembre de 2009, afecta a sistemas Windows 7 y Windows Server 2008 R2 y podr�a permitir a un atacante ejecutar c�digo arbitrario. El error est� en una falta de validaci�n de ciertos campos en las respuestas generadas durante transacciones SMB. Seg�n Gauffi�, un desbordamiento de pila cl�sico y no protegido por un "canary value" (un valor controlado y monitorizado por el sistema para comprobar la corrupci�n de la pila). Lo vectores de ataque son similares a los del CVE-2010-0269. El d�a 17 de abril, a trav�s de su blog, Gauffi� publicaba detalles y una prueba de concepto. * CVE-2010-0476 - SMB Client Response Parsing Vulnerability: Ejecuci�n de c�digo arbitrario en sistemas anteriores a Windows 7 y Windows Server 2008 R2, calificada de "baja" en estos �ltimos y no explotable en Windows 2000 y XP. El error reside en la forma en que se procesan las respuestas en transacciones SMB. Un atacante remoto podr�a causar una denegaci�n de servicio y potencialmente ejecutar c�digo arbitrario a trav�s de peticiones SMB especialmente manipuladas. Los vectores de ataque son similares a los comentados en las dos vulnerabilidades anteriores. * CVE-2010-0477 - SMB Client Message Size Vulnerability: Afecta a sistemas Windows 7 y Windows Server 2008 R2 y podr�a permitir a un atacante remoto sin autenticar ejecutar c�digo arbitrario. El fallo se encuentra en el cliente SMB. Al procesar ciertas peticiones SMB especialmente manipuladas, �stas podr�an provocar que el cliente consuma completamente la petici�n recibida e indique un valor incorrecto al kernel Winsock (un interfaz similar a la librer�a Winsock2 orientada al modo kernel). Los vectores de ataque son igualmente similares a los comentados en las vulnerabilidades anteriores. Se recomienda actualizar los sistemas afectados mediante Windows Update o descargando los parches seg�n versi�n desde la p�gina del bolet�n de seguridad.

Actualizaciones de seguridad para Debian Linux

Debian ha publicado actualizaciones de seguridad para paquetes de sus distribuciones estable �lenny� e inestable �sid�. A continuaci�n detallamos los paquetes afectados y errores corregidos en cada uno de ellos. * phpMyAdmin: Corrige tres fallos correspondientes a los CVE-2008-7251, CVE-2008-7252 y CVE-2009-4605. El primero es un fallo en "libraries/File.class.php" al efectuar una asignaci�n incorrecta de permisos. Cuando crea un directorio temporal permite que pueda ser manipulado por cualquier usuario. Esto podr�a ser usado por un atacante local para efectuar una escalada de privilegios. El segundo fallo y relacionado con el primero es debido a la predecibilidad de los nombres de archivos temporales creados por "libraries/File.class.php". El tercero y �ltimo se encuentra en el script de configuraci�n "scripts/setup.php". Dicho script permite un uso inseguro de la funci�n "unserialize" sobre los par�metros "configuration" y "v[0]". Esto podr�a ser aprovechado por un atacante remoto para causar ataques de cross-site request forgery. * apache2: Corrige dos fallos correspondientes a los CVE-2010-0408 y CVE-2010-0434. El primero es un fallo al procesar una peticiones mal formadas en el m�dulo "mod_proxy_ajp", concretamente en la funci�n "ap_proxy_ajp_request" del archivo "modules/proxy/mod_proxy_ajp.c". Un atacante remoto podr�a aprovechar este problema para causar un ataque de denegaci�n de servicio a trav�s de peticiones HTTP especialmente manipuladas. El segundo y �ltimo reside en la funci�n "ap_read_request" del archivo "server/protocol.c" y podr�a permitir a un atacante remoto obtener informaci�n sensible o causar una denegaci�n de servicio debido a un error en el tratamiento de las cabeceras HTTP en ciertos m�dulos. * jasper: Corrige un fallo correspondiente al CVE-2007-2721 y un error de regresi�n introducido anteriormente al parchear una vulnerabilidad correspondiente al CVE-2008-3521. El error se encuentra en la funci�n "jpc_qcx_getcompparms" del archivo "jpc/jpc_cs.c". Dicho error podr�a permitir a un atacante remoto causar una denegaci�n de servicio o corromper el heap a trav�s de un archivo de imagen especialmente manipulado. * kdm: Corrige un fallo correspondiente al CVE-2010-0436. Existe un error de condici�n de carrera en KDM durante la creaci�n de un socket de control en el inicio de sesi�n de usuario. Esto podr�a permitir a un atacante local autenticado elevar privilegios a trav�s de la creaci�n de archivos especialmente manipulados. Se recomienda actualizar a trav�s de las herramientas autom�ticas apt-get. DSA-2034-1 phpmyadmin -- several vulnerabilities http://www.debian.org/security/2010/dsa-2034 DSA-2035-1 apache2 -- multiple issues http://www.debian.org/security/2010/dsa-2035 DSA-2036-1 jasper -- programming error http://www.debian.org/security/2010/dsa-2036 DSA-2037-1 kdm (kdebase) -- race condition http://www.debian.org/security/2010/dsa-2037

Lecciones desde Chile luego del terremoto

En s�lo unos segundos el terremoto que sacudi� parte de Chile dej� instalada, con sus muertos y su destrucci�n, la sensaci�n del desamparo. Pasaron varias semanas ya y el lento trabajo de reconstrucci�n para poner a Chile de pie y algo de perspectiva nos permite en ITSitio lanzar este informe sobre las lecciones que deja la cat�strofe de Chile al mercado tecnol�gico. Mucho se habla de la protecci�n de los procesos tecnol�gicos para salvaguardar el negocio ante una cat�strofe. Sin embargo, casi todos los entrevistados para este art�culo aseguran que la infraestructura IT chilena no estaba preparada. Peor: las empresas � la mayor�a de ellas � tampoco ten�a previsto un plan de contingencia para, una vez ocurrido el da�o, saber de qu� manera operar y reestablecer las operaciones. Este documento, en el que hablan testigos y v�ctimas de los efectos de la naturaleza sobre el negocio IT, es un documento indispensable para conocer el da�o de la falta de preparaci�n sobre los negocios y para que el canal haga tomar conciencia a sus clientes sobre por qu� la protecci�n de los procesos es clave para mantener con vida a una empresa. �Qu� mejor fuente de informaci�n que la que vivi� el hecho de primera mano? A menudo hablamos en ITSitio de la necesidad de reforzar - con tecnolog�a, con procesos - la infraestructura IT de las empresas de manera de asegurar la continuidad de los negocios ante cualquier contingencia. Cuando pensamos en contingencias imaginamos, somos suaves, un corte de energ�a. Chile vivi� a fines de febrero, de primera mano, la peor de las cat�strofes. No nos centraremos en este informe sobre la dimensi�n humana del terremoto. Las im�genes de aquellas primeras horas nos quedar�n grabadas por siempre como muestra de aquello que no queremos para nadie, en ning�n pa�s del mundo. La reconstrucci�n de Chile tendr� un efecto fuerte pero, seg�n los analistas, superable, en t�rminos econ�micos. Seg�n IHS Global Insight, �se puede esperar una contracci�n de la actividad econ�mica de entre 5 y 7% en el segundo trimestre�, pero a partir del tercer trimestre de 2010 la actividad comenzar� a mostrar mejoras. De hecho, dicen los especialistas, antes de la tragedia en el pa�s �no hab�a muchas oportunidades de inversi�n, pero ahora hay inversionistas que miran a Chile�. Una oportunidad que, apostamos, Chile de todos modos hubiese preferido nunca tener: el costo del terremoto est� en un rango de entre u$s 15.000 y 30.000 millones de d�lares. Hablaremos s� de tecnolog�a. �Soport� la infraestructura IT de las empresas chilenas la fuerza del terremoto? �Cu�les fueron los principales da�os? �C�mo reaccionaron los sistemas? �Estaban preparadas las empresas, tanto en tecnolog�a como en manuales de contingencia? �Qu� ense�anzas les ha dejado - y nos deja a todos - la imprevisi�n y la falta de inversi�n en seguridad IT? Sobre estos y otros temas contestan Mar�a Celeste Garros, Channel Regional Manager Citrix Systems; �lvaro Lillo, Senior Security Advisor de NeoSecure; Helton Capella, Gerente de Marketing de APC by Schneider Electric; Joel Bendersky, gerente General de Netline; Alfredo D�az, gerente de IT de Anida; Jos� Luis Varas, gerente de Apple de Tallard; Hans Erpel, gerente Comercial de NovaRed; Alfredo Garc�a Lund, gerente General de Gallyas; y Fabi�n Garrido, Channels Director Latin America de Powersel and Delta Electronics Representative UPS. Este informe no es definitivo. La idea es que funcione como disparador de un debate profundo sobre el verdadero estado de las infraestructuras IT de nuestras empresas. Para que pensemos �Estamos preparados? �Estaba preparada la infraestructura IT de las empresas chilenas para asegurar la continuidad de los procesos ante una cat�strofe? Mar�a Celeste Garros, Citrix Systems: "Si consideramos la magnitud de la cat�strofe, la verdad es que pudo haber sido mucho peor. Salvo algunos problemas puntuales, la mayor parte de los Data Centers del pa�s resistieron bien. Afortunadamente en t�rminos de infraestructura propiamente tal de las empresas, edificios, sucursales, entre otros, no hubo una gran cantidad de sedes corporativas que no se pudieran habitar, con lo que una buena parte de las compa��as ya estaban operativas el lunes siguiente". Joel Bendersky, Netline: "La infraestructura de las empresas IT no estaba preparada, hubo empresas que s� estaban preparadas y que tomaron decisiones acertadas respecto a proveedores, equipos y servicios y tambi�n hubo otras que tuvieron suerte, pero por distintos motivos las empresas chilenas no est�n preparadas, ya sea porque el costo de esto dista mucho con el riesgo o bien porque no hay competencia suficiente para aumentar el riesgo de la p�rdida por migraci�n de clientes. No existen incentivos suficientes ni entidades que regulen o certifiquen la preparaci�n de la industria IT en Chile para este tipo de cat�strofe". Alfredo D�az, Anida: "Estaba preparada con sitios de contingencias seguros en un 80%. El resto sufri� importantes degradaciones de sus servicios a clientes basados en TI, debido a da�os f�sicos en infraestructura TI y a errores de arquitectura". Jos� Luis Varas, Tallard: " El terremoto fue justo al sur de Santiago. Esta regiones son mas industriales que de servicios y las oficinas centrales de casi todas ellas se encuentran en Santiago, por lo que no se aprecia, no se �siente� el real da�o que tienen pues hubo comunicaci�n inter empresarial con casi todas". Fabi�n Garrido, Powersel: "La mayor�a de las empresas est�n cubiertas para emergencias cortas y s�lo de equipos mas cr�ticos. Es un proceso de educaci�n al canal y clientes usuarios y aprender m�s en invertir en soluciones de respaldo pero con continuidad operacional, es decir, UPS con bater�as extendidas y comunicaci�n remota al instante, alarmas y sistemas de aviso autom�tico. Delta Electronics y Powersel m�s su centro de servicios Selecom Energ�a no han perdido informaci�n ya que est�n cubiertos al 100%". Hans Erpel, NovaRed: "La mayor�a de las empresas no estaba preparada para una cat�strofe como la sucedida el pasado 27 de febrero. Esto, debido a que la mayor parte de las inversiones TI en materia de contingencia han abordado los escenarios m�s comunes como lo es por ejemplo un incidente local o la falla de un hardware. Somos un pa�s s�smico, por lo que sabemos que un terremoto puede afectar extensas zonas geogr�ficas y los riesgos llegar�n a pesar de grandes distancias. Sin embargo, las empresas no estaban preparadas para enfrentar un tema as�, y en varios casos los centros de informaci�n de estas mismas se encontraban a distancias menores, lo cual aument� el riesgo y cre� problemas". �lvaro Lillo Cargo, NeoSecure: "Pese a los problemas suscitados producto del terremoto, la infraestructura IT de la mayor�a de las empresas no sufri� grandes problemas en cuanto a la continuidad de sus operaciones, pero deber�amos elaborar un plan de contingencia que permita el normal funcionamiento de la �infraestructura cr�tica� de algunos sectores". Alfredo Garc�a Lund, Gallays: "Claramente, el sector de las telecomunicaciones comerciales ni el de emergencias estaba preparado para una catastrofe como la ocurrida. Se deben definir procedimientos de emergencia y regulaciones a los servicios". �C�mo deber�a ser la preparaci�n tecnol�gica y de manuales de contingencia para superar una situaci�n como esta? Hans Erpel, NovaRed: "Ante un escenario como este (terremotos) la alternativa natural ser�a mantener centros de procesamiento de datos en Chile y en el extranjero, como por ejemplo en Argentina o Brasil. Con la evoluci�n de la web 2.0 y las redes sociales, el tema de la ubicaci�n f�sica de los servidores ya no es un tema relevante, de hecho en la mayor�a de estos servicios masivos ni siquiera nos importa. Dado esto, �Por qu� no invertir en mantener un respaldo de la informaci�n en otro pa�s? Hoy en d�a existe tecnolog�a que facilita a las empresas el mantener dos sitios operando simult�neamente, mediante la distribuci�n de la carga transaccional, a modo de maximizar el uso de recursos entre varios centros de procesamiento. Asimismo, tambi�n se han desarrollado las tecnolog�as que maximizan el uso del ancho de banda comprimiendo la informaci�n trasmitida entre grandes distancias, lo que acelera las comunicaciones sin necesidad de cambiar la infraestructura de estas". Mar�a Celeste Garros, Citrix Systems: "La compa��a debe asegurarse de que puedan trabajar desde cualquier lugar. As� aseguran la continuidad del negocio. Con una soluci�n de virtualizaci�n de escritorio, como Citrix XenDesktop 4, en nuestro caso, es posible que desde un Data Center ubicado en cualquier parte del mundo se le entregue a un ejecutivo todas las herramientas para poder ser productivo. Puede ser el PC de la casa, un Notebook, o un smartphone, ya sea un Blackberry o un iPhone. �stos �ltimos pueden ser incluso de mucha utilidad cuando la energ�a el�ctrica es escasa". Helton Capella, APC by Schneider Electric: "Una unidad UPS asegurar� no s�lo la protecci�n del hardware de los servidores, almacenes, redes, dispositivos, etc, tambi�n asegura la integridad de los datos y la disponibilidad del sistema. Incluso 10 segundos de blackouts sin una unidad UPS podr�a significar perder datos de la memoria del servidor, archivos completos o el disco duro en su totalidad�. Fabi�n Garrido, Powersel: "Las empresas medianas y sobre todo grandes y corporativas est�n casi obligados a estar cubiertos en respaldo y con UPS en puntos de enlace dedicados, plantas telef�nicas IP, servidores de aplicaci�n y sistemas de medici�n sensible electr�nica". �lvaro Lillo, NeoSecure: "Lo m�s relevante es que las empresas cuenten con un plan de continuidad de negocio desarrollado exclusivamente para ellos y, adem�s deben poseer tecnolog�a adecuada que les permita operatividad en todo momento. Una vez definidos los planes, se debe identificar que tecnolog�a permitir� soportar �stos, garantizando la disponibilidad de la informaci�n y reduciendo los tiempos de restauraci�n de los procesos cr�ticos. Estos planes deben ser revisados de forma continua de manera de validar su efectividad y certificar que realmente est�n cubriendo la totalidad de los procesos cr�ticos para el negocio". Joel Bendersky, Netline: "Creo que no es un tema de tecnolog�a si no de preparaci�n, no hay tecnolog�a infalible pero si uno se prepara para las contingencias es muy probable que no se afecte gravemente la empresa". Alfredo D�az, Anida: "Es necesario que las empresas cuenten con tecnolog�as de respaldo tanto de datos como energ�tico y replicados con las plataformas del core de la compa��a involucrada". �Qu� parte de la infraestructura hay que proteger en primer lugar y de qu� manera debe hacerse? Joel Bendersky, Netline: "Principalmente la energ�tica y de comunicaciones, en un primer momento, esto no solo se refiere a la electricidad sino tambi�n a la distribuci�n de combustible en el caso energ�tico y para las comunicaciones se debe tener un protocolo de cat�strofe en donde se unifiquen las comunicaciones y se establezca una suerte de roaming inter redes, m�vil, fija, ip, radial, etc. con prioridad para comunicaciones de emergencia. Mar�a Celeste Garros, Citrix Systems: "Lo m�s importante en momentos de cat�strofe es proteger los datos y el acceso a ellos. Tomar las medidas necesarias para prevenir cualquier p�rdida de informaci�n. Es por eso que el modelo de infraestructura de los Data Centers debe estar completo. Efectivamente quien no mantuvo sitios de contingencia, su sistema colaps� pues no pudo acceder a sus datos y si no ten�a respaldos adecuados no pudo volver al punto de inicio. A mi juicio esto es como la seguridad perimetral, la cual un alto porcentaje de las compa��as lo tienen cubierto. Para mantener seguros tus datos debes tener una r�plica exacta de tu Data Center en una ubicaci�n alejada. La sala donde est�n ubicados debe contar con generadores propios y una estructura especial antis�smica. �lvaro Lillo, NeoSecure: "No debi�semos hablar de la protecci�n de la infraestructura como una parte, sino como un todo. La forma de proteger tanto la infraestructura como los datos, depende de una plataforma tecnol�gica que posee diversos mecanismos de prevenci�n y, adem�s, est� dise�ada para generar continuidad en sus operaciones independiente de cualquier tipo de vulnerabilidad. Lo �ptimo es tratar de minimizar el error humano, automatizando procesos y generando controles complementarios, de esta forma logramos reducir los riesgos de p�rdida de continuidad operacional y minimizar los tiempos de recuperaci�n". Alfredo D�az, Anida: La infraestructura que resguarda lo el cliente determine como servicios cr�ticos, asegurando al m�ximo lo que representa la contingencia del negocio. Alfredo Garc�a Lund, Gallyas: Es prioritario proteger y respaldar la continuidad de servicio de aquellos elementos de la infraestructura que permiten la conectividad, tales como estaciones repetidoras y antenas de transmisi�n. �Qu� ense�anzas le ha dejado a la industria TI esta situaci�n extrema? Mar�a Celeste Garros, Citrix Systems. "En Chile la industria TI deber� comenzar por la disponibilidad de acceso a la informaci�n, ya que a�n no est� cubierta y eso es lo m�s importante para la continuidad al negocio. De nada me sirve tener a salvo la data si quienes deben usarla no pueden acceder a ella. El pr�ximo paso ser� tener un manual de contingencia que permita asegurarse de que todos los empleados de una compa��a est�n a salvo. No hay planes o manuales escritos para saber si est�n todos bien. Por eso es importante construir redes internas de comunicaci�n. Hay a�n muchas cosas que potenciar y que tienen que ver con la velocidad con que una empresa puede volver a ser operativa luego de una tragedia y c�mo implementa medidas de teletrabajo y movilidad de sus ejecutivos". �lvaro Lillo, NeoSecure: "M�s all� que la industria IT debi�semos hablar como pa�s, en primer lugar tenemos un desaf�o importante en materia de prevenci�n. Las empresas deben ser conscientes que tienen que invertir en seguridad, ya que de lo contrario se arriesgan a que desaparezca el negocio. En segundo lugar, si tenemos un servicio de data center debemos exigir que est� en las condiciones adecuadas y que me aseguren que en caso de inundaci�n, terremoto o en cualquier otra circunstancia de desastre uno pueda tener acceso a los datos. En tercer lugar, tenemos que contar con los mecanismos de respuesta adecuados, sean estos planes de evacuaci�n, planes de contingencia, planes de recuperaci�n ante desastres y planes de continuidad de negocio. Finalmente, contar con los procedimientos adecuados que permitan probar de manera permanente la efectividad de dichos controles y planes: auditor�as a los data center, actualizaci�n de los planes, pruebas y ensayos de los planes, entre otras medidas. No hay que olvidar jam�s que todo dise�o debe estar estructurado para soportar grandes amenazas, tanto naturales como humanas, que pueden golpear a un pa�s en cualquier momento. Es por esto y por el alto impacto que pueden generar estas circunstancias complejas, que se deben considerar implementaciones especiales y espec�ficas para cada tipo de negocio y/o dise�o". Joel Bendersky, Netline: "�Ense�anza? Que no estamos preparados y que debemos prepararnos tanto en infraestructura, como el protocolos, procedimientos y experiencia, debiera haber una especia de operaci�n Deise como en los colegios, pero para las industrias de servicios b�sicos. Alfredo D�az, Anida: "Que un porcentaje que no es menor a�n no toma las medidas necesarias para asegurar la continuidad operacional y la p�rdida de datos. As� tambi�n, que la informaci�n es un activo vital que, ante cualquier tipo de degradaci�n, no s�lo genera p�rdidas monetarias si no tambi�n puede llegar a salvar vidas si se provee de manera oportuna y no se altera su disponibilidad". Alfredo Garc�a Lund, Gallyas: "Que es necesario contar con procedimientos de emergencia, que sean probados peri�dicamente y que permitan una conctividad minima razonable para operar en esas situaciones". Hans Erpel, NovaRed: "La lecci�n aprendida es que los centros de procesamiento son tan importantes como la tecnolog�a misma. Si una empresa no dispone de instalaciones y condiciones adecuadas, toda la inversi�n en TI queda obsoleta, y genera cuantiosas p�rdidas. Felizmente, en Chile, y en el mundo en general, las empresas se han dado cuenta de que la inversi�n en seguridad inform�tica es un tema crucial para proteger y potenciar sus negocios, dado que actualmente garantizar la informaci�n que circula por los sistemas ya no es un lujo, sino m�s bien una necesidad".

Oracle publica una nueva actualizaci�n de seguridad para Java

Fuera de ciclo y en poco m�s de 15 d�as tras liberar una actualizaci�n m�ltiple de seguridad para Java, Oracle se ha visto obligada a lanzar una nueva actualizaci�n de seguridad para corregir dos vulnerabilidades que podr�an permitir a un atacante remoto ejecutar c�digo arbitrario. El 10 de abril cont�bamos en "una-al-d�a" el fallo descubierto, de manera independiente, por los investigadores Tavis Ormandy y Ruben Santamarta en la herramienta de despliegue "Java Deployment Toolkit"; adem�s de la vulnerabilidad que permite inyectar una dll a trav�s de Java Web Start, descubierta por Santamarta. La respuesta de Oracle no se ha hecho esperar y la actualizaci�n 20 ya est� disponible para su descarga. En total corrige las dos vulnerabilidades, con CVE-2010-0886 y CVE-2010-0887, e incluye adem�s tres correcciones de bugs, dos de ellas, en los mismos componentes afectados. Java SE 6 Update Release Notes

Actualizaci�n de seguridad para Adobe Reader y Acrobat

Tal y como anunciamos anteriormente Adobe ha publicado una actualizaci�n para corregir 15 vulnerabilidades en Adobe Reader y Acrobat en diferentes plataformas, que podr�an permitir a un atacante tomar el control de los sistemas afectados. Las versiones afectadas son Adobe Reader 9.3.1 (y anteriores) para Windows, Macintosh y UNIX; Adobe Acrobat 9.3.1 (y anteriores) para Windows y Macintosh; y Adobe Reader 8.2.1 (y anteriores) y Adobe Acrobat 8.2.1 (y anteriores) para Windows y Macintosh. Las vulnerabilidades anunciadas son de diversa �ndole, desde cross-site scripting, varios problemas de denegaci�n de servicio, de corrupci�n de memoria y de desbordamiento de b�fer. Adobe recomienda a los usuarios de Reader y Acrobat la actualizaciones a las versiones recientemente publicadas empleando la opci�n de actualizaci�n autom�tica de los productos o bien descarg�ndolas desde la propia web de Adobe: http://www.adobe.com/downloads/ Security update available for Adobe Reader and Acrobat

Cr�nica del ataque a los servidores de la fundaci�n Apache

El pasado d�a 13 de abril, a trav�s de un post en el blog oficial del equipo de infraestructuras de Apache, se publicaron los detalles acerca de un ataque dirigido sobre los servidores de la fundaci�n Apache. En esta ocasi�n emplearon una vulnerabilidad desconocida en JIRA (un software de gesti�n de errores e incidencias en proyectos) que permit�a efectuar ataques de cross-site scripting. Los atacantes, a trav�s de un servidor virtual comprometido (alojado en SliceHost), abrieron una incidencia en JIRA en la cual incluyeron una URL corta redireccionada por el servicio TinyURL que desencadenaba el cross-site scripting; consiguieron comprometer varias sesiones de usuario, incluyendo algunas con derechos de administrador. A la vez, emplearon un ataque por fuerza bruta sobre la p�gina de login de JIRA ("login.jsp") en la que se llegaron a contabilizar, seg�n Apache, cientos de miles de combinaciones de passwords. Sin llegar a especificar que m�todo fue exitoso, los atacantes lograron obtener una cuenta de administrador de JIRA que usaron para desactivar las notificaciones de cierto proyecto y cambiar la ruta, sobre la que se depositan los adjuntos, a una con permisos de escritura y ejecuci�n de p�ginas JSP. Mediante los cambios efectuados consiguen abrir incidencias para subir archivos en los adjuntos. Dichos archivos eran scripts JSP que integraban una especie de shell con la que copiaron los directorios "home" y archivos de varios usuarios de la m�quina local. Con la idea de obtener una cuenta con privilegios en la maquina, instalaron un JAR (una aplicaci�n Java empaquetada) que serv�a de recolector de credenciales y enviaron correos al personal del equipo de infraestructuras pidi�ndoles que resetearan sus cuentas en JIRA. El personal del equipo, en vez de sospechar del correo, pensaron que se trataba de un error en JIRA y usaron el password temporal del correo para loguearse en la cuenta y resetearlo, volviendo a usar el mismo. Uno de esos password, ya interceptado por la aplicaci�n de los atacantes, resultaba ser el mismo que una de las cuentas de la m�quina local con el agravante de que la cuenta permit�a hacer sudo. La m�quina comprometida alojaba, adem�s de JIRA, las aplicaciones Confluence (una suerte de wiki), un Bugzilla y varias credenciales cacheadas de Subversion. Con est�s credenciales accedieron a otra m�quina, la que aloja el servidor people.apache.org e intentaron sin �xito escalar privilegios. En este punto, despu�s de seis horas transcurridas desde el reseteo de los passwords, el equipo de Apache comenz� a contrarrestar el ataque. Apache notific� a Atlassian, el fabricante de JIRA, acerca de la vulnerabilidad usada por los atacantes y en respuesta se han publicado dos boletines de servicio que corrigen el error. Se lamenta Apache que aun despu�s de dos d�as tras avisar a SliceHost, la empresa de hosting propietaria del servidor virtual comprometido, aun continuaba bajo el dominio de los atacantes e incluso fue empleado para efectuar un ataque adicional sobre Atlassian.

Boletines de seguridad de Microsoft en abril

Tal y como adelantamos, este martes Microsoft ha publicado once boletines de seguridad (del MS10-019 al MS10-029) correspondientes a su ciclo habitual de actualizaciones. Seg�n la propia clasificaci�n de Microsoft cinco de los boletines presentan un nivel de gravedad "cr�tico", cinco son clasificados como "importantes" y el restante se considera "moderado". En total se han resuelto 25 vulnerabilidades, cinco de ellas reportadas por Hispasec. Los boletines "cr�ticos" son: * MS10-019: Actualizaci�n para corregir dos vulnerabilidades en la comprobaci�n de c�digo de autenticaci�n de Windows que podr�a permitir la ejecuci�n remota de c�digo. Afecta a Microsoft Windows 2000, Windows XP, Windows Server 2003, Windows Vista, Windows Server 2008 y Windows 7. * MS10-020: Actualizaci�n para corregir cinco vulnerabilidades que podr�an permitir la ejecuci�n remota de c�digo si un atacante env�a una respuesta SMB especialmente creada a una petici�n de cliente SMB. Afecta a Microsoft Windows 2000, Windows XP, Windows Server 2003, Windows Vista, Windows Server 2008 y Windows 7. * MS10-025: Actualizaci�n para corregir una vulnerabilidad que podr�a permitir la ejecuci�n remota de c�digo en Servicios de Windows Media en Microsoft Windows 2000 Server. * MS10-026: Actualizaci�n para corregir una vulnerabilidad en los c�decs de audio MPEG Layer-3 de Microsoft. La vulnerabilidad podr�a permitir la ejecuci�n remota de c�digo si un usuario abre un archivo AVI especialmente dise�ado que contenga una secuencia de audio MPEG Layer-3. Afecta a Microsoft Windows 2000, Windows XP, Windows Server 2003, Windows Vista y Windows Server 2008. * MS10-027: Actualizaci�n para corregir una vulnerabilidad de ejecuci�n remota de c�digo en el control ActiveX de Reproductor de Windows Media. Afecta a Microsoft Windows 2000 y Windows XP. Los boletines clasificados como "importantes" son: * MS10-021: Esta actualizaci�n de seguridad resuelve ocho vulnerabilidades en el kernel de Windows que podr�an permitir la elevaci�n de privilegios local. Cinco de las vulnerabilidades corregidas fueron reportadas por Matthew "j00ru" Jurczyk y Gynvael Coldwind, de Hispasec. Afecta a Windows 2000, Windows XP, Windows Server 2003, Windows Vista, Windows Server 2008 y Windows 7. * MS10-022: Se trata de una actualizaci�n de seguridad para resolver una vulnerabilidad en VBScript de Windows que podr�a permitir la ejecuci�n remota de c�digo. Afecta a Windows 2000, Windows XP y Windows Server 2003. * MS10-023: Bolet�n destinado a corregir una vulnerabilidad en Microsoft Office Publisher que podr�a permitir la ejecuci�n remota de c�digo arbitrario si un usuario abre un archivo de Publisher especialmente dise�ado. * MS10-024: Actualizaci�n destinada a corregir dos vulnerabilidades en en Microsoft Exchange y en el servicio SMTP de Windows. * MS10-028: Actualizaci�n que soluciona dos vulnerabilidades en Microsoft Office Visio que podr�an permitir la ejecuci�n remota de c�digo si un usuario abre un archivo de Visio especialmente dise�ado. Por �ltimo, la vulnerabilidad considerada como "moderada": * MS10-029: Actualizaci�n publicada para evitar una vulnerabilidad en el componente ISATAP de Windows que podr�a permitir que un atacante suplantara una direcci�n IPv4. Esto podr�a ser empleado por un atacante para pasar por alto dispositivos de filtrado que se basen en la direcci�n IPv4 de origen. Afecta a Windows XP, Windows Server 2003, Windows Vista y Windows Server 2008. Las actualizaciones publicadas pueden descargarse a trav�s de Windows Update o consultando los boletines de Microsoft donde se incluyen las direcciones de descarga directa de cada parche. Dada la gravedad de las vulnerabilidades se recomienda la actualizaci�n de los sistemas con la mayor brevedad posible.

Martes 13 de abril, d�a de actualizaciones

Este martes 13 puede ser un d�a de mucho trabajo para un gran n�mero de administradores, se espera la publicaci�n de actualizaciones cr�ticas para los productos de Microsoft, Oracle (incluyendo Solaris) y Adobe. Estamos acostumbrados a que los segundos martes de cada mes se publiquen las actualizaciones de Microsoft. Pero este mes adem�s de los boletines de Microsoft coinciden las actualizaciones de Adobe y de los productos de Oracle, que tras su compra de Sun ahora tambi�n incluye actualizaciones de Solaris dentro de sus actualizaciones trimestrales. Microsoft ha anunciado que en esta ocasi�n se esperan 11 boletines de seguridad (cinco de ellos cr�ticos). Afectan a toda la gama del operativo Windows, Office y Exchange y est� programado corregir 25 vulnerabilidades (cinco de ellas reportadas por Hispasec) entre todos los boletines. Oracle por su parte publicar� un grupo de parches destinados a corregir un total de 47 vulnerabilidades. Entre ellos, 7 parches afectan a Oracle Database, 8 parches afectan a Oracle E-Bussines Suite y Aplicaciones y 16 parches afectan a la suite de productos Oracle Solaris (antes Sun Solaris). Por �ltimo, Adobe planea publicar actualizaciones para Adobe Reader 9.3.1 para Windows, Macintosh y UNIX; Adobe Acrobat 9.3.1 para Windows y Macintosh; y Adobe Reader 8.2.1 y Acrobat 8.2.1 para Windows y Macintosh para solucionar un n�mero no determinado de problemas cr�ticos.

Elevaci�n de privilegios en IBM Systems Director

Se ha confirmado la existencia de una vulnerabilidad en IBM Systems Director 6.1.2 que podr�a permitir a un usuario local elevar sus privilegios en los sistemas afectados. IBM Systems Director es una herramienta que permite administrar y controlar servidores f�sicos y virtuales. El problema reside en la incorrecta asignaci�n de permisos de archivo para determinados ficheros. Un usuario local puede llegar a modificar archivos en el sistema para lograr la ejecuci�n de c�digo arbitrario con privilegios elevados. IBM ha publicado la actualizaci�n APAR PM08236 para corregir este problema, que tambi�n quedar� solucionado en la versi�n 6.1.2.3 del agente. PM08236: UNPRED-HLIC APAR FOR IBM SYSTEMS DIRECTOR DEVELOPMENT DEFECT FIX. 145717

0-day: Inyecci�n arbitraria de par�metros a trav�s de Java Deployment Toolkit

Tavis Ormandy, reputado investigador y empleado de Google, ha publicado un aviso de seguridad en la lista de Full Disclosure donde describe un m�todo para inyectar par�metros arbitrarios a trav�s de Java Deployment Toolkit. Se trata de un 0-day que podr�a permitir a un atacante remoto ejecutar una aplicaci�n java arbitraria, desde una ubicaci�n controlada por el atacante y sin m�s restricciones que las aplicadas a una aplicaci�n java lanzada por el propio usuario. Java Deployment Toolkit provee de un objeto Javascript que facilita a los desarrolladores Java el despliegue de aplicaciones abstrayendo las particularidades de cada navegador y versi�n del JRE instalado por el usuario. El Java Deployment Toolkit viene incorporado y se instala por defecto en el JRE a partir de la actualizaci�n 10 de la versi�n 6. Para Internet Explorer es un objeto ActiveX a invocar y para los navegadores que lo soporten es un plugin de arquitectura NPAPI asociado a un tipo MIME (en realidad hay dos versiones del tipo MIME asociado, ya que se actualiz� la denominaci�n haci�ndolo m�s descriptivo). Una vez cargado, el objeto Javascript "deployJava" ofrece una serie de m�todos que, como ya se ha comentado, facilitan al desarrollador el despliegue de aplicaciones en el cliente. Entre estos, Ormandy descubri� que el m�todo "launch" no valida correctamente la URL pasada como par�metro. Dicho par�metro deber�a contener una cadena con una URL hacia un archivo .jnlp, que contiene informaci�n para el despliegue de una aplicaci�n Java Web Start. Sin embargo, al no ser validada correctamente, se pasa tal cual a "javaws" (b�sicamente el ejecutable que carga la aplicaci�n Java Web Start). javaws admite entre sus par�metros una opci�n '-J' para pasar argumentos a la m�quina virtual, Ormandy en su prueba de concepto us� el par�metro de la m�quina virtual "-jar", que insta a la misma a ejecutar una aplicaci�n Java empaquetada en un jar. Ormandy us� una ruta UNC hacia un jar que lanza la calculadora de Windows (el HelloWorld en la explotaci�n de vulnerabilidades). Se da la circunstancia de que el investigador espa�ol Ruben Santamarta ten�a conocimiento del 0-day semanas antes de la publicaci�n por parte de Ormandy. Santamarta incluso lleg� m�s lejos descubriendo adicionalmente dos par�metros de l�nea de comandos no documentados que soportan los ejecutables "java.exe" y "javaws.exe", m�quina virtual y Java Web Start respectivamente, y que permiten la inyecci�n de una dll remota. En este momento Oracle, la ahora propietaria de toda la tecnolog�a de Sun tras su compra, no se ha pronunciado de manera oficial y no existen recomendaciones del fabricante. Ambos investigadores ofrecen indicaciones para mitigar las vulnerabilidades en sus respectivos avisos. M�s informaci�n Java Deployment Toolkit Performs Insufficient Validation of Parameters [0DAY] JAVA Web Start Arbitrary command-line injection - "-XXaltjvm" arbitrary dll loading Java� Rich Internet Applications Deployment Advice

Oracle publicar� 47 parches de seguridad el pr�ximo martes

Siguiendo con el calendario trimestral de publicaci�n de actualizaciones de seguridad, Oracle publicar� el pr�ximo martes 13 de abril un grupo de parches que corrigen un total de 47 vulnerabilidades. Se trata as� de un d�a cr�tico para muchos administradores ya que coincide con la publicaci�n de 11 boletines de seguridad de Microsoft. En esta ocasi�n cabe rese�ar la inclusi�n del sistema operativo Solaris, el cual, tras la compra de Sun por parte de Oracle pasa a integrarse dentro del calendario de publicaciones trimestrales. A continuaci�n ofrecemos una relaci�n de productos y n�mero de vulnerabilidades corregidas. Siete parches afectan a Oracle Database. Ninguna de las vulnerabilidades podr�an ser explotadas por un atacante remoto sin autenticar. Los componentes afectados son: Change Data Capture, Core RDBMS, JavaVM, Oracle XDB, RDBMS Security y XML DB. Cinco parches afectan a Oracle Fusion Middleware. Todas las vulnerabilidades podr�an ser explotadas por un atacante remoto sin autenticar. Los componentes afectados son: Oracle Internet Directory y Portal. Un parche afecta a Oracle Collaboration Suite. La vulnerabilidad podr�a ser explotada por un atacante remoto sin autenticar. El componente afectado es el interfaz de usuario. Ocho parches afectan a Oracle E-Bussines Suite y Aplicaciones. Seis de las vulnerabilidades podr�an ser explotadas por un atacante remoto sin autenticar. Los componentes afectados son: E-Bussines Intelligence, Agile Engineering Data Management, Application Object Library, HRMS, iStore, Transportation Management, Workflow Cartridge. Cuatro parches afectan a Oracle PeopleSoft Enterprise y JD Edwards EnterpriseOne. Dos de las vulnerabilidades podr�an ser explotadas por un atacante remoto sin autenticar. Todas afectan al componente PeopleTools. Seis parches afectan a Oracle Industry Suite. Todas las vulnerabilidades podr�an ser explotadas por un atacante remoto sin autenticar. Los componentes afectados son: Communications Unified Inventory Management, Clinical Remote Data Capture Option, Thesaurus Management System, Retail Markdown Optimization, Retail Place In-Season y Retail Plan In-Season. 16 parches afectan a la suite de productos Oracle Solaris. Ocho de las vulnerabilidades podr�an ser explotadas por un atacante remoto sin autenticar. Los componentes afectados son: Solaris, Sun Cluster, Sun Convergence, Sun Java System Access Manager, Sun Java System Communications Express, Sun Java System Directory Server, Sun Management Center y Sun Ray Server Software. Oracle Critical Patch Update Pre-Release Announcement - April 2010 http://www.oracle.com/technology/deploy/security/critical-patch-updates/cpuapr2010.html

Microsoft publicar� 11 boletines el pr�ximo martes

En su ciclo habitual de actualizaciones los segundos martes de cada mes, Microsoft ha anunciado que en esta ocasi�n se esperan 11 boletines de seguridad. Afectan a toda la gama del operativo Windows, Office y Exchange. Pueden contener un n�mero indeterminado de vulnerabilidades, aunque est� programado corregir 25 vulnerabilidades (cinco de ellas reportadas por Hispasec) entre todos los boletines. Hace m�s de un a�o que no se publicaban actualizaciones para Exchange. Si en marzo se publicaron solo dos boletines de seguridad dentro del ciclo habitual, m�s un tercerdo de emergencia dedicado a Internet Explorer que fue emitido poco despu�s,, este mes Microsoft prev� publicar 11 el pr�ximo 13 de abril. Se confirma la tendencia que �ltimamente sigue Microsoft, en la que un mes se publican entre dos y cuatro boletines y al siguiente ciclo suelen dispararse a m�s de diez. Se consideran cr�ticos cinco de ellos. Adicionalmente, y como viene siendo habitual, Microsoft publicar� una actualizaci�n para Microsoft Windows Malicious Software Removal Tool. Adem�s, se publicar�n actualizaciones de alta prioridad no relacionadas con la seguridad. Parece que por fin se corregir� un fallo en SMB que permite provocar una denegaci�n de servicio en el sistema, y que reconoci� el 13 de noviembre de 2009. Los parches anunciados est�n sujetos a cambios, por tanto, no se garantiza que no se produzcan cambios de �ltima hora. Microsoft Security Bulletin Advance Notification for April 2010

Vulnerabilidad en IBM WebSphere Portal

IBM ha anunciado la existencia de una vulnerabilidad en IBM WebSphere Portal versiones 6.1.0.2 y anteriores. IBM WebSphere Portal ofrece una aplicaci�n compuesta o infraestructura de "mashup" empresarial y las herramientas para crear soluciones basadas en SOA (Arquitectura Orientada a Servicios). WebSphere Portal contiene una amplia variedad de tecnolog�as destinadas a desarrollar y mantener portales B2C, B2B y B2E. El problema se sabe que est� relacionado con el proceso de login, sin embargo IBM no ha facilitado m�s detalles sobre el problema, por lo que se desconoce tanto el impacto como los posibles vectores de ataque. Se recomienda actualizar a IBM WebSphere Portal versi�n 6.1.0.3 Cumulative Fix 03 PM08667: LOGIN VULNERABILITY

Mozilla corrige la vulnerabilidad para Firefox presentada en el Pwm2Own 2010

Mozilla ha publicado una actualizaci�n de seguridad para el navegador Firefox que corrige una vulnerabilidad que podr�a permitir a un atacante remoto ejecutar c�digo arbitrario. La vulnerabilidad se public� en el Pwm2Own, un concurso dentro del contexto de la conferencia de seguridad CanSecWest, donde se compite por ser el primero en explotar los principales navegadores y tel�fonos m�viles. Un investigador alem�n de MWR InfoSecurity llamado Nils encontr� una vulnerabilidad en Firefox concretamente un fallo de corrupci�n de memoria al mover nodos de un �rbol DOM entre documentos. Nils encontr� una forma de mover un nodo reteniendo el �mbito anterior y provocando que el objeto fuese liberado err�neamente en cierto instante durante la recolecci�n de memoria, posteriormente se usa el puntero lo que posibilita la ejecuci�n de c�digo arbitrario. Nils tambi�n fue el mismo que gano los premios correspondientes a Internet Explorer, Firefox y Safari de la edici�n del Pwm2Own de 2009. La vulnerabilidad con CVE-2010-1121 ha sido corregida en la versi�n 3.6.3. Mozilla ha informado que aunque la vulnerabilidad solo est� presente en la rama 3.6 publicar� un parche para la 3.5 ya que podr�a llegar a ser factible, mediante una forma alternativa a la presentada, explotar la vulnerabilidad.

Actualizaci�n de seguridad para Foxit Reader

Foxit ha publicado la versi�n 3.2.1 de su lector de documentos PDF. Esta versi�n corrige un fallo de dise�o que podr�a permitir a un atacante incrustar un archivo binario en un documento PDF y proceder a su ejecuci�n una vez abierto el documento por el usuario. Foxit Reader es un lector PDF alternativo al extendido Adobe Reader. El lector de Foxit ha experimentado en los �ltimos tiempos un crecimiento notable de su base de usuarios; en parte debido a los continuos problemas de seguridad del de Adobe. El error fue descubierto por Didier Stevens, experto en seguridad y gran conocedor de los entresijos del formato PDF, mientras efectuaba una prueba de concepto tratando de saltarse la protecci�n frente a ejecutables incrustados de ambos lectores PDF. Aunque en un principio los lectores PDF no permiten ejecutar un binario o script incrustado en el documento, Didier consigui� evadir mediante una t�cnica propia dicha protecci�n consiguiendo ejecutar el contenido incrustado. En el lector de Adobe se encontr� una protecci�n adicional, ya que aunque permite la ejecuci�n muestra antes un dialogo de advertencia al usuario. Dicho cuadro de dialogo no est� presente en Foxit Reader el cual pasa a la ejecuci�n directamente. Didier tambi�n apunta que deshabilitar Javascript en los lectores no previene ante la ejecuci�n ya que se trata de "una forma creativa de usar la propia especificaci�n del formato" y no de la explotaci�n de una vulnerabilidad en concreto.

Apple publica actualizaci�n para corregir 88 vulnerabilidades

Apple ha lanzado recientemente una nueva actualizaci�n de seguridad para su sistema operativo Mac OS X versiones 10.5 y 10.6 que solventa 88 vulnerabilidades que podr�an ser aprovechadas por un atacante local o remoto con m�ltiples efectos. Esta es la segunda gran actualizaci�n del a�o (con el c�digo 2010-002). Los componentes y software afectados son: AppKit, Application Firewall, AFP Server, Apache, ClamAV, CoreAudio, CoreMedia, CoreTypes, CUPS, curl, Cyrus IMAP, Cyrus SASL, DesktopServices, Disk Images, Directory Services, Dovecot, Event Monitor, FreeRADIUS, FTP Server, iChat Server, ImageIO, Image RAW, Libsystem, Mail, Mailman, MySQL, OS Services, Password Server, perl, PHP, Podcast Producer, Preferences, PS Normalizer, QuickTime, Ruby, Server Admin, SMB, Tomcat, unzip, vim, Wiki Server, X11 y xar. Las actualizaciones pueden ser instaladas a trav�s de la funcionalidad de actualizaci�n (Software Update) de Mac OS X o, seg�n versi�n y plataforma, descarg�ndolas directamente desde: http://support.apple.com/downloads/ Dada la gravedad y elevado n�mero de vulnerabilidades corregidas se recomienda la actualizaci�n del sistema con la mayor brevedad posible. Acerca del contenido de seguridad de la actualizaci�n de seguridad 2010-002 / Mac OS X v10.6.3 http://support.apple.com/kb/HT4077?viewlocale=es_ES

Actualizaci�n para Java incluye 27 parches de seguridad

Oracle, propietaria de los productos de Sun tras su compra, ha publicado una actualizaci�n de la plataforma Java SE (Standard Edition) que incluye 27 parches de seguridad. Todas las vulnerabilidades son explotables en remoto y sin necesidad de autenticaci�n. 23 de ellas podr�an afectar a la integridad, confidencialidad y disponibilidad. Dos de las vulnerabilidades han sido corregidas en la librer�a ImageIO. cinco en la librer�a Java2D, nueve en el motor de entorno de ejecuci�n (JRE), tres en JavaWeb Start, 1 en la herramienta para comprimir jars "pack200", cuatro en la librer�a Sound, 1 en JSSE (Java Secure Socket Extension) y dos en la versi�n servidor de la m�quina virtual HotSpot. Adem�s de los parches de seguridad esta actualizaci�n contiene 28 correcciones entre errores y mejoras. Oracle recomienda actualizar a la revisi�n 19 del JDK y JRE en la versi�n 6. Opina sobre esta noticia: http://www.hispasec.com/unaaldia/4176/comentar M�s informaci�n Oracle Java SE and Java for Business Critical Patch Update Advisory - March2010

Microsoft publica actualizaci�n para Internet Explorer fuera de ciclo

Hoy no es el segundo martes del mes pero Microsoft acaba de publicar el bolet�n de seguridad MS10-018 de car�cter cr�tico, en el que se solucionan hasta diez vulnerabilidades diferentes en Internet Explorer. Si bien la publicaci�n con car�cter de urgencia se debe a la �ltima vulnerabilidad recientemente anunciada y que est� siendo utilizada de forma activa. La vulnerabilidad que ha propiciado la publicaci�n del bolet�n afecta a Internet Explorer 6 y 7. Con el CVE-2010-0806 asignado, se encuentra en "iepeers.dll" y est� causada por un puntero inv�lido al que se podr�a acceder, bajo ciertas condiciones, tras liberar el objeto apuntado. Ya tratamos anteriormente este problema en una-al-d�a. Aparte de este problema la actualizaci�n corrige otros nueve problemas que afectan a Internet Explorer 5.01, 6, 7 y 8, relacionados mayoritariamente con el tratamiento de objetos en memoria y que podr�an dar lugar a la ejecuci�n de c�digo arbitrario de forma remota. La actualizaci�n publicada puede descargarse a trav�s de Windows Update o consultando el bolet�n de Microsoft donde se incluyen las direcciones de descarga directa de cada parche. Dada la gravedad de las vulnerabilidades se recomienda la actualizaci�n del navegador con la mayor brevedad posible. Se puede ver el bolet�n de Microsoft en: http://www.microsoft.com/spain/technet/security/bulletin/ms10-018.mspx

Vulnerabilidades en impresoras Lexmark

Lexmark ha anunciado dos vulnerabilidades que afectan a m�s de 60 modelos diferentes y que podr�an ser empleadas por un usuario de la red para provocar denegaciones de servicio o incluso comprometer los dispositivos afectados. El problema de mayor gravedad s�lo afecta a las impresoras l�ser, y se refiere a un desbordamiento de b�fer en la funcionalidad de tratamiento de Printer Job Language (PJL) cuando maneja datos de gran tama�o enviados al puerto 9100/TCP. Un atacante remoto podr�a explotar este problema para ejecutar c�digo arbitrario. Por otra parte, un error en el servicio FTP al procesar repetidas conexiones ftp pasivas abortadas, esto podr�a provocar que la impresora afectada ignore conexiones TCP entrantes lo que provoca una condici�n de denegaci�n de servicio. Este problema afecta a impresoras Lexmark L�ser, inyecci�n y MarkNet. Dada la diversidad de productos y modelos afectados se recomienda consultar los avisos publicados por Lexmark y actualizar en caso de necesidad. http://support.lexmark.com/index?page=content&id=TE84 http://support.lexmark.com/index?page=content&id=TE85

Denegaci�n de servicio en OpenSSL

Se ha publicado una actualizaci�n de OpenSSL que corrige una vulnerabilidad que podr�a ser aprovechada por un atacante remoto para causar una denegaci�n de servicio. La vulnerabilidad, a la cual se le ha asignado el CVE-2010-0740 y ha sido bautizada con el reminiscente nombre de "Record of Death", fue descubierta y corregida por Bodo Moeller y Adam Langley, colaboradores habituales del proyecto. El error se encuentra en el archivo "ssl/s3_pkt.c", concretamente en la funci�n "ssl3_get_record". Durante las conexiones TLS, el servidor o cliente pueden dejar de responder al recibir paquetes con un formato incorrecto en los registros, cuyo procesamiento podr�a desembocar en un intento de lectura a NULL. Dicha vulnerabilidad afecta a todas las versiones desde 0.9.8f hasta la 0.9.8m y en esta �ltima, s�lo en el caso que haya sido compilada con un compilador que posea el tipo "short" definido como entero de 16 bits. OpenSSL ha publicado una actualizaci�n que corrige esta vulnerabilidad en la versi�n 0.9.8n. "Record of death" vulnerability in OpenSSL 0.9.8f through 0.9.8m http://openssl.org/news/secadv_20100324.txt

La versi�n 3.6.2 de Firefox soluciona el 0 day que se conoci� hace un mes

Mozilla por fin ha publicado oficialmente la versi�n 3.6.2 del navegador Firefox que soluciona (entre otros) un fallo de seguridad que estaba siendo aprovechado por atacantes y del que se rumoreaba desde hace un mes. Por su parte (en su din�mica habitual) el gobierno alem�n recomend� no usar el navegador hasta que el fallo fuese corregido. La compa��a rusa de seguridad Intevydis, asegur� a mediados de febrero que conoc�a una vulnerabilidad del navegador Firefox que podr�a permitir la ejecuci�n de c�digo arbitrario con solo visitar una p�gina web. Mozilla dijo que no pod�a confirmar el fallo. Evgeny Legerov, de Intevydis, dijo que encontrar el problema y crear un exploit no era trivial pero que era muy fiable y funcionaba en la instalaci�n por defecto del navegador sobre XP y Vista. Efectivamente se confirma que el fallo era real, que en esta versi�n 3.6.2 se soluciona y que estaba siendo aprovechada por atacantes desde hace semanas. Intevydis es la desarrolladora de VulnDisco. Se trata de un pack para CANVAS que contiene exploits para vulnerabilidades no parcheadas de decenas de programas. En su �ltima versi�n de principios de febrero, conten�a una vulnerabilidad desconocida hasta ahora para Firefox 3.6. Desde entonces parece que el fallo ha estado siendo aprovechado, aunque Intevydis mantuvo en secreto la vulnerabilidad y solo fue comercializada a trav�s de VulDisco. Pero, como era de esperar, en alg�n momento la informaci�n ha sido filtrada y ha ca�do en manos de los atacantes. Mozilla no pudo encontrar la vulnerabilidad aunque supiera que exist�a, y en un principio no reconoc�a el fallo. Al parecer, el propio Evgeny Legerov se puso en contacto con la fundaci�n el 18 de marzo, despu�s de que la compa��a Secunia confirmara la vulnerabilidad. Aport� los detalles suficientes y entonces es cuando lo han corregido. En total, se ha necesitado aproximadamente un mes para tener lista una versi�n estable y oficial que solucione el problema. Mozilla ha adelantado su nueva versi�n, prevista para el 30 de marzo. Como viene siendo habitual, y ante el inminente peligro, la Oficina Federal para la Seguridad de la Informaci�n alemana recomendaba no usar Firefox hasta que existiese una actualizaci�n oficial. Primero, la recomendaci�n de abandono temporal del navegador le toc� a Chrome, luego a Internet Explorer (noticia con mucha m�s repercusi�n que el resto) y ahora a Firefox. Efectivamente, como adelant�bamos en una una-al-d�a anterior, "si la intenci�n [del gobierno alem�n] es, con buen criterio, disuadir del uso temporal de programas con graves vulnerabilidades hasta que sean resueltas, la lista deber�a ser demasiado larga." M�s informaci�n: Update on Secunia Advisory SA38608 Mozilla Foundation Security Advisory 2010-08

Vulnerabilidad en Servidor http de IBM OS/400

IBM ha reconocido la existencia de una vulnerabilidad en OS/400, que podr�a ser empleada por usuarios maliciosos para conseguir acceso a informaci�n sensible. El problema reside en el servidor http por un error en el tratamiento de cabeceras al procesar determinadas peticiones. Mediante peticiones espec�ficamente creadas un atacante remoto podr�a emplear este problema para acceder datos de la memoria con informaci�n de peticiones anteriores. Se recomienda aplicar el APAR SE42335. SE42335 - HTTPSVR - Patch Apache Vulnerability CVE

Actualizaci�n del kernel para OpenSuSE

OpenSuSE ha publicado una actualizaci�n para el kernel de OpenSuSE Linux 11.2 que corrige diversos problemas de seguridad que podr�an permitir la realizaci�n de ataques de denegaci�n de servicio. Los problemas corregidos tienen relaci�n con el manejo de ciertas operaciones de desbloqueo de "Priority Inheritance" (PI); con el tratamiento de determinados conteos de referencias en el kernel; con la validaci�n de valores de nodo; con el tratamiento de m�ltiples mensajes NETLINK_CONNECTOR y en el emulador x86 en el subsistema KVM. Se recomienda actualizar a trav�s de las herramientas autom�ticas YoU (Yast Online Update). [security-announce] SUSE Security Announcement: Linux kernel (SUSE-SA:2010:018)

20 maneras de ejecutar c�digo en un Mac (a trav�s de Preview)

Charlie Miller no es ning�n charlat�n. Ya en 2007 encontr� c�mo ejecutar c�digo en un iPhone simplemente visitando una web con Safari. Tambi�n es responsable del fallo que permit�a ejecutar c�digo en iPhone a trav�s de SMS, adem�s de destapar muchos otros fallos de seguridad en Mac. A final de mes revelar� 20 formas distintas de ejecutar c�digo en un Mac de forma remota, y otras 10 vulnerabilidades en otros programas. Miller alega que Apple sigue sin tomarse en serio la seguridad, puesto que sus pruebas fueron realmente simples. De hecho lo ha llamado "Apple Hacking For Dummies." Miller revelar� los fallos en la CanSecWest security conference de Vancouver. Ha encontrado 30 vulnerabilidades en total (cr�ticas, o sea, que permiten ejecuci�n de c�digo) en cuatro lectores de PDF. El peor parado es la aplicaci�n "vista previa" (Preview) de Apple. Esta aplicaci�n permite visualizar de forma simple diferentes formatos de archivos en Mac OS. 20 de estos fallos permiten ejecuci�n de c�digo con solo procesar ficheros PDF especialmente manipulados. Puesto que Safari puede procesar PDF con la vista previa al visitar una web, los fallos son aprovechables con solo visitar una p�gina. Lo m�s curioso es la forma en la que Miller ha encontrado las vulnerabilidades. Puso a prueba cuatro programas: Adobe Reader, la vista previa de Apple, PowerPoint y OpenOffice. Con un script en python de 5 l�neas, modificaba un bit de un fichero PDF o PPT y se lo pasaba a los diferentes lectores. As�, en tres semanas, consigui� 1.000 formas diferentes de hacer que los programas dejasen de responder (1.000 denegaciones de servicio). Pero cuando estudi� algunas de ellas detenidamente, sac� 30 vulnerabilidades que permiten la ejecuci�n de c�digo. El peor parado, sin duda, la vista previa de Apple con 20 de esos errores. Esto no significa que PowerPoint, OpenOffice o Adobe Reader (este �ltimo, especialmente) no contenga m�s vulnerabilidades que las encontradas por Miller. Cabe recordar que el investigador es especialista en Mac y probablemente se haya centrado en este software para encontrar las 20 vulnerabilidades cr�ticas. Miller se queja de la seguridad de Apple. Todav�a no sabe si pondr� a prueba a la compa��a para comprobar cu�nto tardan en solucionar los errores. Es m�s, se sorprende de que una sola persona consiga encontrar tantos fallos en casa armado exclusivamente con un script muy sencillo, mientras que compa��as como Apple (con decenas de ingenieros de software) parecen no haber realizado este tipo de pruebas antes o no haber llegado a prevenirlas de alguna forma. Miller seguir� investigando, y espera que algunos de estos fallos sean reproducibles en el iPhone. Apple debe dar un giro hacia la seguridad como prioridad en sus productos antes de que el popular tel�fono se convierta en objetivo de los atacantes. A pesar de haber sufrido innumerables reveses en cuesti�n de seguridad, de haberse hecho p�blicos errores avergonzantes, y de ser mantener una pol�tica de seguridad muy cuestionable, Apple sigue priorizando el dise�o y la funcionalidad, dejando quiz�s un poco de lado la cada vez m�s necesaria seguridad. Adobe (en plena crisis en este aspecto) est� reaccionando con anuncios de mejora en sus m�todos de actualizaci�n, entre otras medidas. �Para cu�ndo Apple? Researcher Will Expose 20 Hackable Apple Security Flaws

M�ltiples vulnerabilidades en Google Chrome

Se han anunciado un total de nueve vulnerabilidades en Google Chrome, el navegador de Google. Un atacante remoto podr�a emplear estos problemas para evitar restricciones de seguridad, descubrir informaci�n sensible o comprometer un sistema vulnerable. El primer problema se debe a errores de punteros en la sandbox mientras que otro problema se debe a metadatos persistentes como Web Databases y STS. M�s problemas se dan porque las cabeceras http se procesan antes de la comprobaci�n de navegaci�n segura (SafeBrowsing). Una vulnerabilidad de ejecuci�n remota de c�digo se produce al procesar SVG mal construidos. Otro problema de desbordamiento de entero en objetos JavaScript WebKit, tambi�n podr�a emplearse para ejecutar c�digo arbitrario. Otros problemas est�n relacionado con los di�logos de autenticaci�n http b�sica y de descargas. Una �ltima vulnerabilidad reside en el tratamiento de elementos SVG vac�os. Se recomienda actualizar a Google Chrome versi�n 4.1.249.1036, disponible desde: http://www.google.com/chrome

Microsoft y Adobe colaboran para la distribuci�n de actualizaciones

Microsoft y Adobe est�n trabajando conjuntamente en el proceso de actualizaciones de seguridad, posiblemente la firma de Redmond distribuya las actualizaciones de productos Adobe a trav�s de Windows Update. En la actualidad una gran parte del malware que se distribuye es a trav�s de archivos pdf, principalmente para aprovechar vulnerabilidades de Adobe Reader para su distribuci�n. Por este motivo, el software de Adobe, sus vulnerabilidades, la distribuci�n de parches y la actualizaci�n de este software representa un serio problema para Microsoft y sus sistemas operativos. La buena noticia es que Microsoft ha confirmado la colaboraci�n entre las dos firmas para desarrollar soluciones que mejoren la experiencia del usuario en la actualizaci�n del software. Todo parece indicar que aun queda mucho trabajo por hacer, y aun no hay ninguna fecha final para tener una respuesta concreta, pero los pasos m�s importantes ya se est�n dando. Microsoft ha recalcado que la colaboraci�n est� enfocada en permitir o hacer posible que las actualizaciones de Adobe se distribuyan a trav�s de los productos y servicios de administraci�n centralizada de Microsoft, como System Center Configuration Manager (SCCM) o System Center Essentials (SCE). M�s informaci�n: Microsoft and Adobe Collaborating on Security Patches

Vulnerabilidad a trav�s de mod_isapi en IBM HTTP Server

Se ha descubierto una vulnerabilidad en IBM HTTP Server 6.0 o 6.1 en sistemas Windows que podr�a ser aprovechada por un atacante para causar una denegaci�n de servicio o comprometer los sistemas afectados. El problema afecta a los sistemas que carguen la directiva LoadModule para el m�dulo "mod_isapi" (por que hayan quitado el comentario de dicha directiva en el archivo de configuraci�n). El m�dulo mod_isapi permite al servidor http utilizar DLLs dise�adas para su uso con Microsoft IIS. El problema se produce cuando un atacante env�a m�ltiples peticiones de URLs maliciosamente contruidas para que sean tratadas por mod_isapi lo que puede provoar errores, ca�das o llegar a permitir la ejecuci�n de c�digo remoto. Se recomienda aplicar el parche PM09447 disponible desde: http://www-01.ibm.com/support/docview.wss?uid=swg1PM09447

Actualizaci�n para corregir diversas vulnerabilidades en Microsoft Excel

Dentro del conjunto de boletines de seguridad de marzo publicado el pasado martes por Microsoft y del que ya efectuamos un resumen, se cuenta el anuncio (en el bolet�n MS10-017) de una actualizaci�n importante para evitar siete vulnerabilidades en Microsoft Excel que podr�an permitir a un atacante remoto ejecutar c�digo arbitrario si un usuario abre un archivo Excel especialmente manipulado. Varias vulnerabilidades est�n relacionadas con el tratamiento y an�lisis de registros, vi�ndose afectados los registros MDXTUPLE, MDXSET, DbOrParamQry y FNGROUPNAME, otro problema afecta a analizar el archivo XLSX, mientras que una �ltima vulnerabilidad reside al confundir el tipo de objeto de hoja de Excel. Se recomienda instalar la actualizaci�n a trav�s de Windows Update o consultando el bolet�n de Microsoft donde se incluyen las direcciones de descarga directa de las actualizaciones. M�s informaci�n: Bolet�n de seguridad de Microsoft MS10-017 - Importante Vulnerabilidades en Microsoft Office Excel podr�an permitir la ejecuci�n remota de c�digo (980150) http://www.microsoft.com/spain/technet/security/Bulletin/MS10-017.mspx

Vulnerabilidad de acceso a informaci�n sensible en Skype

Se ha dado a conocer una vulnerabilidad en Skype (en todas las versiones previas a la 4.2.0.1.55 (v4.2 hotfix #1) para Windows), que podr�a ser aprovechada por un atacante para evitar restricciones de seguridad y descubrir informaci�n sensible. Skype es un el cliente de VoIP (voz sobre IP) muy popular, tiene millones de usuarios por todo el mundo y permite las comunicaciones a trav�s de chat, voz y videoconferencia con otros usuarios de Skype o de tel�fonos fijos. Adem�s est� disponible para distintas plataformas Windows, Linux y Mac OS X. El problema est� provocado por un error en el tratamiento de los par�metros en determinadas URIs. Un atacante podr�a explotar la vulnerabilidad si inyecta un argumento "/Datapath" malicioso; por ejemplo apuntando a un recurso SMB compartido remoto. Esto podr�a aprovecharse para controlar algunas configuraciones de Skype (como la pol�tica de seguridad o la configuraci�n proxy) y conseguir as� acceso a informaci�n sensible (como los logs de los chats o el hist�rico de llamadas). Para lograr explotar con �xito esta vulnerabilidad se requiere enga�ar o inducir al usuario de Skype a acceder a una URI "skype:" espec�ficamente creada y tambi�n depender� del navegador que use. Para evitar este problema se ha publicado la versi�n 4.2.0.1.55 (v4.2 hotfix #1).

Boletines de seguridad de Microsoft en marzo

Este martes Microsoft ha publicado dos boletines de seguridad (MS10-016 y MS10-017) correspondientes a su ciclo habitual de actualizaciones. Seg�n la propia clasificaci�n de Microsoft ambos boletines presentan un nivel de gravedad "importante". En total se han resuelto ocho vulnerabilidades. Los boletines publicados son: * MS10-016: Actualizaci�n para corregir una vulnerabilidad en Windows Movie Maker y Microsoft Producer 2003, que podr�a permitir la ejecuci�n remota de c�digo si un atacante env�a un archivo de proyecto de Movie Maker o Microsoft Producer especialmente dise�ado y convence al usuario de que lo abra. Microsoft aclara que Windows Live Movie Maker (disponible para Windows Vista y Windows 7) no est� afectado por esta vulnerabilidad. * MS10-017: Actualizaci�n que soluciona siete vulnerabilidades en Microsoft Office Excel que podr�an permitir la ejecuci�n remota de c�digo si un usuario abre un archivo de Excel especialmente dise�ado. Afecta a Microsoft Office XP, Office 2003, 2007 Microsoft Office System Service y las versiones Office 2004 y 2008 para Mac. Las actualizaciones publicadas pueden descargarse a trav�s de Windows Update o consultando los boletines de Microsoft donde se incluyen las direcciones de descarga directa de cada parche. Dada la gravedad de las vulnerabilidades se recomienda la actualizaci�n de los sistemas con la mayor brevedad posible. Resumen del bolet�n de seguridad de Microsoft de marzo de 2010 http://www.microsoft.com/spain/technet/security/bulletin/ms10-mar.mspx Bolet�n de seguridad de Microsoft MS10-016 - Importante Una vulnerabilidad en Windows Movie Maker podr�a permitir la ejecuci�n remota de c�digo (975561) http://www.microsoft.com/spain/technet/security/bulletin/ms10-016.mspx Bolet�n de seguridad de Microsoft MS10-017 - Importante Vulnerabilidades en Microsoft Office Excel podr�an permitir la ejecuci�n remota de c�digo (980150) http://www.microsoft.com/spain/technet/security/Bulletin/MS10-017.mspx

Nuevo 0-day en Microsoft Internet Explorer

Microsoft informa de una vulnerabilidad en el navegador Internet Explorer que podr�a permitir a un atacante remoto ejecutar c�digo arbitrario, con los permisos del usuario, a trav�s de un sitio web especialmente manipulado. La vulnerabilidad, a la que se le ha asignado el CVE-2010-0806, se encuentra en "iepeers.dll" y est� causada por un puntero inv�lido al que se podr�a acceder, bajo ciertas condiciones, tras liberar el objeto apuntado. Microsoft ha detectado y confirma que la vulnerabilidad est� siendo explotada activamente. Se consideran vulnerables las versiones 6 y 7. Se recomienda seguir las indicaciones de Microsoft a fin de minimizar el impacto. Microsoft est� trabajando para publicar un parche que solucione esta vulnerabilidad. M�s informaci�n: Microsoft Security Advisory (981374) http://www.microsoft.com/technet/security/advisory/981374.mspx

Actualizaci�n del kernel para OpenSuSE Linux 11

OpenSuSE ha publicado una actualizaci�n para el kernel de OpenSuSE Linux 11 que corrige diversos problemas de seguridad. Los problemas corregidos tienen relaci�n con el subsistema hfs, el int�rprete ELF, las operaciones de desbloqueo de prioridad de herencia y errores en "drivers/connector/connector.c" y "mm/migrate.c". Se recomienda actualizar a trav�s de las herramientas autom�ticas YoU (Yast Online Update).

Una vez m�s, malware en aplicaciones leg�timas

No es la primera vez que ocurre, y por desgracia tampoco ser� la �ltima. A trav�s de una-al-d�a ya hemos informado en m�s de una ocasi�n sobre malware distribuidos es aplicaciones legalmente adquiridas; en esta ocasi�n y de forma casi simultanea se ha anunciado que Vodafone y Energizer han distribuido productos que inclu�an algo m�s que lo que el comprador esperaba. Grandes fabricantes como HP o Disney, entre otras han visto como en sus discos, CDs o drivers, etc. se "colaba" de forma accidental alg�n ejemplar de malware. En esta ocasi�n los afectados han sido los usuarios de Vodafone y Energizer. Por una parte, Panda ha dado a conocer que Vodafone, en el paquete con el que distribuye el HTC Magic con Android incluye el cliente para incorporar el equipo a la botnet Mariposa, recientemente descubierta. Adem�s tambi�n se incluye el no menos conocido Conficker y Lineage, un programa para robar contrase�as. Mucho m�s desapercibido podr�a pasar el troyano en el software opcional de los cargadores Energizer USB Duo; un cargador de pilas a trav�s del USB con una aplicaci�n Windows que permit�a comprobar el estado de la carga. Sin embargo al instalar dicho software tambi�n se instalaba un troyano (Arucer.dll) en el sistema con el que cualquier atacante remoto podr�a lograr el control de los sistemas afectados. Una vez m�s las recomendaciones habituales, comprobar todas las aplicaciones que vayamos a instalar en el sistema (VirusTotal puede ser una buena opci�n para ello) y utilizar Windows con una cuenta con permisos restringidos.

Nuevo "0day" con ejecuci�n de c�digo arbitrario en Internet Explorer

Microsoft ha comunicado, a trav�s del blog del equipo del centro de respuesta de seguridad, de una vulnerabilidad en Internet Explorer que podr�a permitir la ejecuci�n de c�digo arbitrario visitando una p�gina web especialmente manipulada. Es necesario adem�s para completar el ataque, que el atacante incite a la v�ctima a pulsar el bot�n F1 para lanzar la funci�n de ayuda. Tanto la vulnerabilidad como la prueba de concepto fueron originalmente publicadas el d�a 26 de febrero por Maurycy Prodeus, del grupo polaco iSEC, en la lista de Full Disclosure. En el aviso detalla c�mo la funci�n "MsgBox" proporciona un par�metro en el que se puede indicar la ruta hacia un archivo .hlp. Si la v�ctima presiona F1, el archivo con formato win32hlp ser� procesado. Dichos archivos est�n clasificados por Microsoft como inseguros, al permitir acciones que podr�an desembocar en un riesgo para el usuario si la fuente no es confiable. Entre las capacidades peligrosas est� la posibilidad de portar una DLL, lo que potencialmente convertir�a al archivo en el equivalente a un ejecutable. El soporte para este tipo de archivos, que se remontan a las primeras versiones de Windows, fue retirado en 2006, siendo Windows Vista y Windows Server 2008 los primeros sistemas de Microsoft que no disponen por defecto de un visor integrado para el formato (aunque se puede descargar oficialmente). Microsoft informa que esta vulnerabilidad no afecta a los sistemas operativos Windows 7, Windows Vista, Windows Server 2008 y Windows Server 2008 R2. El aviso de seguridad de iSEC reporta como vulnerable a la plataforma Windows XP SP3 con las versiones de Internet Explorer 6, 7 y 8.

Ejecuci�n arbitraria de c�digo en IBM Lotus iNotes

Se ha confirmado la existencia de de una vulnerabilidad en IBM Lotus iNotes (Lotus Domino Web Access), por la que un atacante remoto podr�a comprometer los sistemas afectados. El problema reside en desbordamientos de b�fer en controles ActiveX, que podr�an ser explotados por un atacante remoto a trav�s de una p�gina HTML especialmente creada. Si el usuario abre la p�gina, se producir� el desbordamiento y la consiguiente ejecuci�n de c�digo arbitrario. El c�digo se ejecutar� con los privilegios del usuario atacado. Los CLSIDs de los controles afectados son: 3BFFE033-BF43-11d5-A271-00A024A51325 983A9C21-8207-4B58-BBB8-0EBC3D7C5505 E008A543-CEFB-4559-912F-C27C2B89F13B IBM ha publicado una correcci�n (7.0.4, 8.5) para evitar este problema.

Nueva versi�n de PHP soluciona varios fallos de seguridad

Se ha publicado recientemente una nueva versi�n de PHP (versi�n 5.2.13) que ha solucionado dos fallos de seguridad. PHP es un lenguaje interpretado de prop�sito general ampliamente usado, que est� dise�ado para desarrollo web y puede ser embebido dentro de c�digo HTML. PHP est� orientado a la creaci�n de p�ginas web din�micas, ejecut�ndose en un servidor web (server-side scripting), de forma que primero se toma el c�digo en PHP como entrada y se devuelven las p�ginas web como salida. El primero de los problemas reside en un fallo en el c�digo de validaci�n de safe_mode en la funci�n tempnam(). Mientras que el segundo problema podr�a permir evitar los controles impuestos por open_basedir y safe_mode en la extensi�n de sesi�n. Adem�s, la nueva versi�n corrige otra serie de problemas de diversa �ndole. La nueva versi�n se encuentra disponible para descarga desde: http://www.php.net/downloads.php

Vulnerabilidad en Adobe Download Manager

Se ha anunciado una vulnerabilidad en Adobe Download Manager (anterior al 23 de febrero de 2010) que podr�a ser empleada por atacantes remotos para lograr el compromiso de los sistemas afectados. El fallo en realidad, se encuentra en su componente NOS, creado por otro fabricante. El fallo est� en getPlus Download Manager de NOS, usado por, entre otras compa��as, Adobe en el componente Adobe Download Manager. GetPlus Downloader se instala en forma de ActiveX. Adobe lo usa para facilitar la instalaci�n de Adobe Reader a trav�s de Internet Explorer. Adobe Download Manager se instala por defecto al descargar Adobe Reader o Flash para Windows desde el sitio web de Adobe, pero de igual forma se desinstala autom�ticamente tras el siguiente reinicio del ordenador. La corta permanencia de este producto en los sistemas, ha sido sin duda la causa por la que seguramente ha pasado desapercibido a la hora de encontrar nuevas vulnerabilidades. El problema se debe a un error al procesar URLs, de tal forma que un atacante remoto podr�a emplearlo para descargar e instalar software no autorizado en el sistema vulnerable. Para ellos deber�a enga�ar al usuario a acceder a un enlace especialmente construido o visitar una p�gina web maliciosa. En caso de haber realizado una instalaci�n de Reader o Flash anterior al d�a 23 de febrero se recomienda reiniciar los sistemas (en caso de no haberlo hecho) o desinstalar manualmente Adobe Download Manager seg�n se indica en el bolet�n publicado por Adobe: http://www.adobe.com/support/security/bulletins/apsb10-08.html

Posible ejecuci�n de c�digo (sin parche) en Firefox 3.6

La reputada compa��a rusa de seguridad Intevydis, asegura conocer una vulnerabilidad del navegador Firefox que puede permitir la ejecuci�n de c�digo arbitrario con solo visitar una p�gina web. Mozilla dice que no puede confirmar el fallo. Intevydis es la desarrolladora de VulnDisco. Se trata de un pack para CANVAS que contiene exploits para vulnerabilidades no parcheadas de decenas de programas. En su �ltima versi�n de principios de febrero, dice contener una vulnerabilidad desconocida hasta ahora para Firefox 3.6, que permite la ejecuci�n de c�digo arbitrario en Windows. A pesar de que Firefox ha publicado recientemente una nueva versi�n que soluciona cinco fallos de seguridad, la 3.6 no ha recibido ninguna actualizaci�n, con lo que parece que sigue siendo vulnerable a ese error (si es que existe). Evgeny Legerov, de Intevydis, dice que encontrar el fallo y crear un exploit no es nada trivial (desbordamiento de memoria intermedia basado en heap), pero que es muy fiable y funciona en la instalaci�n por defecto del navegador sobre XP y Vista. Mozilla Foundation parece que est� al tanto del asunto, pero no ha podido confirmar la vulnerabilidad. VulnDisco est� disponible para "profesionales de la seguridad" Que paguen por �l. Si se confirma el fallo, cualquiera podr�a tener acceso a esa informaci�n y comenzar a aprovecharla. No se tiene constancia de que esto haya ocurrido por ahora. Lo que s� se ha detectado es que esa versi�n de Firefox ha sufrido numerosos problemas de estabilidad al visitar ciertas p�ginas. Aunque podr�a no estar relacionado con el asunto. A veces es habitual que un fallo que hace que un programa deje de responder se convierta en un problema de seguridad aprovechable, aunque esto depende, l�gicamente, de la naturaleza del error. Evgeny Legerov no es ning�n desconocido en el mundo de la seguridad, y lidera una empresa seria que comercializa un producto reputado como VulnDisco. No es la primera vez que se conoce un nuevo fallo de seguridad a trav�s de la recopilaci�n realizada en VulnDisco y, sin ning�n tipo de prueba adicional, se da por v�lido dada su buena reputaci�n.

Actualizaci�n del kernel para SuSE Linux Enterprise Server 9

SuSE ha publicado la actualizaci�n del kernel para SuSE Linux Enterprise Server 9 en la que se corrigen varios fallos de seguridad que podr�an permitir a un atacante causar denegaciones de servicio, escalar privilegios o ejecutar c�digo arbitrario en un sistema vulnerable. Las vulnerabilidades corregidas son: El primero de los problemas se presenta en la funci�n "collect_rx_frame" del fichero "hfc_usb.c". Esto podr�a se aprovechado por una atacante local para ejecutar c�digo arbitrario con privilegios de superusuario a trav�s de un paquete "HDLC" especialmente manipulado. Se ha solucionado otro problema al procesar el argumento "eindex" de la funci�n "gdth_read_event" en "drivers/scsi/gdth.c". Esto podr�a ser aprovechado por un atacante local para causar una denegaci�n de servicio y, potencialmente, elevar privilegios a trav�s de una llamada IOCTL especialmente manipulada. Tambi�n se han detectado y corregido problemas en la validaci�n de permisos en las funciones "do_ebt_set_ctl" y "do_ebt_get_ctl" cuando el usuario tiene el permiso de CAP_NET_ADMIN. Esto podr�a ser aprovechado por un atacante local para eludir restricciones y modificar las reglas de las ebtables. El driver e1000 de "e1000/e1000_main.c" interpreta de formar err�nea m�ltiples bufers de una misma trama Ethernet. Un atacante remoto podr�a causar una denegaci�n de servicio a trav�s de tramas Ethernet especialmente manipuladas. Un atacante local podr�a elevar sus privilegios a trav�s de la modificaci�n de atributos del driver "megaraid", debido a un error en los permisos asignados a ciertos atributos expuestos por el driver "megaraid_sas" en "sysfs". Existe una falta de comprobaci�n en el controlador z90crypt. Esto podr�a permitir a un atacante local con un "effective user ID" (euid) de valor 0 eludir restricciones de seguridad. La actualizaci�n tambi�n corrige un error de fuga de memoria a la hora de procesar determinados datagramas de "AppleTalk-IP" en el kernel de Linux. Esto podr�a permitir a un atacante remoto causar una denegaci�n de servicio a trav�s del env�o de muchos datagramas "AppleTalk-IP" especialmente manipulados. La explotaci�n solo es posible si est�n cargados y asociados a la misma interfaz los m�dulos "appletalk" y "ipddp". Esta actualizaci�n tambi�n corrige un error de comprobaci�n de estado de los sockets en la funci�n "unix_stream_connect". Esto podr�a ser aprovechado por un atacante remoto para causar una denegaci�n de servicio, a trav�s de reiterados intentos de conexi�n a un socket que se cierre mediante una llamada a shutdown. Por �ltimo, un error de comprobaci�n de la inicializaci�n en las rutinas de manejo de IOCTL. Esto podr�a ser aprovechado por un atacante local para provocar una denegaci�n de servicio aprovechando las desreferencias a NULL de estructuras no inicializadas. Se recomienda actualizar a la �ltima versi�n del kernel, disponible a trav�s de la herramienta autom�tica YaST.

NEC experimenta con USB 3.0 con capacidad para 16Gb/s de transferencia.

Serian m�s de tres veces lo que se ha marcado como est�ndar pero realmente dudo que vayamos a ver ning�n producto con esta capacidad por no tener ning�n est�ndar detr�s que lo apoye. Pero sin duda suena interesante que uno de fabricantes de chips USB 3.0 vea tantas expectativas en un est�ndar que nos deber� acompa�ar durante bastantes a�os. Seg�n NEC esta capacidad de transferencia se logra eliminando buena parte de las interferencias que plagan este tipo de conexiones de alta frecuencia. Con ello aumentan la velocidad te�rica del interfaz de 600MB/s hasta casi 2000MB/s. Seguramente no veremos ning�n producto, fuera del entorno industrial, con esta nueva capacidad pero sin duda sienta una base interesante de avance hacia un futuro USB 4.0 esperemos con velocidades aun superiores a esta.

Actualizaciones de seguridad para Adobe Reader y Acrobat

Adobe ha publicado actualizaciones para corregir dos vulnerabilidades en Adobe Reader y Acrobat en diferentes plataformas, que podr�an permitir a un atacante tomar el control de los sistemas afectados. Las vulnerabilidades corregidas est�n relacionadas con las recientemente anunciadas en Adobe Flash. Las versiones afectadas son Adobe Reader 9.3 para Windows, Macintosh y UNIX; Adobe Acrobat 9.3 para Windows y Macintosh; y Adobe Reader 8.2 y Acrobat 8.2 para Windows y Macintosh. Como se describ�a en el anterior bolet�n de seguridad de Adobe una de las vulnerabilidades podr�a permitir a un atacante modificar el comportamiento de la "sandbox" de forma que podr�a dar lugar a peticiones no autorizadas de dominios cruzados. Adem�s se ha identificado una vulnerabilidad cr�tica que podr�a permitir a un atacante llegar a tomar el control de los sistemas afectados. Adobe recomienda a los usuarios de Reader y Acrobat la actualizaciones a las versiones recientemente publicadas empleando la opci�n de actualizaci�n autom�tica de los productos o bien descarg�ndolas desde la propia web de Adobe: http://www.adobe.com/downloads/

Vulnerabilidades en OpenOffice.org permiten ejecuci�n de c�digo

OpenOffice.org ha publicado la versi�n 3.2 de su suite ofim�tica que soluciona hasta siete fallos de seguridad que podr�an ser aprovechados por atacantes para ejecutar c�digo arbitrario en los sistemas afectados. Dos de los problemas se deben a un desbordamiento de b�fer basado en heap al procesar registros mal construidos en un documento Word, lo que podr�a ser empleado por atacantes para lograr la ejecuci�n de c�digo arbitrario. Otros problemas que tambi�n podr�an ser empleados para lograr la ejecuci�n de c�digo arbitrario residen en el tratamiento de datos GIF y XPM. Un problema reside en la versi�n de OpenOffice.org para Windows debido a que incluye una versi�n vulnerable de MSVC Runtime. Para finalizar tambi�n se han solucionado vulnerabilidades en libxmlsec y en libxml2. Se recomienda actualizar a OpenOffice.org version 3.2: http://download.openoffice.org/index.html

Nuevos datos acerca de las resoluciones de pantalla m�s comunes, en la que nuestra web deber�a tener su mejor visualizaci�n.

El ranking de resoluciones de pantalla es una clasificaci�n mensual de las resoluciones consideradas como m�s populares. Como ya hemos se�alado en alguna ocasi�n la resoluci�n de pantalla es un elemento a considerar como importante para una mejor visualizaci�n de nuestra p�gina web. Para poder conocer el perfil de nuestros usuario web y la resoluci�n de pantalla que usan, podemos utilizar servicios como Google Analytics, no obstante esta clasificaci�n da una referencia interesante para cualquier desarrollador interesado en saber en qu� resoluci�n deber�a funcionar y tener su mejor imagen un site. Ranking resoluciones de pantalla Enero de 2010 1. 1024x768 : 26.97% 2. 1280x800 : 20.23% 3. 1280x1024 : 10.40% 4. 1440x900 : 8.86% 5. 1680x1050 : 5.57% 6 1366x768 : 4.45% 7. 800x600 : 3.04% 8. 1152x864 : 2.28% Como dato relevante de esta �ltima clasificaci�n se�alamos la nueva reducci�n de las diferencias que separan las resoluciones m�s populares (1024x768 y 1280x800) y el crecimiento de casi un 1%, respecto a diciembre 2009, de 1366x768.

Actualizaci�n del kernel de Windows

Dentro del conjunto de boletines de seguridad de febrero publicado el pasado martes por Microsoft y del que ya efectuamos un resumen, se cuenta el anuncio (en el bolet�n MS10-015) de una actualizaci�n del kernel de Windows destinada a solucionar dos nuevas vulnerabilidades. El primero de los problemas reside en que no se valida correctamente el cambio de contexto y pila que se efect�a al llamar al manejador GP trap. La segunda vulnerabilidad se produce en el kernel de Windows al liberar dos veces el mismo rango de memoria. Estos fallos podr�an ser aprovechados por un atacante local para elevar privilegios a trav�s de una aplicaci�n especialmente manipulada. Se recomienda actualizar los sistemas afectados mediante Windows Update o descargando los parches seg�n plataforma desde la p�gina del bolet�n de seguridad: http://www.microsoft.com/spain/technet/security/Bulletin/MS10-015.mspx

Actualizaci�n de seguridad para Adobe Flash Player

Adobe ha publicado una actualizaci�n de seguridad destinada a corregir dos vulnerabilidades de seguridad en Adobe Flash Player versi�n 10.0.42.34 y anteriores, la m�s grave podr�a dar lugar a peticiones no autorizadas de dominios cruzados. La vulnerabilidad m�s grave podr�a permitir a un atacante modificar el comportamiento de la "sandbox" de forma que podr�a dar lugar a peticiones no autorizadas de dominios cruzados; lo que podr�a dar lugar a la falsificaci�n de peticiones. La actualizaci�n publicada tambi�n corrige una vulnerabilidad de denegaci�n de servicio. Adobe recomienda a los usuarios de Adobe Flash Player la actualizaci�n a la versi�n 10.0.45.2. De igual forma, tambi�n se recomienda que las instalaciones de Adobe AIR se actualicen a la versi�n 1.5.3.9130. Disponibles desde la p�gina web de Adobe o a trav�s del bolet�n de seguridad publicado: http://www.adobe.com/support/security/bulletins/apsb10-06.html

Actualizaci�n para vulnerabilidades en TCPI/IP de Windows

Dentro del conjunto de boletines de seguridad de febrero publicado este martes por Microsoft y del que ya efectuamos un resumen, se cuenta el anuncio (en el bolet�n MS10-009) de una actualizaci�n cr�tica destinada a corregir cuatro vulnerabilidades en la implementaci�n de la pila TCP/IP en sistemas Windows. La primera vulnerabilidad est� causada por un error de validaci�n de l�mites en la implementaci�n de la pila TCP/IP de Windows a la hora de procesar paquetes ICMPv6 de anuncio de router. Esto podr�a permitir a un atacante remoto ejecutar c�digo arbitrario si env�a paquetes ICMPv6 especialmente manipulados a la v�ctima. El segundo problema corregido reside en la implementaci�n de la pila TCP/IP de Windows a la hora de procesar datagramas fragmentados ESP (Encapsulating Security Payloads) encapsulados a trav�s de UDP. Esto podr�a permitir a un atacante remoto ejecutar c�digo arbitrario si env�a paquetes IP especialmente manipulados a la v�ctima. Otra vulnerabilidad se presenta debido a una incorrecta validaci�n de l�mites en la implementaci�n de la pila TCP/IP de Windows a la hora de procesar paquetes ICMPv6 de informaci�n de ruta. Esto podr�a permitir a un atacante remoto ejecutar c�digo arbitrario si env�a paquetes ICMPv6 especialmente manipulados a la v�ctima. Por �ltimo, la actualizaci�n tambi�n corrige un fallo en la implementaci�n de la pila TCP/IP de Windows a la hora de procesar paquetes TCP SACK especialmente manipulados. Esto podr�a permitir a un atacante remoto provocar una denegaci�n de servicio si env�a paquetes SACK especialmente manipulados a la v�ctima. Los problemas afectan a Windows Vista y Windows Server 2008. Se recomienda actualizar los sistemas afectados mediante Windows Update o descargando los parches seg�n versi�n desde la p�gina del bolet�n de seguridad.

Boletines de seguridad de Microsoft en febrero

Tal y como adelantamos, este martes Microsoft ha publicado trece boletines de seguridad (del MS10-003 al MS10-015) correspondientes a su ciclo habitual de actualizaciones. Seg�n la propia clasificaci�n de Microsoft cinco de los boletines presentan un nivel de gravedad "cr�tico", siete son clasificados como "importantes" y el restante se considera "moderado". En total se han resuelto 25 vulnerabilidades, una de ellas reportada por Hispasec. Los boletines "cr�ticos" son: * MS10-006: Actualizaci�n para corregir dos vulnerabilidades en el cliente SMB que podr�an permitir la ejecuci�n remota de c�digo si un atacante env�a una respuesta SMB especialmente creada a una petici�n de cliente SMB. Afecta a Microsoft Windows 2000, Windows XP, Windows Server 2003, Windows Vista, Windows Server 2008 y Windows 7. * MS10-007: Actualizaci�n destinada a corregir una vulnerabilidad en el controlador del shell de Windows que podr�a permitir la ejecuci�n remota de c�digo arbitrario, el problema reside en la validaci�n incorrecta de la entrada enviada a la funci�n de la API ShellExecute. Afecta a Microsoft Windows 2000, Windows XP y Windows Server 2003. * MS10-008: Se trata de una actualizaci�n de seguridad acumulativa de bits de interrupci�n de ActiveX que adem�s corrige una vulnerabilidad de ejecuci�n remota de c�digo en el control ActiveX de Microsoft Data Analyzer. Afecta a Microsoft Windows 2000, Windows XP, Windows Server 2003, Windows Vista, Windows Server 2008 y Windows 7. * MS10-009: Bolet�n destinado a corregir cuatro vulnerabilidades en TCP/IP de Windows podr�an permitir la ejecuci�n remota de c�digo, la m�s grave de ellas podr�a permitir la ejecuci�n remota de c�digo si se env�an paquetes especialmente dise�ados a un equipo con IPv6 habilitado. Afecta a Microsoft Windows Windows Vista y Windows Server 2008. * MS10-013: Actualizaci�n destinada a corregir una vulnerabilidad en Microsoft DirectShow relacionada con la forma en que se analizan los archivos AVI. Esta vulnerabilidad podr�a permitir la ejecuci�n remota de c�digo arbitrario si un usuario abre un archivo AVI especialmente creado. Afecta a Microsoft Windows 2000, Windows XP, Windows Server 2003, Windows Vista, Windows Server 2008 y Windows 7. Los boletines clasificados como "importantes" son: * MS10-003: Actualizaci�n que soluciona una vulnerabilidad en Microsoft Office que podr�a permitir la ejecuci�n remota de c�digo si un usuario abre un archivo de Office especialmente dise�ado. Afecta a Microsoft Office XP y Microsoft Office 2004 para Mac. * MS10-004: Actualizaci�n que soluciona seis vulnerabilidades en Microsoft Office PowerPoint, que podr�an permitir la ejecuci�n remota de c�digo si un usuario abre un archivo Power Point especialmente creado. Afecta a Microsoft Office XP, 2003 y Microsoft Office 2004 para Mac. MS10-010: Actualizaci�n destinada a corregir una vulnerabilidad en Windows Server 2008 Hyper-V, que podr�a permitir provocar una denegaci�n de servicio si un usuario ejecuta una secuencia especial de instrucciones con formato incorrecto en una de las m�quinas virtuales invitadas que hospede el servidor Hyper-V. * MS10-011: Actualizaci�n destinada a solucionar una vulnerabilidad elevaci�n de privilegios a trav�s del subsistema de tiempo de ejecuci�n de cliente-servidor de Windows (Client/Server Run-time Subsystem, CSRSS). Esta vulnerabilidad fue reportada por Matthew "j00ru" Jurczyk y Gynvael Coldwind, de Hispasec. * MS10-012: En este bolet�n se ofrece una actualizaci�n para resolver cuatro vulnerabilidades en el servidor SMB, la m�s grave de ellas podr�a permitir la ejecuci�n remota de c�digo si un atacante env�a a un sistema afectado un paquete SMB especialmente dise�ado. Afecta a Microsoft Windows 2000, Windows XP, Windows Server 2003, Windows Vista, Windows Server 2008 y Windows 7. * MS10-014: En este bolet�n se corrige una vulnerabilidad de denegaci�n de servicio en las implementaciones de Kerberos. * MS10-015: Esta actualizaci�n de seguridad resuelve dos vulnerabilidades en el kernel de Windows. Afecta a Windows 2000, Windows XP, Windows Server 2003, Windows Vista y Windows Server 2008 Por �ltimo, la vulnerabilidad considerada como "moderada": * MS10-005: Actualizaci�n publicada para evitar una vulnerabilidad de ejecuci�n remota de c�digo en Microsoft Paint si un usuario visualiza con este programa un archivo JPEG especialmente manipulado. Afecta a Microsoft Windows 2000, Windows XP y Windows Server 2003. Las actualizaciones publicadas pueden descargarse a trav�s de Windows Update o consultando los boletines de Microsoft donde se incluyen las direcciones de descarga directa de cada parche. Dada la gravedad de las vulnerabilidades se recomienda la actualizaci�n de los sistemas con la mayor brevedad posible.

Desconfianza antivirus

Citando a Fito y Fitipaldis "no es porqu� digas la verdad, es porqu� nunca me has mentido", la raz�n por la que conf�o en t�. Aunque en principio la frase pueda parecer un tanto redundante, la diferencia es m�s que sutil. Algo parecido est� ocurriendo estos d�as en la industria antivirus tras la publicaci�n de unas pruebas llevadas a cabo por Kaspersky, donde demostrar�an que otro motores antivirus "copian" sus resultados. Nada nuevo bajo el sol. Como ya hemos comentado con anterioridad en una-al-dia, y es bien conocido dentro de la industria antivirus, los laboratorios se vigilan entre s� y tienen en cuenta los resultados de la competencia durante sus an�lisis. Normal y l�gico. El problema viene dado cuando se dejan llevar en exceso por los resultados de terceros, especialmente en el caso de los falsos positivos (cuando alguien por error detecta como malware un software leg�timo y el resto le sigue). Kaspersky ha querido ir un paso m�s all� en esta problem�tica y present� a los medios una prueba de concepto realizada para la ocasi�n. B�sicamente, gener� unos ejecutables inofensivos y los incluy� en su base de firmas para detectarlos como si fueran malware. A continuaci�n los envi� a VirusTotal esperando que fueran distribuidos y esper� la reacci�n del resto de laboratorios antivirus. El resultado es que algunos motores comenzaron a incluir tambi�n firmas para detectar esos ficheros como malware. Esta prueba de concepto ha sido motivo de discusi�n entre la propia industria antivirus, algunos ven una campa�a de marketing y desprestigio a la competencia, otros una interesante demostraci�n y toque de atenci�n sobre esta problem�tica. Por un lado comprendo el cansancio de cualquiera que vea como terceros se aprovechan de su trabajo sin aparentemente aportar nada a cambio. Por otro lado, con la que est� cayendo, parece necesario que exista cierta colaboraci�n entre antivirus para hacer frente a la avalancha de malware, �sta es una guerra que no puede ganar ning�n laboratorio de forma individual. El posible efecto no deseado de la prueba de concepto de Kaspersky podr�a ser que creara desconfianza entre los propios laboratorios antivirus, que nadie se f�e de las detecciones del resto, con lo que finalmente ganan los malos y perdemos los usuarios. Como en muchos otros aspectos de la vida, la virtud suele estar en un punto intermedio. No parece �tico que un antivirus se alimente de las detecciones de terceros sin contar con recursos propios que le permita discernir entre lo que es malware y lo que, a todas luces, no lo es. Lo l�gico ser�a que las detecciones de terceros puedan ser un indicador m�s que los laboratorios pueden tener en cuenta en sus algoritmos para priorizar el estudio de muestras o como una variable m�s dentro de sus procesos para determinar si un fichero es malware o no, pero el mayor peso de esa decisi�n deber�a residir en recursos propios. Si todos los antivirus invirtieran sus esfuerzos en desarrollar tecnolog�a propia, seg�n sus posibilidades, y evitaran las pr�cticas de copia directa, se fomentar�a un entorno de colaboraci�n y confianza dentro de la propia industria antivirus que a d�a de hoy es, sencillamente, necesario. No est� en juego s�lo la confianza entre antivirus, sino en todo un modelo de protecci�n. La industria antivirus deber�a ser m�s corporativista y no ser tan cortoplazista en la b�squeda de resultados, deber�an trabajar en mejorar los resultados globales y la percepci�n del p�blico. El problema no es que la marca X o el producto Y no detecte un malware, sino que el usuario empieza a desconfiar de la capacidad de cualquier antivirus para afrontar el problema actual.

Mozilla distribuye (otra vez) plugins para Firefox infectados con malware desde el sitio oficial

En mayo de 2008 la Fundaci�n Mozilla distribuy� por error el plugin del idioma vietnamita para Firefox 2 infectado con adware. Aunque prometi� literalmente "analizar m�s a menudo sus archivos para evitar que esto vuelva a ocurrir" se acaba de descubrir que dos plugins infectados con malware para Windows han estado disponibles desde su p�gina oficial. La fundaci�n Mozilla ha informado que dos complementos "experimentales" para el navegador Firefox conten�an troyanos para Windows. En concreto, la versi�n 4.0 de Sothink Web Video Downloader y todas las versiones de Master Filer. Estaban infectados con LdPinch.gen y Bifrose respectivamente. Bifrose se trata de una peligrosa puerta trasera para Windows que suele comunicarse con UDP con su C&C (central de una botnet). LdPinch se trata de un troyano bancario con bastante solera (aparecido en 2003). Los troyanos infectan el sistema al arrancar el navegador tras la instalaci�n de los complementos para Firefox. Si el usuario no ha tomado ninguna precauci�n (utilizar una cuenta sin privilegios de administrador, o usar un antivirus actualizado, aunque esto �ltimo no garantiza nada) lo m�s probable que el sistema quede infectado. La propia Mozilla informa de que los antivirus Antiy-AVL, Avast, AVG, Gdata, Ikarus, K7AntiVirus, McAfee, Norman y VBA32 detectan este tipo de malware de forma directa, aunque esto no significa que otras marcas sean capaces de reconocer el malware por comportamiento, o gracias a su heur�stica, por lo que realmente no podemos conocer qu� otros antivirus han podido bloquear la infecci�n. Evidentemente, los complementos son solo el veh�culo de infecci�n, y desinstalarlos no implica la eliminaci�n del troyano del sistema. Para prevenir que esto vuelva a pasar, Mozilla dice que ha a�adido dos herramientas adicionales de detecci�n de malware, y que volvieron a analizar todos los complementos (de hecho, as� detectaron que Sothink Web Video Downloader tambi�n estaba infectado). Es la segunda vez que Mozilla tropieza con la misma piedra, a�adiendo complementos infectados en su p�gina oficial. La primera vez que se hizo p�blico fue en mayo de 2008. Como dijo Window Snyder (responsable de seguridad de Mozilla) en aquella ocasi�n "estas cosas pasan". Master Filer ha sido descargado unas 600 veces desde septiembre de 2009 y enero de 2010. Sothink Web Video Downloader se ha descargado unas 4.000 veces desde febrero a mayo de 2008. Master Filer fue eliminado del repositorio oficial el 25 de enero de 2010 y la versi�n afectada de Sothink Web Video Downloader el 2 de febrero de este a�o. Resulta "curioso" que se hayan percatado de este problema muchos meses despu�s de la infecci�n, y cu�ntos meses han tardado en retirar los componentes. Hay que tener en cuenta que cuando ya sucedi� en 2008, prometieron an�lisis diarios de los complementos. Los sistemas antivirus o cualquier otra medida tomada por Mozilla contra el malware, han resultado claramente insuficientes o ineficaces. En general, cualquier antivirus resulta insuficiente o ineficaz por s� solo, si no es acompa�ado de otras medidas de seguridad. Las conclusiones vienen a ser las mismas que escrib�amos hace a�o y medio. Confiar exclusivamente en la detecci�n en un momento concreto, y no analizar los archivos con (mucha) mayor asiduidad, ha supuesto el mayor error por parte de la Fundaci�n Mozilla. Hoy en d�a las firmas pueden tardar meses, como ha sido el caso, en ser a�adidas y poder detectar (de forma est�tica) un archivo infectado. No sabemos qu� m�todos usa Mozilla para analizar sus archivos, pero el a�adir dos nuevos m�todos antivirus puede mitigar el problema aunque no tiene por qu� solucionarlo. Otra lecci�n importante es que no hay que relajarse por pensar que solo los archivos ejecutables o binarios son susceptibles de estar infectados o de ser espec�ficamente malware.

Microsoft publicar� 13 parches el pr�ximo martes

En su ciclo habitual de actualizaciones los segundos martes de cada mes, Microsoft ha anunciado que en esta ocasi�n se esperan 13 boletines de seguridad. Afectan a toda la gama del operativo Windows, y pueden contener un n�mero indeterminado de vulnerabilidades, aunque est� programado corregir 26 vulnerabilidades. Microsoft tampoco soluciona en esta tanda ni el grave fallo en IIS descubierto hace semanas, ni otro problema en el protocolo SMB. S� que corregir� al menos el problema de elevaci�n de privilegios revelado recientemente. Si en enero se public� solo un bolet�n de seguridad dentro del ciclo habitual, este mes Microsoft prev� publicar 13 el pr�ximo 9 de febrero. Se consideran cr�ticos cinco de ellos, siete importantes y uno moderado. El d�a 21 de enero se public� un bolet�n "adelantado" para corregir un grave fallo en Internet Explorer. Adicionalmente, y como viene siendo habitual, Microsoft publicar� una actualizaci�n para Microsoft Windows Malicious Software Removal Tool. Adem�s, se publicar�n actualizaciones de alta prioridad no relacionadas con la seguridad. En octubre de 2009 Microsoft public� tambi�n 13 boletines de seguridad (el mayor n�mero de boletines publicados en su ciclo habitual), pero en aquella ocasi�n correg�a 34 vulnerabilidades diferentes. En los �ltimos 5 a�os, Microsoft ha publicado 13 boletines solo dos veces y 12 boletines en cuatro ocasiones. �ltimamente, su media est� en 5 � 6 boletines por tanda, pero con grandes oscilaciones (meses de pocos boletines seguidos de ciclos con un gran volumen de vulnerabilidades). IIS no aparece como uno de los productos sobre los que aplicar parche este martes, por lo que Microsoft confirma que en esta tanda tampoco cerrar� el grave problema en IIS encontrado a mediados de diciembre, y que permite ejecuci�n remota de c�digo ASP en Internet Information Server 6.x de forma trivial. Tampoco corregir� un fallo en SMB que permite provocar una denegaci�n de servicio en el sistema, y que reconoci� el 13 de noviembre. Al menos, parece que el grave problema de elevaci�n de privilegios que sacudi� a Microsoft a mediados de enero ser� corregido en esta tanda. Esta vulnerabilidad constituye un grave problema para compa��as que utilicen el soporte para aplicaciones de 16 bits, puesto que la �nica forma de prevenirla eficazmente es deshabilitar esta propiedad del sistema. En este sentido, Microsoft parece haber trabajado duro para publicar un parche lo antes posible. Los parches anunciados est�n sujetos a cambios, por tanto, no se garantiza que no se produzcan cambios de �ltima hora. Hispasec Sistemas publicar� puntualmente a trav�s de este bolet�n informaci�n detallada sobre los nuevos parches.

Vulnerabilidad en Internet Explorer permite el acceso a archivos locales

Microsoft ha publicado un aviso de seguridad para informar sobre una nueva vulnerabilidad en Internet Explorer (versiones 5.01, 6, 7 y 8) que podr�a permitir a un atacante remoto acceder a cualquier archivo de los sistemas afectados. Las versiones afectadas son Internet Explorer 5.01 y 6 en Windows 2000 SP4 y las versiones 6,7 y 8 de Internet Explorer bajo Windows XP SP2, SP3 y Windows Server 2003 SP2. Hay que se�alar que Internet Explorer 7 o posterior en Windows Vista o posterior no es vulnerable a este problema (salvo que se haya desactivado expresamente el modo protegido del navegador). El fallo reside en que p�ginas web maliciosamente creadas para explotar esta vulnerabilidad (a trav�s del protocolo file://), podr�an permitir al atacante acceder a los ficheros del sistema afectado con los mismos permisos que el usuario bajo el que se est� ejecutando el navegador. Es importante destacar que el atacante debe conocer el nombre y ruta espec�ficos del archivo al que quiere acceder y forzar a que se renderice el contenido de esos archivos desde una web que la v�ctima debe visitar. De esta forma el atacante tendr� acceso a los ficheros. Microsoft se encuentra investigando el problema y actualmente no se ha publicado actualizaci�n de seguridad para evitar esta vulnerabilidad. Si bien existen recomendaciones que pueden mitigar los efectos del problema, como habilitar el modo protegido en Internet Explorer, configurar el nivel de seguridad Alto en la Zona Internet y la recomendaci�n habitual de utilizar cuentas de usuario limitadas.

Apple publica actualizaci�n de seguridad para iPhone e iPod Touch

Aplica acaba de publicar una actualizaci�n (a la versi�n 3.1.3) de los populares iPhone e iPod Touch destinada a corregir cinco vulnerabilidades que podr�an llegar a permitir la ejecuci�n de c�digo arbitrario en los dispositivos afectados. El primero de los problemas corregidos est� relacionado con el tratamiento de archivos mp4 espec�ficamente creados, que podr�a dar lugar a un desbordamiento de b�fer con posibilidad de ejecuci�n de c�digo arbitrario al reproducir un archivo de este formato. Otro desbordamiento de b�fer con posibilidad de ejecuci�n de c�digo arbitrario se produce al visualizar im�genes tiff maliciosamente creadas. Un tercer problema en el tratamiento de mensajes de control de USB, podr�a permitir acceder al contenido de los datos del usuario en dispositivos bloqueados. Tambi�n se ha corregido un problema al acceder a servidores ftp espec�ficamente manipulados, que podr�a dar lugar a divulgaci�n de informaci�n, al cierre de la aplicaci�n o a la ejecuci�n de c�digo arbitrario. El �ltimo de los problemas corregidos podr�a permitir la carga de audio y video en el correo cuando la carga de im�genes remotas se encuentre deshabilitada. Esta actualizaci�n tambi�n corrige otros problemas menores como un error en el indicador de carga de la bater�a en los modelos 3GS, problemas con la apertura de determinadas aplicaciones de terceros y un problema que produce cuelgues inesperados cuando se utiliza el teclado Kana japon�s. Se recomienda actualizar a trav�s de iTunes, ya que es el �nico lugar donde se encuentra disponible �sta actualizaci�n.

Actualizaci�n del kernel para Red Hat Enterprise Linux 4

Red Hat ha publicado una actualizaci�n del kernel de Red Hat Enterprise Linux 4 que solventa cinco vulnerabilidades que podr�an ser aprovechadas por un atacante para provocar denegaciones de servicio, saltarse determinadas protecciones de seguridad, cambiar el comportamiento de controladores y hasta ejecutar c�digo arbitrario. Los problemas corregidos son: * Un error al procesar el argumento "eindex" de la funci�n "gdth_read_event" en "drivers/scsi/gdth.c". Un atacante local podr�a aprovechar este problema para causar una denegaci�n de servicio y, potencialmente, elevar privilegios a trav�s de una llamada IOCTL especialmente manipulada. * Otro problema reside en la funci�n "collect_rx_frame" del fichero "hfc_usb.c". Esto podr�a se aprovechado por una atacante local para ejecutar c�digo arbitrario con privilegios de superusuario a trav�s de un paquete "HDLC" especialmente manipulado. * Dos de las vulnerabilidades se presentan en los permisos asignados a ciertos atributos expuestos por el driver "megaraid_sas" en "sysfs". Un atacante local podr�a elevar privilegios a trav�s de la modificaci�n de atributos del driver "megaraid". * Por �ltimo, un error de l�mites en la funci�n "hfs_bnode_read" localizada en el fichero "fs/hfs/bnode.c" podr�a causar un desbordamiento de memoria intermedia. Un atacante local podr�a llegar a ejecutar c�digo arbitrario a trav�s de un archivo HFS especialmente manipulado. Adem�s se han solucionado otros fallos de menor importancia. Se recomienda actualizar a trav�s de las herramientas autom�ticas up2date.

�Su empresa necesita contratar un Data Center?

Mucho se dice acerca de los servicios que se ofrecen en un Data Center y de la importancia que tiene para una empresa contar con un proveedor serio, que brinde soluciones en tiempo y forma pero �c�mo puede determinar una pyme si se justifica o no contratar uno? Claro est� que siempre est� la opci�n de manejar estos temas desde su propia empresa. En tal caso, deber�a acondicionar una oficina dentro de sus instalaciones para tal fin, aunque de todas maneras las diferencias entre la propia empresa y un data center son notorias: disposici�n f�sica, seguridad, redundancia el�ctrica, y mecanismos de conexi�n a Internet, son par�metros a considerar. En una oficina, por lo general, los equipos est�n alojados en una salita o lugar de paso, se apoyan sobre el piso o una mesa y no poseen una refrigeraci�n especial, sino que comparte la del resto de los ambientes. Tampoco tiene ductos separados de cableado UTP y tensi�n el�ctrica. En lo edilicio, el datacenter tiene conexiones a Internet de alta velocidad, condiciones de temperatura, humedad y suministro el�ctrico regulado. Es un �mbito pensado para alojar equipos de computaci�n y garantizar su permanente funcionamiento. Posee canales diferenciados de cableado a los servidores. Otro punto importante es el nivel de seguridad f�sica de los equipos. En la oficina, cualquier empleado tiene acceso a esta sala; la misma est� menos protegida ante accidentes tales como robo, ca�das, golpes e incendios, entre otros, lo que puede generar la p�rdida del contenido o de su back up. Tambi�n hay mayor exposici�n a la suciedad del ambiente, ya que no se encuentran en una atm�sfera controlada. En cambio, el data center, posee control de accesos, c�maras y seguridad f�sica. Se trata de un lugar sumamente monitoreado, con sensores de humo, filtros para absorber part�culas en el aire, y en un ambiente limpio. Otra diferencia: en el cuarto de telecomunicaciones no suele haber bater�as que anticipen un corte de luz, y se dispone de una sola conexi�n a Internet. Sin embargo, el valor que se paga por �sta, duplica o triplica el costo de la misma capacidad de acceso de la web a trav�s de un data center. En �ste, suele haber bater�as y UPSs, adem�s de fases el�ctricas redundantes y generadores el�ctricos. La conectividad que ofrece es de alta velocidad, por fibra �ptica. Y, otra de las diferencias esenciales es que en un data center se monitorea el funcionamiento de los equipos y de la red, en la modalidad 7�24. Adem�s, ofrecen servicios redundantes, es decir, que se garantiza que la conexi�n no ser� interrumpir� bajo ning�n aspecto. Establecida la diferencia, �c�mo saber si su pyme necesita o no contratar un data center? Alejandro Pelloni, Gerente de Servicios Tecnol�gicos de IBM Argentina, resume: Algunas de las situaciones que suelen presentar las pymes que necesitan estos servicios son: Necesidad de cambios o actualizaci�n de la infraestructura existente que requieren inversiones y no tienen la posibilidad de afrontarlas; Necesidad de optimizar o variar su estructura de costos para encarar nuevos proyectos o situaciones de mercado; Problemas operativos por falta de recursos especializados (bases de datos, SAP, aplicativos espec�ficos); o problemas de infraestructura de los Data Center propios tales como seguridad f�sica vulnerable; Cortes de energ�a por falta de UPS o redundancia; Aire acondicionado deficiente, o falta de espacio, entre otros�. N�stor D. Rejas, Gerente de pymes de Telecom, comenta que �para las pymes, el modelo de Data Center es el de tercerizaci�n porque le sirve para ganar econom�a de escala sin tener que montar un �rea de Informaci�n Technology y, para ello comprar hardware, software, administrarlo y montar un lugar acondicionado para tal fin�. Seg�n el ejecutivo, a una empresa le es conveniente el outsourcing de informaci�n por varios motivos: Para focalizarse en el propio negocio; Para resguardar informaci�n relevante de la empresa; Para lograr continuidad del negocio/operaci�n 7 x 24 x 365; y Para estar siempre actualizados sin mayores costos. Los entrevistados coinciden en que son muchas las peque�as y medianas empresas que acuden a los servicios que ofrece un Data Center. Seg�n Pelloni, los m�s solicitados por este tipo de organizaci�n tienen que ver con los servicios de hosting de SAP, hosting de aplicaciones web, housing de equipos con servicios b�sicos de operaci�n y tercerizaciones completas del �rea de IT. Los precios var�an de acuerdo al tipo de servicio y la cantidad de equipos involucrados, y el presupuesto se dise�a una soluci�n acorde a las necesidades de cada cliente. Por su parte, Rejas comenta que cada vez hay m�s consultas sobre Hosting y Servidores Virtuales. �Un Servidor Virtual cuesta desde U$S 150 mensuales, y el cliente no tiene que comprar el equipo, por lo que evita la inversi�n inicial, amortizaciones, y costo por obsolescencia. Mientras que el Housing de un servidor cuesta u$s 150, a lo que hay que adicionar el costo del servidor (aproximadamente u$s 6000) y la conectividad�, detalla. A la hora de elegir a un proveedor, Pelloni aconseja a las pymes optar por una empresa que tenga experiencia y pueda brindar un amplio rango de servicios de modo de soportar cualquier requerimiento de negocio del cliente. �Esto le permitir� a la pyme asegurar la flexibilidad necesaria para acompa�ar las necesidades del negocio�, dice. El ejecutivo destaca que actualmente existen certificaciones asociadas a los procesos relacionados con la provisi�n de este tipo de servicios, como la eSCM for SP nivel 5, que no hacen m�s que asegurar el nivel de Calidad de los servicios que se prestan. �Cu�l es el beneficio, entonces, de contratar un Data Center? Muchas se han ido desgranando a lo largo de esta nota: poder abocarse al core de su empresa, no requerir personal especializado, destinar su capital a otro tipo de inversiones, crecer en econom�a de escala, ahorro de costos, incremento de calidad, conectividad 7�24, soluciones para la crisis energ�tica, servicios adicionales como backup y soporte a distancia son algunos de los que desequilibran la balanza. Se trata se ser objetivos, y en este caso, la objetividad pasa por reconocer la contundencia de los argumentos a favor de la tercerizaci�n. Por que dejar en manos de terceros aquello en lo que no somos expertos, puede ser una se�al de sabidur�a.

Ipad, nuevo dispositivo t�ctil de Apple

Ipad, es el �ltimo lanzamiento de un dispositivo e Apple con el que navegar por la web, leer y enviar emails y disfrutar de opciones multimedia como ver fotos, v�deos, mapas o leer e-books. El Ipad, con un grosor de 13,4 mm y 680 gramos de peso, es m�s delgado y ligero que un netbook, incluye 12 nuevas e innovadoras aplicaciones dise�adas especialmente para �l y gracias a la interfaz Multi-Touch hace que navegar la web o enviar emails sea una experiencia m�s interactiva. Entre las caracter�sticas del nuevo Ipad destaca procesador A4 que funciona con una frecuencia de 1 Ghz, pantalla multit�ctil de 9,7 pulgadas, 16, 32 o 64 GB de memoria, Wifi compatible con 802.11n, 3G opcional, bateria que proporciona una autonom�a de 10 horas, teclado virtual a tama�o casi completo, y compatibilidad con casi la totalidad de las m�s de 140.000 apps disponibles en la App Store. Entre los deficits del nuevo Ipad, se�alar que carece de posibilidad de conectar dispositivos por USB, cambiar la bater�a, ver videos en Flash, asi como que no tiene funciones de tel�fono ni dispone de c�mara. Apple ha confirmado que el Ipad estar� disponible en Estados Unidos a finales de marzo a un precio recomendado de 499 d�lares. M�s informaci�n sobre Ipad, el nuevo dispositivo t�ctil de Apple, desde www.apple.com

Actualizaci�n de seguridad para Apple Mac OS X

Apple ha lanzado recientemente una nueva actualizaci�n de seguridad para su sistema operativo Mac OS X versiones 10.5.8 y 10.6.2 que solventa 12 vulnerabilidades que podr�an ser aprovechadas por un atacante local o remoto con diversos efectos. Esta es la primera gran actualizaci�n del a�o (con el c�digo 2010-001). Los componentes y software afectados son: CoreAudio, CUPS, Flash Player plug-in, ImageIO, ImageRAW y OpenSSL. Las actualizaciones pueden ser instaladas a trav�s de la funcionalidad de actualizaci�n (Software Update) de Mac OS X o, seg�n versi�n y plataforma, descarg�ndolas directamente desde: http://support.apple.com/downloads/

Actualizaci�n de seguridad para Real Player

RealNetworks ha publicado actualizaciones de Real Player 10 y 11 en plataformas Windows, Mac y Linux debido a que se ve afectado por hasta once vulnerabilidades de seguridad. Las vulnerabilidades corregidas consisten en diferentes desbordamientos de b�fer en distintos puntos del reproductor: en el ASM Rulebook, en un archivo GIF, en la codificaci�n de bloque http, en el procesamiento de archivo IVR, en el por c�dec SIPR, en el an�lisis de SMIL o en el tratamiento de temas (skins) entre otros. RealNetworks ha publicado versiones actualizadas del reproductor disponibles para descarga desde: Para Windows XP, Vista o Windows 7: http://client-software.real.com/free/windows/installer/stubinst/stub/rp12/R51ESR/RealPlayerSPGold_es.exe Para RealPlayer Enterprise: http://www.realnetworks.com/support/login.html Para Mac OS X: http://spain.real.com/realplayer/mac/?lang=es Para Linux: http://www.real.com/linux

Microsoft conoc�a el fallo de Internet Explorer desde hace cinco meses.

Tras la grave vulnerabilidad detectada en Internet Explorer, y que tanto ha dado que hablar en los �ltimos d�as, Microsoft ha publicado una actualizaci�n para su navegador fuera de ciclo destinada a corregir este problema. Para a�adir m�s pol�mica a todo lo tratado, Microsoft ha reconocido que conoc�a la existencia de este fallo desde hace cinco meses. Sin ser el segundo martes de mes, Microsoft acaba de publicar un bolet�n de seguridad (con identificador MS10-002). Debido a su gravedad, los fallos podr�an ser aprovechados por un atacante remoto para ejecutar c�digo arbitrario y comprometer por completo un sistema vulnerable. La actualizaci�n para Internet Explorer, acumulativa como suele ser habitual en las actualizaciones del navegador, est� destinada a cubrir un total de ocho vulnerabilidades, si bien no todas son de car�cter cr�tico ni afectan a todas las versiones del navegador. La gravedad de las vulnerabilidades var�a en funci�n de la versi�n del navegador y plataforma Windows sobre la que corre. La raz�n de la publicaci�n del bolet�n fuera de ciclo es debido a la vulnerabilidad del navegador, de la que ya hablamos en un bolet�n anterior y que estaba siendo explotada de forma activa. Este fallo ya conocido como "Aurora" (asignado al CVE-2010-0249), junto con otras cinco vulnerabilidades, son de naturaleza similar y en muchos casos pueden permitir la ejecuci�n remota de c�digo. Pero lo m�s pol�mico puede surgir tras el reconocimiento por la propia firma de Redmond de que conoc�a de la existencia del fallo empleado en los ataques contra Google y Adobe (entre otras) desde el pasado mes de agosto. Meron Sellen, un investigador de la firma israel� BugSec, hab�a reportado el fallo el pasado mes de agosto y la propia Microsoft confirm� su gravedad en septiembre. Otros fallos similares corregidos en esta actualizaci�n tambi�n hab�an sido reportados a Microsoft hace seis meses por Zero Day Initiative. Microsoft ten�a planeada la distribuci�n de este bolet�n para su ciclo habitual de actualizaciones de febrero, sin embargo los ataques han obligado a adelantar su publicaci�n. Las otras dos vulnerabilidades corregidas son un cross-site scripting y una vulnerabilidad de validaci�n de URLs que tambi�n podr�a dar lugar a la ejecuci�n remota de c�digo a trav�s de una URL maliciosamente construida.

Grave vulnerabilidad en Windows permite elevar privilegios

Se han publicado los detalles de una grave vulnerabilidad en todas las versiones de Windows que permite elevar privilegios en el sistema. No existe parche disponible y el exploit est� al alcance de cualquiera, lo que lo convierte en un serio "0 day" para Microsoft. Tavis Ormandy, reputado investigador de seguridad que ha encontrado numerosos fallos de seguridad en diferentes programas, ha publicado un exploit para una vulnerabilidad que permite elevar privilegios en Windows. Se trata de un fallo de dise�o que arrastran todos los Windows de 32 bits (basados en tecnolog�a NT) desde 1993. Esto va desde el NT hasta Windows 7, pasando por 2000, 2003, 2008, XP y Vista. El fallo reside en el soporte heredado de aplicaciones de 16 bits. No se valida correctamente el cambio de contexto y pila que se efect�a al llamar al manejador GP trap. Windows comete algunos errores y asume incorrectamente que: * Se requiere el privilegio SeTcbPrivilege para configurar un contexto VDM (Virtual DOS Machine) . * C�digo en ring3 no puede instalar selectores de segmento de c�digo arbitrarios. Usando el modo Virtual-8086, es posible. * C�digo alojado en el ring3 (espacio de usuario) no puede falsificar un "trap frame". Ormandy consigue eludir estas cuestiones, y el resultado es que un usuario puede realizar un cambio de contexto en el n�cleo y ejecutar c�digo como SYSTEM, el m�ximo privilegio en el sistema. Para eludir el tercer punto, se necesita acceder a una direcci�n de memoria, que es siempre la misma en todos los Windows menos Vista y Windows 7 que realizan una "aleatorizaci�n" de la carga en memoria. Se supone que esto protege de este tipo de ataques. Sin embargo, usando NtQuerySystemInformation(), se puede llegar a calcular d�nde est� esa direcci�n aunque sea diferente en cada inicio, con lo que la protecci�n ASLR (Address space layout randomization) tambi�n se ve eludida. Ormandy avis� a Microsoft en junio de 2009, y poco despu�s confirmaron el problema. Harto de que no publicasen una soluci�n (que considera no muy compleja), ha decidido hacer p�blico el fallo. �l mismo entiende que esta vulnerabilidad afecta de forma m�s seria a empresas y corporaciones que mantienen a sus usuarios con privilegios limitados. Por desgracia, la mayor�a de usuarios caseros utilizan ya la cuenta de administrador en su Windows (no tan poderosa como SYSTEM, pero equivalente a efectos pr�cticos) para tareas cotidianas, con lo que la elevaci�n de privilegios no suele ser un requisito en los ataques. El exploit ha sido probado y funciona a la perfecci�n. La buena noticia es que es relativamente sencillo mitigar el problema. Incluso ha publicado v�deos en Youtube de c�mo hacerlo, destinados principalmente a administradores. Evitar el fallo implica deshabilitar el soporte para aplicaciones de 16 bits, que se supone no ser� ning�n problema para la mayor�a de usuarios. Los pasos son los siguientes: Desde la consola de pol�ticas (gpedit.msc) abrir "Configuraci�n de equipo", "Plantillas administrativas", "Componentes de Windows", "Compatibilidad de aplicaci�n" y habilitar la pol�tica "Impedir el acceso a aplicaciones de 16 bits". Es importante asegurarse de que es aplicada a los sistemas que dependen del controlador de dominio, forzando una actualizaci�n de pol�ticas. Los v�deos publicados con c�mo realizar esto (en ingl�s) desde la consola de pol�ticas y aplicarlo a todos los clientes de un Directorio Activo est�n disponibles desde: Windows Server 2003: http://www.youtube.com/watch?v=XRVI4iQ2Nug Windows Server 2008: http://www.youtube.com/watch?v=u8pfXW7crEQ Para Windows XP: http://www.youtube.com/watch?v=u7Y6d-BVwxk Para sistemas m�s antiguos, NT4, aqu� se explica c�mo deshabilitar esta funcionalidad: http://support.microsoft.com/kb/220159 Este es un grave rev�s para Microsoft. Si los administradores quieren mantener su red de usuarios controladas hasta que exista parche oficial, se recomienda aplicar esta soluci�n temporal lo antes posible.

Recomendaciones de los gobiernos alem�n y franc�s sobre navegadores

Es noticia en todos los medios que el gobierno alem�n y franc�s han recomendado no usar Internet Explorer como navegador, a ra�z de los ataques perpetrados (supuestamente) desde el gobierno Chino contra Google aprovechando una vulnerabilidad desconocida del navegador de Microsoft. Realmente esta recomendaci�n no supone nada novedoso viniendo del gobierno alem�n, que ya en 2008 desaconsej� el uso del navegador Chrome, por ejemplo. Pero si la intenci�n es, con buen criterio, disuadir del uso temporal de programas con graves vulnerabilidades hasta que sean resueltas, la lista deber�a ser demasiado larga. Hace unos d�as Google reconoc�a en su blog oficial haber sido objeto de un ataque "altamente sofisticado" de origen chino sobre sus infraestructuras. Ten�an evidencias de que el objetivo final era la obtenci�n de informaci�n sobre activistas chinos para los derechos humanos. Los laboratorios de McAfee analizaron varias muestras de malware involucrado en los ataques. Descubrieron que uno de los ejemplares aprovechaba una vulnerabilidad desconocida hasta la fecha en Internet Explorer, que permite ejecutar c�digo arbitrario y que est� reconocida pero no solucionada oficialmente. Previamente, se especulaba con que una vulnerabilidad en Adobe Reader era el "veh�culo" usado para ejecutar c�digo en los sistemas de las v�ctimas. Si bien parece que tambi�n ha sido usado, se trata de vulnerabilidades ya conocidas que disponen de parche oficial, aunque no por ello menos graves. Ahora, la Oficina Federal para la Seguridad de la Informaci�n alemana mantiene candente el asunto. Recomienda no usar Internet Explorer. �Tan inseguro es el navegador para que un gobierno recomiende suspender su uso? El problema es que en estos momentos, sufre una vulnerabilidad que est� siendo aprovechada y para la que no hay parche. Es una situaci�n por la que han pasado no solo todos los navegadores, sino much�simas aplicaciones y sistemas operativos en alg�n momento de su historia. No es excusa, pero tampoco novedad. De hecho Internet Explorer ha vivido esta situaci�n en muchas otras ocasiones, por ser objetivo favorito de atacantes y por retrasos en la publicaci�n de soluciones. Una cuesti�n que llama la atenci�n, al margen de los enfrentamientos "ideol�gicos" sobre navegadores que suscitan este tipo de noticias, es que seg�n El Pa�s, el gobierno recomienda a los usuarios que busquen una alternativa al navegador Internet Explorer de Microsoft, "para garantizar su seguridad". Esta afirmaci�n es peligrosa, y puede llevar a equ�vocos. Evidentemente ning�n navegador "garantiza la seguridad" sino que en lo posible y dada la situaci�n (como siempre ocurre en seguridad) el uso de alternativas que no est�n siendo atacadas en estos momentos minimiza el riesgo. Pero tambi�n minimiza el riesgo (ahora y siempre) seguir usando Internet Explorer si se aprovechan y se entienden a las medidas de seguridad que implementa de serie, que en su versi�n 8 son numerosas y efectivas. Por su parte, el portavoz de Microsoft en Alemania, Thomas Baumgaertner, ha replicado que los ataques a Google fueron llevados a cabo por "personas muy motivadas y con unos fines muy espec�ficos". "No hubo ataques contra los usuarios comunes o los clientes de la firma. No hay amenazas para ellos, por eso no apoyamos esta recomendaci�n". Baumgaertner olvida que el exploit no ha tardado en hacerse p�blico, por tanto a d�a de hoy, cualquiera podr�a ser atacado. Lo coherente, en todo caso, es practicar la defensa en profundidad ante las amenazas. Ya sea con el navegador o cualquier sistema inform�tico, en todo momento. Se deben utilizar alternativas cuando exista un potencial riesgo mayor como el que ahora sufre el navegador de Microsoft, si es posible, pero no hay que relajarse por ello. No sabemos qu� programa, ni de qu� forma, puede estar siendo atacado en estos momentos Tampoco es la primera vez que el gobierno alem�n proh�be el uso de un navegador. A principios de septiembre de 2008 Google lanza su nuevo navegador Chrome. Una semana despu�s, Internet se inunda de comentarios sobre todos los aspectos de esta nueva aplicaci�n y en particular sobre su seguridad. Muchos comentarios, exploits, m�s exploits y aclaraciones despu�s, el gobierno alem�n desaconsej� expl�citamente el uso de este navegador. La Oficina Federal para la Seguridad de la Informaci�n alemana advirti� que resultaba arriesgado que los datos de un usuario fuesen acaparados por un �nico fabricante y desaconsej� abiertamente el uso del navegador Chrome en un importante informativo televisado. Muchos ven en estas reacciones del gobierno alem�n un movimiento m�s en contra de las grandes corporaciones americanas, que a favor de la seguridad de los usuarios. En cualquier caso, la recomendaci�n, temporal hasta que Microsoft corrija el problema, no debe ser desatendida. No es un mal criterio aconsejar el uso de alternativas cuando no exista soluci�n a un problema de seguridad.

0-day en Internet Explorer: Detr�s de los ataques a grandes compa��as

Hace unos d�as Google reconoc�a en su blog oficial haber sido objeto de un ataque "altamente sofisticado" de origen chino sobre sus infraestructuras. En su evaluaci�n de da�os declaraban el robo de propiedad intelectual y un ataque limitado sobre dos cuentas de correos de GMail, se�alando, que ten�an evidencias de que el objetivo final era la obtenci�n de informaci�n sobre activistas chinos para los derechos humanos. En la investigaci�n abierta descubrieron que alrededor de veinte grandes compa��as de varios sectores habr�an sido atacadas de manera similar, adem�s de docenas de cuentas de GMail que han estado siendo accedidas de forma il�cita durante cierto tiempo, relacionadas con activistas pro derechos humanos en China de varios continentes. Finalmente, se tiene noticia de que al menos 34 grandes firmas han sido objeto de estos ataques, entre las que se cuentan, adem�s de la misma Google: Yahoo, Symantec, Adobe, Northrop Grumman y Dow Chemical entre otras. McAffe y la "Operaci�n Aurora" Dentro del marco de investigaci�n conjunta de las compa��as afectadas y entidades p�blicas, los laboratorios de McAffe han analizado varias muestras de malware involucrado en los ataques. De esta forma descubrieron en uno de los ejemplares una vulnerabilidad desconocida en el navegador de Microsoft, Internet Explorer, que permite ejecutar c�digo arbitrario. En detalles sobre el ataque, McAffe sospecha que han sido planeados sobre objetivos muy concretos, en particular, personal con acceso a propiedad intelectual valiosa y con m�todos de ingenier�a social para garantizar el �xito de la infecci�n. Acerca del malware, utiliza un abanico de vulnerabilidades 0-day. En este punto, McAffe aclara que no han encontrado evidencias hasta el momento sobre un posible y nuevo 0-day en el lector de Adobe, tal como se ha estado especulando en los medios. Tras explotar una de estas vulnerabilidades instala un mecanismo de puerta trasera que permite a los atacantes acceder y controlar el equipo infectado. Respecto del medi�tico nombre de "Operaci�n Aurora", se debe a que el nombre "Aurora" aparece como parte en una ruta de archivo que McAffe hall� en dos de los binarios analizados y que presumiblemente, seg�n McAffe, ser�a el nombre con el que el atacante bautiz� la operaci�n. Microsoft y el 0-day Poco despu�s, la reacci�n de Microsoft no se hizo esperar y ha publicado un aviso de seguridad en el que confirma la existencia de un error en Internet Explorer. Que permite, bajo ciertas circunstancias, el control de un puntero tras la liberaci�n de un objeto. Est� vulnerabilidad puede ser aprovechada por un atacante remoto para ejecutar c�digo arbitrario a trav�s de una p�gina web especialmente manipulada para este fin. Las versiones afectadas son la 6, 7 y 8 en los sistemas operativos Windows 2000, XP, Vista, 7, Server 2003 y Server 2008.

Actualizaciones de seguridad para Adobe Reader y Acrobat

De acuerdo a su ciclo habitual de boletines de seguridad Adobe ha publicado una actualizaci�n para corregir ocho vulnerabilidades en Adobe Reader y Acrobat, que podr�an permitir a un atacante tomar el control de los sistemas afectados. Las problemas solucionados son de diversa �ndole y afectan a diferentes m�dulos de los productos vulnerables. Problemas en el tratamiento de punteros, de desbordamiento de b�fer, desbordamiento de enteros, inyecci�n de c�digo script o en la carga de dlls se traducen en m�ltiples fallos que podr�an permitir la ejecuci�n remota de c�digo arbitrario. Las vulnerabilidades se han confirmado en Adobe Reader 9.2 y Acrobat 9.2 para Windows, Macintosh y UNIX, y Adobe Reader 8.1.7 y Acrobat 8.1.7 para Windows y Macintosh. Dada la gravedad de los problemas, se recomienda la actualizaci�n de Adobe Reader y Acrobat desde: http://www.adobe.com/support/security/bulletins/apsb10-02.html

P2P distribuido y seguro

Buena parte de los protocolos P2P m�s utilizados a d�a de hoy mantienen un enfoque centralizado, bien impuesto por el propio protocolo, bien por iniciativas de la propia comunidad a la hora de recomendar y optimizar la compartici�n de contenidos. La nueva hornada de aplicaciones P2P apuestan por la descentralizaci�n y los filtros de recomendaciones. Pongamos como ejemplo BitTorrent. El cliente requiere descargarse un fichero .torrent que contiene informaci�n sobre el contenido solicitado y el servidor centralizado que est� coordinando la descarga del mismo. Una vez procesado el fichero .torrent, el cliente va solicitando al servidor la informaci�n sobre el resto de usuarios que est�n compartiendo y descargando ese mismo contenido, dando comienzo la compartici�n entre pares. La compartici�n del fichero se realiza en trozos seg�n una divisi�n del contenido original. El cliente ir� descargando trozos del fichero desde unos usuarios y a su vez pone a disposici�n los trozos descargados para enviarlos al resto de usuarios. La integridad de todas estas operaciones est� garantizada mediante el uso de hashes (SHA-1), evitando compartir trozos del fichero corruptos (voluntaria o involuntariamente). El enfoque centralizado de BitTorrent viene dado por: * necesita un servidor que coordine la descarga de contenidos (tracker) * es necesario un archivo .torrent para iniciar la descarga, normalmente disponible a trav�s de "p�ginas de descargas" que mantienen un �ndice de contenidos, aunque podr�a y es publicado y distribuido a trav�s de otros m�todos (e-mail, etc) * a mayor n�mero de usuarios descargando un mismo fichero coordinado desde un mismo servidor, m�s recursos compartiendo y potencial velocidad de descarga, y m�s garant�as de que se podr� completar la descarga (no dependencia de una �nica fuente o semilla) * el protocolo no ofrece al usuario final ninguna garant�a o m�todo sencillo de comprobaci�n sobre el contenido compartido en un .torrent (m�s all� de los hashes correspondientes y el t�tulo del fichero que puede ser falso, conocido como "fake"), por ello las p�ginas de descargas o foros de intercambio act�an como filtros de recomendaci�n y control de calidad (que el contenido se ajusta al t�tulo, caracter�sticas del mismo, etc), evitando as� contenidos inadecuados, en mal estado, o peligrosos (malware). Para evitar este tipo de dependencias las nuevas aplicaciones P2P est�n enfocando en el soporte y popularizaci�n de unas tecnolog�as ya existentes y conocidas: * la informaci�n que antes se manten�a en un servidor central se distribuye y gestiona entre los clientes participantes en la red. No es una tecnolog�a nueva, redes muy conocidas como Kad (e-mule), o los propios trackers distribuidos de torrents, hacen uso efectivo de las tablas de hashes distribuidas (DHT) o el Peer Exchange (PEX), permitiendo la comunicaci�n y coordinaci�n entre clientes sin la necesidad de un servidor centralizado. * no ser� necesario las p�ginas web de descarga que hospedan los archivos .torrent, se utiliza en su lugar los "magnet links". B�sicamente se trata de un enlace que hace referencia al contenido (mediante un hash) en vez de a la localizaci�n, es decir, el enlace no apunta a una direcci�n o servidor concreto, sino que tiene informaci�n sobre el fichero a localizar en la nube (en la red P2P). A trav�s de un "magnet link" se puede descargar el archivo .torrent sin saber de antemano la direcci�n donde est� hospedado, lo proporcionar� cualquier cliente de la red P2P que lo tenga. Tambi�n se abre la puerta al soporte de b�squeda de contenidos en redes distribuidas P2P mediante los buscadores tradicionales, sin necesidad de pasar por un servidor intermedio o p�gina web que act�e como contenedor del enlace. * el uso de DHT y PEX permite comunicarse y participar en la compartici�n de archivos a usuarios que hayan descargado el archivo .torrent sobre un mismo contenido desde diferentes localizaciones. Un servidor no coordina la descarga por grupos, sino que participa toda la red dotando al sistema de mayor garant�a y disponibilidad. * se est�n implementando sistemas de recomendaci�n basados en algoritmos de filtrado colaborativo e indicadores de reputaci�n. Al estilo de Spotify o Amazon, el cliente P2P realiza recomendaciones bas�ndose en el historial de descargas, adem�s permite compartir el historial o dar mayor relevancia a las opiniones de una red de contactos confiables (al estilo de las redes sociales). Adicionalmente se establecen indicadores de reputaci�n y valoraciones, de forma que penaliza a aquellos contenidos que no se ajusten a lo esperado y a los clientes que fomenten la introducci�n de "fakes" o malware. Este es uno de los puntos m�s dependientes de las actuales p�ginas de �ndices y foros de descargas, el control de calidad, y est� por ver si finalmente la comunidad logra autogestionarse en este sentido. Todo esta tecnolog�a se est� implantando de forma paulatina en clientes P2P ya conocidos, de hecho habr� usuarios que est�n utilizando de forma parcial alguna de estas t�cnicas sin ser conscientes de ello. Tambi�n est�n naciendo clientes P2P adaptados a este nuevas premisas, por ejemplo el caso de www.tribler.org, si bien aun no disponen de una masa cr�tica de usuarios como para obtener resultados similares al de otros clientes de mayor uso.

Actualizaci�n cr�tica para Adobe Illustrator

Adobe ha anunciado la publicaci�n de una actualizaci�n para corregir diversas vulnerabilidades cr�ticas en Adobe Illustrator CS4 (14.0.0) y Adobe Illustrator CS3 (13.0.3 y anteriores), tanto en plataformas Windows como Macintosh. Seg�n el anuncio oficial de Adobe se han corregido dos vulnerabilidades de desbordamiento de b�fer que podr�an permitir la ejecuci�n remota de c�digo arbitrario. Ambos fallos se producen por el tratamiento de datos de gran tama�o en archivos Postscript encapsulado (.eps). Adobe ha publicado actualizaciones para corregir el problema en todos los sistemas y plataformas afectadas, disponibles desde, http://www.adobe.com/support/security/bulletins/apsb10-01.html donde tambi�n se detallan los procedimientos de actualizaci�n en funci�n de la versi�n y sistema operativo.

Oracle publicar� 24 parches de seguridad el pr�ximo martes

Oracle informa que el pr�ximo martes lanzar� una serie de parches con el objetivo de corregir una larga lista de problemas de seguridad detectados en m�ltiples de sus productos. Oracle mantiene su pol�tica de lanzamiento de actualizaciones que durante el 2010 coincidir� con el de otros grandes fabricantes como Microsoft o Adobe. Los fallos se dan en varios componentes de los siguientes productos: * Oracle Database 11g, versi�n 11.1.0.7 * Oracle Database 10g Release 2, versiones 10.2.0.3, 10.2.0.4 * Oracle Database 10g, versi�n 10.1.0.5 * Oracle Database 9i Release 2, versiones 9.2.0.8, 9.2.0.8DV * Oracle Application Server 10g Release 3 (10.1.3), versiones 10.1.3.4.0, 10.1.3.5, 10.1.3.5.1 * Oracle Application Server 10g Release 2 (10.1.2), versi�n 10.1.2.3.0 * Oracle Access Manager versiones 7.0.4.3, 10.1.4.2 * Oracle E-Business Suite Release 12, versiones 12.0.4, 12.0.5, 12.0.6, 12.1.1 y 12.1.2 * Oracle E-Business Suite Release 11i, versi�n 11.5.10.2 * PeopleSoft Enterprise HCM (TAM), versiones 8.9 and 9.0 * Oracle WebLogic Server 10.0 hasta MP2, 10.3.0 y 10.3.1 * Oracle WebLogic Server 9.0 GA, 9.1 GA y 9.2 hasta 9.2 MP3 * Oracle WebLogic Server 8.1 hasta 8.1 SP6 * Oracle WebLogic Server 7.0 hasta 7.0 SP7 * Oracle JRockit R27.6.5 y anteriores (JDK/JRE 6, 5, 1.4.2) * Primavera P6 Enterprise Project Portfolio Management 6.1, 6.2.1 y 7.0 Primavera P6 Web Services 6.2.1, 7.0 y 7.0SP1 Las 24 correcciones se desglosan de la siguiente forma: * 10 afectan a Oracle Database entre los que se incluye una para corregir la vulnerabilidad de Oracle Secure Backup. Dos de estas vulnerabilidades pueden ser explotadas de forma remota sin autenticaci�n. Los componentes afectados son: Application Express Application Builder, Core RDBMS, Listener, Oracle Data Pump, Oracle OLAP, Oracle Secure Backup, Oracle Spatial y Oracle Universal Installer. * Tres nuevos parches de seguridad para el Servidor de Aplicaciones Oracle (Oracle Application Server). Todas estas vulnerabilidades pueden ser explotadas remotamente sin autenticaci�n. En este caso los componentes que se ven afectados por los problemas son: Access Manager Identity Server y Oracle Containers for J2EE. * Tres de los nuevos parches de seguridad corresponden a Oracle Applications Suite. Los componentes afectados son: CRM Technical Foundation (mobile), Oracle Application Object Library y Oracle HRMS (Self Service). * Una revisi�n de seguridad para PeopleSoft y JD Edwards Suite. Esta vulnerabilidad no permite ser explotada de forma remota sin autenticaci�n. El componente afectado por este problema es PeopleSoft Enterprise HCM - eProfile. * Tambi�n se incluyen cinco actualizaciones de seguridad para la Suite de Productos BEA. Todas estas vulnerabilidades pueden ser explotadas remotamente sin autenticaci�n. Los productos afectados por las vulnerabilidades que se corrigen en estas actualizaciones son: Oracle JRockit, Oracle WebLogic Server (Web Services) y Oracle WebLogic Server (Servlet Container Package). * Por �ltimo, se incluyen dos parches de seguridad para Oracle Primavera Product Suite. Estas vulnerabilidades no son explotables remotamente sin autenticaci�n. Los productos afectados son: Primavera P6 Enterprise Project Portfolio Management (Integration API) y Primavera Web Services. Si bien Oracle avisa que toda est� informaci�n podr� estar sujeta a cambios de �ltima hora. Por otra parte, dada la diversidad de productos afectados y el n�mero de vulnerabilidades se recomienda comprobar las matrices de productos afectados, gravedad y la disponibilidad de parches, disponible desde la notificaci�n oficial. Oracle mantiene la previsi�n de publicaci�n de actualizaciones para el a�o 2010 en las fechas: 12 de enero, 13 de abril, 13 de julio y 12 de octubre.

Microsoft publicar� un solo parche el pr�ximo martes

En su ciclo habitual de actualizaciones los segundos martes de cada mes, Microsoft ha anunciado que en esta ocasi�n se espera solo un bolet�n de seguridad. Afecta exclusivamente al sistema operativo Windows, y puede contener un n�mero indeterminado de vulnerabilidades. Microsoft no soluciona en esta tanda ni el grave fallo en IIS descubierto hace semanas ni otro problema en el protocolo SMB . Si en diciembre se publicaron seis boletines dentro del ciclo habitual, este mes Microsoft prev� publicar solo uno el 12 de enero. Se considera cr�tico para Windows 2000, y solo de importancia "baja" para el resto desde XP hasta 2008) Adicionalmente, y como viene siendo habitual, Microsoft publicar� una actualizaci�n para Microsoft Windows Malicious Software Removal Tool. Adem�s, se publicar�n actualizaciones de alta prioridad no relacionadas con la seguridad. Microsoft confirma que en esta tanda no se cerrar� el grave problema en IIS encontrado a mediados de diciembre, y que permite ejecuci�n remota de c�digo ASP en Internet Information Server 6.x de forma trivial. El error se da al no filtrar correctamente el car�cter ";" en el nombre de un fichero. De este modo un atacante remoto podr�a subir al servidor un fichero ASP y ejecutar su contenido suplantando, por ejemplo, una imagen. El fallo permite as� que si se consigue subir un fichero llamado, por ejemplo, "foto.asp;.jpg" al servidor, la aplicaci�n lo tome como una inocente imagen, pero en realidad se ejecute su c�digo ASP ("Active Server Page") al invocarlo. Ya han aparecido todo tipo de exploits que permiten no solo subir ficheros de forma c�moda, sino adem�s, por ejemplo, intentar poner una consola a la escucha en un puerto (para que el acceso sea m�s c�modo). Aunque en realidad, con una simple "shell" en ASP, el atacante podr�a obtener acceso (de escritura o lectura seg�n la pericia del administrador) a todos los archivos colgados en el servidor, o incluso del sistema. Microsoft ha intentado quitar hierro al asunto, argumentando que, en la configuraci�n por defecto, el servidor no se ve afectado. Pero la realidad es que se trata de un grav�simo problema para muchos servidores que por su funci�n, deben permitir la subida de ficheros por parte de usuarios. En estos casos, se recomienda eliminar los permisos de ejecuci�n sobre los directorios donde se alojen los ficheros subidos. Por otro lado, Microsoft confirm� en noviembre un nuevo fallo en su protocolo de compartici�n de ficheros SMB. Este error, en principio, solo permite una denegaci�n de servicio, esto es, que cualquier Windows deje de responder. El problema es que es aprovechable a trav�s de Internet Explorer, o sea, visitando una p�gina web. Este fallo tampoco ser� resuelto en esta tanda de parches. Los parches anunciados est�n sujetos a cambios, en cualquier caso, no se garantiza que se produzcan cambios de �ltima hora. Hispasec Sistemas publicar� puntualmente a trav�s de este bolet�n informaci�n detallada sobre los nuevos parches.

Una cooperativa de telecomunicaciones eligi� a IBM para mejorar su servicio

La cooperativa de telecomunicaciones TelViso firm� un acuerdo con IBM Argentina para renovar su plataforma tecnol�gica y realizar el mantenimiento de sus equipos, con el objetivo de ampliar las fronteras actuales de su negocio y brindar un mejor servicio a los clientes. La primera etapa contempla el relevamiento l�gico y f�sico para dise�ar la ingenier�a de detalle. Luego, se pondr�n en marcha los aparatos y su conexi�n, y se proceder� con la parametrizaci�n de los equipos, de manera tal de llevar a cabo la integraci�n y migraci�n de los mismos. El gigante azul se har� cargo de la gesti�n e instalaci�n del cambio de equipos de routing, switching, firewalls y BRAS (broadband remote access server) de la cooperativa. Estos dispositivos concentran las conexiones de ADSL de los usuarios, y son a los que se le aplican pol�ticas de seguridad y los diversos perfiles para el acceso a Internet. Seg�n Alejandro Pelloni, gerente de Servicios de Tecnolog�a de IBM en el pa�s, este proyecto es muy interesante ya que la convergencia de redes e IT, que abarca tanto a la tecnolog�a como al modelo de negocios, genera m�s desaf�os para los proveedores de servicios de comunicaciones. �Lo importante de esta soluci�n es que sienta las bases que permitir�n a TelViso ofrecer a sus clientes nuevos y mejores servicios y llegar a una mayor cantidad de usuarios�. Por su parte, Marcos Cytrynblum, presidente de TelViso, se�al� que de las cuatro propuestas que se presentaron en la licitaci�n, IBM fue la que m�s de ajust� por precio y calidad a sus necesidades. �Es interesante subrayar que operamos en todo el municipio de Pilar con un importante porcentaje de usuarios corporativos, de countries y barrios residenciales que demandan una alt�sima calidad en los servicios que les prestamos�.

El falso "hackeo" de la web de la presidencia espa�ola, XSS y lecciones para aprender

A estas horas ya todo el mundo debe saber lo ocurrido durante el d�a de ayer con la web de la Presidencia espa�ola de la Uni�n Europea (www.eu2010.es). De este "supuesto ataque" se pueden sacar conclusiones y tratar de aprender algo. Durante el d�a de ayer salt� a los medios m�s generalistas la noticia de que un "hacker" (no se pod�a emplear otro t�rmino) hab�a entrado en la reci�n inaugurada web de la Presidencia espa�ola de la Uni�n Europea (www.eu2010.es) y hab�a incrustado en ella una imagen del conocido humorista brit�nico Rowan Atkinson en su papel de Mr. Bean. La noticia est� causando un gran revuelo, incluso m�s despu�s de conocer el dato de que el proyecto hab�a costado m�s de 11 millones de euros, si bien este presupuesto no solo cubre el alojamiento, desarrollo y seguridad del sitio. Tambi�n se incluyen otros asuntos relacionados con la instalaci�n y funcionamiento de los medios de telecomunicaciones, sistemas inform�ticos y servicios de videostreaming de los centros de prensa que se habilitar�n en las cumbres internacionales. Pero realmente el sitio no ha sido vulnerado, en el sentido de que nadie ha tomado su control. En esta ocasi�n se volvi� a cumplir aquello de "no dejar que la realidad estropee una buena noticia". El problema radicaba en un cross-site scripting (XSS) que a trav�s de una petici�n especialmente manipulada, hab�a circulado en forma de URL por redes sociales, mensajer�a, etc. Alguien puls� sobre el enlace del XSS y la noticia ya estaba creada. La petici�n real que circul� ten�a la forma: http://www.eu2010.es/en/resultadoBusqueda.html?query=%3Cscript%3Edocument.write%28%27%3Cimg%20src%3D%22http%3A%2F%2Fblog.tmcnet.com%2Fblog%2Ftom-keating%2Fimages%2Fmr-bean.jpg%22%20%2F%3E%27%29%3C%2Fscript%3E&index=buscadorGeneral_en Se trata de un XSS tradicional no persistente. Es decir, si no se accede a trav�s de ese enlace, en realidad no se puede ver ning�n ataque. No deja de ser un problema de seguridad en el desarrollo de la web, pero no tiene nada que ver con el hecho de que alguien entre y tome el control de unos servidores. En el blog Security By Default, lo han explicado de una forma muy instructiva en: http://www.securitybydefault.com/2010/01/eu2010es-el-fail-es-para.html Por otra parte, tampoco se puede considerar totalmente correcta la explicaci�n dada por el gobierno espa�ol para negar el supuesto "hackeo": "El supuesto ataque -se�ala Moncloa en un comunicado- ha consistido en que se ha empleado una captura de una p�gina de b�squeda del sitio para hacer un fotomontaje al que se ha asignado una direcci�n (url o enlace) que luego se ha distribuido en Internet, a trav�s de redes sociales y blogs". En un fallido intento de restar importancia al asunto, se ha usado la palabra "fotomontaje", pero la verdad es que la imagen capturada y el fallo de seguridad eran reales, no producto el "PhotoShop". La explicaci�n certera hubiese sido que la imagen de Mr. Bean, debido a un problema de seguridad, se mostraba "interpretada en" la p�gina, pero no "desde" ella. No hubiese estado de m�s aclarar que mostrar una imagen es el menos grave los da�os que se podr�an haber causado. En cualquiera de los casos, el da�o a la reputaci�n est� hecho, y es quiz�s el problema m�s serio a los que se enfrentan los responsables de la p�gina en estos momentos. Con esto, est� claro que la web no fue "hackeada", pero est� igual de claro que conten�a un problema de seguridad en su buscador. O bien no se hab�a realizado una auditor�a de seguridad o no se hab�a prestado atenci�n a los problemas de cross-site scripting encontrados. Ambas circunstancias suelen ser habituales. En muchas ocasiones en nuestros trabajos de auditor�a nos planteamos c�mo calificar la gravedad de un cross-site scripting; desde luego, no permite "entrar" en el servidor, pero el alcance que puede provocar (y aqu� tenemos un claro ejemplo) puede ser igual de serio. No se presta la suficiente atenci�n en corregirlo (dado que no se considera un problema grave) y se da carpetazo al asunto con un "este fallo no permite entrar en el servidor". En una p�gina sin control de sesi�n y sin datos que robar, el riesgo de un error como el que nos ocupa actualmente ("de libro" y m�s habitual de lo que parece) puede ser considerado como de riesgo medio desde el punto de vista t�cnico, si bien ya hemos visto que el impacto medi�tico ha sido alto y por tanto tambi�n debe valorarse el da�o potencial a la imagen de este tipo de vulnerabilidades. Tambi�n existen casos en que las vulnerabilidades por XSS son consideradas de riesgo alto por criterios t�cnicos. Debemos pensar que los vectores de ataques de las vulnerabilidades XSS son variados y dependen del contexto, pudiendo ser utilizados en casos de phishings, distribuci�n de malware desde fuentes te�ricamente confiables, suplantaci�n de sesiones, robos de cookies, etc. Aunque en este caso no llegaron a entrar en el servidor (tal como m�ltiples medios aseguraban), a efectos pr�cticos el resultado final que se ha transmitido a la conciencia colectiva es equivalente a si hubieran tomado el control. La imagen que se ha transmitido sobre el gobierno espa�ol y sobre Telef�nica como encargada del proyecto, tanto en Espa�a como en Europa (donde el incidente tambi�n ha transcendido), no es nada positiva. Por eso, una vez m�s es importante recordar la importancia de auditar y corregir cualquier tipo de fallo encontrado, aunque sea un cross-site-scripting que no permita "entrar" en el servidor.

El "otro" efecto 2000

El a�o reci�n estrenado, 2010, ha resultado tambi�n una cifra inc�moda para ciertos sistemas inform�ticos, que no han sabido gestionar adecuadamente estas cuatro cifras, y han dejado de funcionar o lo han hecho de forma equ�voca desde que comenz� el a�o. Sin tanto bombo ni platillo como se le dio al "efecto 2000", parece que este "otro efecto 2000" ha pillado por sorpresa. Uno de los afectados ha sido precisamente una de las soluciones profesionales de seguridad de Symantec, Endpoint Protection Manager. Se trata de un producto que a�na diferentes protecciones de seguridad y, por supuesto, en el plano reactivo usa firmas que se actualizan regularmente para su antivirus, antispyware y su IPS. El problema es que todas las actualizaciones desde el �ltimo minuto del 31 de diciembre de 2009, han sido calificadas err�neamente por el programa como "desactualizados", por lo que en este aspecto, los usuarios han quedado relativamente desprotegidos desde entonces. Symantec ha buscado una soluci�n temporal para proteger a sus clientes: mantiene la fecha de �ltima actualizaci�n de las firmas a 31 de diciembre de 2009, pero incrementa el n�mero de versi�n de �stas. As� los clientes disfrutan de las �ltimas firmas pero, por ahora y a falta de una soluci�n oficial, sin poder ser identificadas con la fecha correcta en la que son emitidas. Spamassassin tambi�n ha sufrido las consecuencias. El famoso filtro de correo cataloga como basura o no un email seg�n muy diferentes valores, aplicando filtros bayesianos. Seg�n las caracter�sticas del texto va sumando puntos y, si sobrepasa un l�mite, el programa a�ade una etiqueta al correo y muy probablemente acabe ignorado en la basura. Se ha encontrado un bug en su c�digo. En concreto, desde el uno de enero a�ade a todos los correos una puntuaci�n extra de aproximadamente 3.2 a causa de la directiva FH_DATE_PAST_20XX. Habitualmente, y seg�n el administrador, un correo suele ser catalogado como spam si consigue una puntuaci�n por encima de 4. Esto significa que hay muchas m�s posibilidades de que un correo sea catalogado como basura err�neamente. Cisco tambi�n ha tenido problemas. Las cookies del balanceador Cisco CSM expiraban desde hace a�os el 1 de enero de 2010.... ese d�a ha llegado y el balanceador no est� haciendo bien su trabajo, pues piensa que todas las conexiones caducan constantemente. Windows Mobile no se ha librado. Los mensajes enviados en 2010 est�n siendo fechados en 2016. M�s ejemplos: con el programa Invision Power Board, no se pod�an crear nuevas entradas desde que comenz� el a�o. SAP, ArcSight, Palm, Splunk... son otros programas que han detectado un poco tarde que no estaban preparados para el "efecto 2010". Tampoco los bancos. Alemania ha sido durante unos d�as un verdadero caos en lo referente a las tarjetas de d�bito y cr�dito. Cajeros autom�ticos que no funcionaban o tiendas en las que no se pod�a pagar con tarjeta ha sido la t�nica para casi la mitad de todas las tarjetas emitidas del pa�s. Aunque no ha supuesto un problema de seguridad, seguro que ha sido un incordio para muchos. El problema tiene su origen en un fabricante franc�s de tarjetas. Si bien para el efecto 2000 se despleg� durante a�os una importante campa�a de concienciaci�n hasta el punto de incrustar el concepto en la ideolog�a popular (pel�culas sobre cat�strofes y horas y horas de leyendas alimentadas artificialmente), este bug de 2010 ha llegado en silencio. Las consecuencias no han sido graves, igual que no lo fueron hace 10 a�os (lo que supuso casi una decepci�n para los m�s catastrofistas). Pero el hecho nos hace pensar una vez m�s sobre la capacidad de anticipaci�n de los programadores, que quiz�s ven el futuro demasiado lejos, o bien siguen sin darse cuenta de que en todo caso y desgraciadamente, el tiempo pasa m�s r�pido de lo que parece.

Construyendo una Red de Data Center lista para Cloud

Cloud computing representa una nueva forma de entregar y consumir servicios sobre una red e infraestructura TI compartida. Antes, el hardware y software TI era adquirido y provisto f�sicamente en terreno. Con cloud computing, el valor de estos mismos productos de software y hardware son entregados bajo-demanda como servicios sobre la red. Cloud computing no s�lo es relevante a los proveedores de servicio de red o proveedores de servicio basado en internet que ofrecen servicios cloud a consumidores, empresas o sector p�blico las organizaciones de TI se est�n volviendo m�s agudamente concientes de la relevancia de cloud computing para sus propias operaciones. Ahora es posible para las TI construir clouds privadas o aumentar sus recursos con clouds p�blicas que permiten que sus Data Centers se beneficien de este poderoso modelo de c�mputo. Las lecciones aprendidas del cloud computing pueden mejorar vastamente la escala, agilidad y niveles de servicio de aplicaci�n de Data Centers empresariales al igual que reducir costos. Lograr estos resultados requiere examinar de cerca la red en s� misma, la cual es la base del Data Center listo para cloud. Interconectar un creciente n�mero de dispositivos virtuales y f�sicos mientras se intenta simplificar la red para gestionar estos recursos a escala puede ser abrumador. La complejidad de gesti�n aumenta exponencialmente mientras se agregan m�s dispositivos. Esto frecuentemente requiere segmentaci�n f�sica, lo cual es il�gico versus construir grandes fuentes de recursos compartidos que maximizan la econom�a de escala. Superar estos obst�culos requiere un cambio fundamental en la forma en que las organizaciones de TI empresarial construyen sus redes de Data Center Legacy. El �xito para construir una red de Data Center escalable y lista para cloud requiere tres pasos cr�ticos: (1) simplificar, (2) compartir y (3) asegurar. Simplificar La simplificaci�n comienza al reducir el n�mero de dispositivos aut�nomos. En el futuro, un switch l�gico individual ser� capaz de escalar de forma segura y confiable a trav�s del Data Center para conectar todos los servidores, almacenaje y dispositivos. Hasta que eso suceda, se pueden tomar medidas para consolidar las capas de redes consolidadas, aumentar la escala y desempe�o sin agregar complejidad y reducir costos: - Aprovechar la densidad de dispositivos para reducir el n�mero de dispositivos f�sicos. - Emplear tecnolog�as que permitan que m�ltiples dispositivos f�sicos act�en como un �nico dispositivo l�gico. - Reducir capas de switching a dos o menos. - Asegurar conexiones de routing confiable entrando y saliendo del Data Center. - Mantener un SO com�n y un punto individual para monitorear y gestionar la red con APIs abiertos. Compartir Con una red m�s simple y escalable para soportar grandes fuentes de recursos, el pr�ximo paso permite compartir din�micamente los recursos para mayor agilidad. Esto requiere virtualizaci�n en dos niveles: - La virtualizaci�n de servidores, almacenajes y dispositivos. - La virtualizaci�n de la red misma La virtualizaci�n minimiza la necesidad de segmentaci�n f�sica, permite capacidad y ancho de banda para ser compartido eficiente y flexiblemente para servicio multi-inquilino y de alta calidad. Las VLANs, zonas, MPLS y VPLS ofrecen formas efectivas de virtualizar la red dentro y entre los data centers empresariales. Asegurar Otro desaf�o implica mantener entornos confiables y escalar la seguridad para una gran fuente de recursos. Para complementar la simplificaci�n y el compartir de un Data Center listo para cloud, los servicios de seguridad tambi�n deber�an ser consolidados y virtualizados. Es vital para asegurar los datos y servicios en reposo y en tr�nsito usar esta y otras medidas de seguridad: - Asegurar flujos hacia el Data Center. Autentificar y encriptar conexiones a puntos finales de red (SSL) y dispositivos empresariales (IPSec) mientras se reduce la proliferaci�n de dispositivos. Tambi�n es esencial para prevenir ataques de denegaci�n-de-servicio e implementar firewalls para cuidar el borde y el per�metro. - Asegurar flujos dentro del Data Center. Segmentar la red con VLANs, zonas, routers virtuales y VPNs, y usar firewalls para proteger tr�fico de aplicaci�n-a-aplicaci�n �entre servidores, entre m�quinas virtuales y entre unidades. Tambi�n emplear pol�ticas de seguridad, concientes de aplicaci�n y basadas en identidad. - Establecer pol�ticas a lo ancho de la red desde una ubicaci�n central para asegurar el cumplimiento de normas de seguridad. Motores centralizados de reporte brindan visibilidad hist�rica y en tiempo real a aplicaciones y datos, y permiten que el departamento de TI realice evaluaciones de vulnerabilidad programadas. Conclusi�n Al repensar la tradicional estrategia legacy y prepararse para la llegada del cloud computing, es posible para las organizaciones de TI construir redes de Data Center que ofrezcan mayores econom�as de escala, niveles de servicio de aplicaci�n mejorados, gesti�n m�s sencilla y menores costos. Simplificar, compartir y asegurar la red es cr�tico para lograr el �xito en la construcci�n de Data Centers listos para cloud. Dado que la Ley de Moore asegura que el avance tecnol�gico contin�e haciendo que las redes de Data Center listas para cloud sean una realidad, las organizaciones de TI pueden tomar pasos decisivos que impulsen a los negocios m�s cerca de la promesa del ma�ana. (*) Vicepresidente de marketing de producto y desarrollo de negocio para el Negocio de Tecnolog�as de Fabric y Switching en Juniper Networks.

Ejecuci�n remota de c�digo ASP en Internet Information Server 6.x

Se ha publicado recientemente un error de seguridad en IIS 6.x que permite eludir restricciones de seguridad y ejecutar c�digo ASP arbitrario mediante el uso de una m�ltiple extensi�n. Tercer susto del a�o para Microsoft y su IIS. Internet Information Services (IIS), es un servidor de aplicaciones implementado por Microsoft que permite montar distintos servicios como FTP, SMTP, NNTP y HTTP/HTTPS. Est� basado en varios m�dulos que permiten procesar distintos lenguajes web, por ejemplo ASP y ASP.NET. Tambi�n pueden ser incluidos los de otros como PHP o Perl. El error (de nuevo extremadamente simple) se provoca al no filtrar correctamente el car�cter ";" en el nombre de un fichero. De este modo un atacante remoto podr�a subir al servidor un fichero ASP y ejecutar su contenido suplantando, por ejemplo, una imagen. Aunque IIS incorpora una medida de seguridad que evita ejecutar c�digo cuando un fichero tiene m�ltiple extensi�n, el fallo permite que si se consigue subir un fichero llamado "foto.asp;.jpg" al servidor, la aplicaci�n lo tome como una inocente imagen, pero en realidad se ejecute su c�digo ASP ("Active Server Page") al invocarlo. El hecho de que un atacante pueda ejecutar c�digo ASP arbitrario en un servidor, abre un amplio abanico de posibilidades. Dependiendo de la configuraci�n, quedar� comprometida no solo la p�gina, sino todo el servidor que lo aloja. Para poder explotar esta vulnerabilidad es necesario que el servidor permita subir ficheros. El atacante solo debe realizar un simple cambio en la extensi�n del nombre del archivo. Dado que muchas aplicaciones web permiten subir archivos fotogr�ficos (por ejemplo a modo de "avatar") el impacto en estos servidores es importante. Tercera vulnerabilidad grave para IIS en lo que va de a�o, despu�s de mucho tiempo de tranquilidad en este aspecto. En mayo, se encontr� un fallo en IIS 6.x a la hora de procesar peticiones HTTP especialmente manipuladas con la cabecera "Translate:f" y con caracteres Unicode que permit�a a un atacante eludir la autenticaci�n al disparar un problema de validaci�n en WebDAV. En septiembre, el mismo investigador que descubri� el fallo anterior, public� un exploit funcional que permit�a a un atacante ejecutar c�digo con permisos de SYSTEM en un servidor IIS 5.x. Microsoft no ha publicado parche ni "advisory" oficial al respecto. Si es imprescindible permitir la subida de archivos, se recomienda eliminar los permisos de ejecuci�n sobre los directorios donde se permita.

Diversas vulnerabilidades en Winamp

Se han anunciado m�ltiples vulnerabilidades en Winamp (versiones 5.56 y anteriores). Un atacante podr�a emplear estos problemas para comprometer los sistemas vulnerables. Winamp es seguramente el reproductor de archivos multimedia m�s famoso para plataformas Windows. Entre sus cualidades est� el soportar m�ltiples formatos, ser ligero, aceptar infinidad de plugins y la posibilidad de descarga de versiones gratuitas. Los primeros problemas se deben a un desbordamiento de enteros al procesar datos PNG o JPEG. Un atacante podr�a provocar la ejecuci�n de c�digo arbitrario si un usuario abre un archivo multimedia (p.ej. MP3) especialmente manipulado. Otros problemas residen en desbordamiento de b�fer y enteros en el Module Decoder Plug-in (IN_MOD.DLL) al procesar archivos Impulse Tracker, Ultratracker o Oktalyzer mal construidos. Un atacante podr�a provocar la ejecuci�n de c�digo arbitrario si un usuario abre un archivo especialmente manipulado. Se recomienda actualizar a Winamp versi�n 5.57, que adem�s incluye otra serie de mejoras y se encuentra disponible desde: http://www.winamp.com/media-player

Actualizaci�n del kernel para diversos productos SuSE Linux

SuSE ha publicado la actualizaci�n del kernel para diversos productos, en la que se corrigen varios fallos de seguridad que podr�an permitir a un atacante causar denegaciones de servicio, escalar privilegios o incluso ejecutar c�digo arbitrario en un sistema vulnerable. Los productos actualizados son SLE SDK 10 SP2, SUSE Linux Enterprise Desktop 10 SP2, SUSE Linux Enterprise 10 SP2 DEBUGINFO, SUSE Linux Enterprise Server 10 SP2. De forma resumida, las principales vulnerabilidades corregidas son: Varias de las vulnerabilidades est�n asociadas a un error en los permisos asignados a ciertos atributos expuestos por el driver "megaraid_sas" en "sysfs". Un atacante local podr�a elevar privilegios a trav�s de la modificando de atributos del driver "megaraid". Otro problema reside en la funci�n "collect_rx_frame" del fichero "hfc_usb.c". Esto podr�a se aprovechado por un atacante local para ejecutar c�digo arbitrario con privilegios de superusuario a trav�s de un paquete "HDLC" especialmente manipulado. Otra vulnerabilidad del kernel corregida reside al procesar el argumento "eindex" de la funci�n "gdth_read_event" en "drivers/scsi/gdth.c". Esto podr�a ser aprovechado por un atacante local para causar una denegaci�n de servicio y, potencialmente, elevar privilegios a trav�s de una llamada IOCTL especialmente manipulada. Tambi�n se ha corregido un error al procesar el argumento "req" de la funci�n "fuse_direct_io" en "fs/fuse/file.c". Un atacante local podr�a aprovechar este problema para causar una denegaci�n de servicio a trav�s de vectores no especificados. Un error de fuga de memoria a la hora de procesar determinados datagramas de "AppleTalk-IP" en el kernel de Linux. Un atacante local podr�a provocar una denegaci�n de servicio a trav�s del env�o de muchos datagramas "AppleTalk-IP" especialmente manipulados. La explotaci�n solo es posible si est�n cargados y asociados a la misma interfaz los m�dulos "appletalk" y "ipddp". Existe un error de comprobaci�n de estado de los sockets en la funci�n "unix_stream_connect". Un atacante remoto podr�a aprovechar este problema para causar una denegaci�n de servicio, a trav�s de reiterados intentos de conexi�n a un socket que est� siendo cerrado mediante una llamada a shutdown. Se ha corregido un error de comprobaci�n en la inicializaci�n en las rutinas de manejo de IOCTL. Un atacante local podr�a aprovechar esto para provocar una denegaci�n de servicio aprovechando las dereferencias a NULL de estructuras no inicializadas. Existe un error de puntero nulo en las funci�n "nfs4_proc_lock". Un atacante local podr�a aprovechar este problema para causar una denegaci�n de servicio (Kernel panic) a trav�s de un fichero NFSv4 especialmente manipulado. Se recomienda actualizar a la �ltima versi�n del kernel, disponible a trav�s de la herramienta autom�tica YaST.

Dos vulnerabilidades en Adobe Flash Media Server

Se han anunciado dos nuevas vulnerabilidades en Adobe Flash Media Server 3.5.2 (y anteriores). Un atacante remoto podr�a emplear estos fallos para provocar condiciones de denegaci�n de servicio o llegar a ejecutar c�digo arbitrario en los sistemas afectados. El primero de los problemas permitir�a a un atacante remoto enviar datos espec�ficamente manipulados para consumir todos los recursos del sistema atacado. La segunda vulnerabilidad permitir�a a un atacante remoto subir al servidor atacado DLLs arbitrarias, las cuales podr�an ser posteriormente ejecutadas. Adobe ha publicado la versi�n 3.5.3 que corrige estos problemas disponible desde: http://www.adobe.com/support/flashmediaserver/downloads_updaters.html

Nuevo PHP 5.2.12 soluciona varios fallos de seguridad

El pasado 17 diciembre PHP.net actualiz� su versi�n estable a la 5.2.12. En esta versi�n ha solucionado varios fallos de seguridad. PHP es un lenguaje interpretado de prop�sito general ampliamente usado, que est� dise�ado para desarrollo web y puede ser embebido dentro de c�digo HTML. PHP est� orientado a la creaci�n de p�ginas web din�micas, ejecut�ndose en un servidor web (server-side scripting), de forma que primero se toma el c�digo en PHP como entrada y se devuelven las p�ginas web como salida. CVE-2009-3557: Existe un error de validaci�n de permisos en la funci�n "tempnam" cuando est� activo "safe_mode". Esto permitir�a a un atacante local saltar las restricciones de "safe_mode" y escribir ficheros arbitrarios en el sistema cuando se tiene permiso de escritura en la carpeta. Esto es debido a que la funci�n s�lo comprueba el valor de "open_basedir". CVE-2009-3558: Existe un error de validaci�n de permisos en la funci�n "posix_mkfifo". Esto permitir�a a un atacante local saltar las restricciones y escribir ficheros arbitrarios en el sistema cuando se tiene permiso de escritura en la carpeta. Esto es debido a que la funci�n solo comprueba el valor de "safe_mode" y no de "open_basedir". CVE-2009-4017: Existe un error de dise�o en PHP cuando se suben archivos. Esto permitir�a a un atacante remoto causar una denegaci�n de servicio remota por consumo excesivo de memoria mediante la subida de varios archivos simult�neos. Para solucionar este fallo se ha a�adido una directiva llamada "max_file_upload" por defecto 20 que limita el n�mero de archivos simult�neos que se permiten subir. CVE-2009-4142: Existe un error en el filtro de la funci�n "htmlspecialchars". Esto permit�a a un atacante remoto evitar que se codifiquen correctamente ciertos caracteres pudiendo causar errores de codificaci�n o fallos de "cross site scrpting". CVE-2009-4143: Existe un error de falta de comprobaci�n en "session.save_path". Esto podr�a ser aprovechado por un atacante para causar un impacto no especificado.

Boletines de seguridad de la Fundaci�n Mozilla

La Fundaci�n Mozilla ha publicado siete boletines de seguridad (del MFSA2009-65 al MFSA2009-71) para solucionar diversas vulnerabilidades en Mozilla Firefox. Seg�n la propia clasificaci�n de Mozilla tres de los boletines presentan un nivel de gravedad "cr�tico", uno es de gravedad alta, dos son "moderados" y un �ltimo considerado bajo. Los boletines publicados son: * MFSA2009-65: En este bolet�n cr�tico se cubren m�ltiples fallos de estabilidad en Firefox, Thunderbird, SeaMonkey que podr�an llegar a permitir la ejecuci�n remota de c�digo arbitrario. * MFSA2009-66: Trata de m�ltiples problemas cr�ticos relacionados con liboggplay y que afectan a Firefox, SeaMonkey y que pueden llegar a permitir la ejecuci�n remota de c�digo arbitrario. * MFSA2009-67: Otro bolet�n cr�tico relacionado con un desbordamiento de entero el la librer�a de v�deo Theora. Afecta a Firefox, SeaMonkey. * MFSA2009-68: Bolet�n considerado de gravedad "alta" en el que se refiere a una vulnerabilidad en la implementaci�n NTLM de Mozilla en Firefox, SeaMonkey. El problema podr�a permitir que las credenciales NTLM de una aplicaci�n sean reenviadas a otra aplicaci�n arbitraria a trav�s del navegador. * MFSA2009-69: En este bolet�n considerado de car�cter moderado se trata un problema que podr�a permitir la falsificaci�n de URLs, en el que una p�gina http podr�a aparecer como https. * MFSA2009-70: Otro bolet�n moderado que afecta a Firefox y SeaMonkey, en el que se trata un problema de escalada de privilegios. * MFSA2009-71: El �ltimo bolet�n, considerado de gravedad baja, hace relaci�n a un problema en el objeto GeckoActiveXObject por el que se podr�an listar los objetos COM instalados en el sistema del usuario. Se han publicado las versiones 3.5.6 y 3.0.16 del navegador Firefox que corrige todas estas vulnerabilidades. La versi�n 3.5.6 se encuentra disponible desde: http://www.mozilla-europe.org/es/firefox/ La versi�n 3.0.16 puede descargarse desde: http://www.mozilla.com/en-US/firefox/all-older.html

Diversas vulnerabilidades en Cisco WebEx WRF Player

Cisco ha confirmado la existencia de m�ltiples vulnerabilidades de desbordamiento de b�fer en el reproductor Cisco WebEx Recording Format (WRF). Cisco WebEx WRF Player es una aplicaci�n que se emplea para reproducir grabaciones de reuniones WebEx registradas en el ordenador de un asistente a la reuni�n en l�nea. WebEx Recording Format (WRF) es el formato de archivo en que se almacenan dichas grabaciones. El reproductor WRF puede ser instalado autom�ticamente cuando el usuario accede a un archivo WRF alojado en un servidor WebEx. Tambi�n puede ser instalado manualmente para su uso sin conexi�n descarg�ndolo desde www.webex.com. Las vulnerabilidades anunciadas afectan al reproductor Cisco WebEx WRF en plataformas Microsoft Windows, Apple Mac OS X y Linux. Se han confirmado hasta seis problemas de desbordamiento de b�fer en el reproductor de WRF, que pueden llegar a permitir a un atacante remoto la ejecuci�n de c�digo arbitrario. Para explotar las vulnerabilidades, es necesario abrir un archivo WRF malicioso con la aplicaci�n. Si el reproductor WRF fue instalado de forma autom�tica, se actualizar� de igual forma a la �ltima versi�n no vulnerable cuando los usuarios accedan a un archivo WRF alojado en un servidor WebEx. En cambio si se instal� de forma manual, los usuarios deber�n instalar tambi�n manualmente la nueva versi�n actualizada descarg�ndola desde www.webex.com.

Nuevo "0-day" en Adobe Acrobat y Reader

Adobe ha confirmado la existencia de una nueva vulnerabilidad en Adobe Acrobat y Reader reportada como "0-day" que se est� explotando en estos momentos de forma activa para conseguir la ejecuci�n remota de c�digo arbitrario. Cuando una vulnerabilidad se reporta en forma de "d�a cero" (0-day) quiere decir que se divulga o conoce cuando ya se est�n efectuando ataques y se aprovecha de forma activa. Esto implica que cuando se da a conocer no hay parche disponible, por lo que generalmente el fabricante debe trabajar contrarreloj para corregir el problema. En general, todos los ataques a trav�s de archivos pdf detectados en la actualidad basados en la instalaci�n de un troyano se conocen como Trojan.Pidief.X (donde X especifica la versi�n de turno), por lo que la mayor�a de los antivirus que lo detecten lo clasificar�n bajo este nombre. Adobe ha publicado un aviso de seguridad en el que confirma el problema (calific�ndolo de cr�tico) en Adobe Reader y Acrobat 9.2 (y versiones anteriores). Adobe recomienda emplear "JavaScript Blacklist Framework" o desactivar JavaScript en los documentos PDF para mitigar en la medida de lo posible los ataques. Otra contramedida disponible pasa por activar el sistema DEP (Prevenci�n de Ejecuci�n de Datos) disponible en algunas versiones de Windows lo que podr� mitigar el ataque a una denegaci�n de servicio. Recomendamos, si es posible, usar otro lector de archivos PDF hasta que se solucione el fallo. Aunque no est�n exentos de contener problemas de seguridad, al menos por ahora no son objetivo claro de atacantes. Existen m�ltiples opciones para elegir para todas las plataformas en: http://pdfreaders.org/ En cualquier caso se recomienda precauci�n al abrir archivos pdf provenientes de fuentes desconocidas. Como opci�n y ante cualquier duda tambi�n puede ser recomendable enviar cualquier archivo sospechoso a VirusTotal (http://www.virustotal.com) para su an�lisis. Otra de nuestras recomendaciones habituales tambi�n es v�lida en este caso: no usar la cuenta de administrador para leer archivos PDF.

Actualizaciones de seguridad de Adobe para Flash Player

En su ciclo, ya habitual, de boletines de seguridad Adobe ha publicado una actualizaci�n para corregir siete vulnerabilidades en Adobe Flash Player y AIR, que podr�an permitir a un atacante tomar el control de los sistemas afectados. Esta actualizaci�n soluciona una vulnerabilidad en el tratamiento de datos jpeg que podr�a dar lugar a una ejecuci�n de c�digo arbitrario. Tambi�n soluciona una vulnerabilidad de divulgaci�n de informaci�n, que solo afecta a sistemas Windows, en el acceso local a nombres de archivo en el control ActiveX de Flash. Tambi�n soluciona otras vulnerabilidades de ejecuci�n de c�digo a trav�s de desbordamiento de enteros, inyecci�n de datos, o modificaci�n de datos en memoria. Adobe recomienda a los usuarios de Adobe Flash Player 10.0.32.18 (y versiones anteriores) actualizar a la nueva versi�n 10.0.42.34 desde http://get.adobe.com/flashplayer/ o mediante el sistema de actualizaci�n autom�tica. Para los usuarios que no puedan actualizar a Adobe Flash Player 10, se ha publicado una actualizaci�n de Adobe Flash Player 9, Adobe Flash Player 9.0.260, que puede descargarse desde http://www.adobe.com/go/kb406791 Para los usuarios de Adobe AIR 1.5.2 y anteriores se recomienda actualizar a la versi�n 1.5.3 desde http://get.adobe.com/air/

Actualizaci�n acumulativa para Internet Explorer

Dentro del conjunto de boletines de seguridad de diciembre publicado el pasado martes por Microsoft y del que ya efectuamos un resumen, se cuenta el anuncio (en el bolet�n MS09-072) de una actualizaci�n acumulativa para Internet Explorer 5.01, 6, 7 y 8; que adem�s solventa cinco nuevas vulnerabilidades. La primera de las vulnerabilidades corregidas se trata de una ejecuci�n remota de c�digo en un control ActiveX compilado con los encabezados vulnerables de Microsoft Active Template Library (ATL). Las otras cuatro vulnerabilidades corregidas residen en errores de desbordamiento de memoria al acceder a objetos no inicializados o borrados en Internet Explorer. Esto podr�a ser aprovechado por un atacante remoto para ejecutar c�digo arbitrario a trav�s de una p�gina web especialmente manipulada. Este parche, al ser acumulativo, incluye todas las actualizaciones anteriores. Se recomienda actualizar el navegador mediante Windows Update o descargando los parches seg�n plataforma desde la p�gina del bolet�n de seguridad: www.microsoft.com/spain/technet/security/Bulletin/ms09-072.mspx

Boletines de seguridad de Microsoft en diciembre

Este pasado martes Microsoft ha publicado seis boletines de seguridad del MS09-069 y MS09-074) correspondientes a su ciclo habitual de actualizaciones, que corrigen un total de doce vulnerabilidades. Seg�n la propia clasificaci�n de Microsoft tres de los boletines presentan un nivel de gravedad "cr�tico", mientras que los tres restantes son "importantes". Los boletines "cr�ticos" son: * MS09-071: Actualizaci�n destinada a corregir dos vulnerabilidades en el Servicio de autenticaci�n de Internet al tratar los intentos de autenticaci�n PEAP. S�lo est�n afectados los servidores con el Servicio de Autenticaci�n de Internet cuando usan PEAP con la autenticaci�n MS-CHAP v2. Estos problemas que afectan a Windows 2000, XP, Vista, Server 2003 y Server 2008, podr�an permitir la ejecuci�n remota de c�digo. * MS09-072: Actualizaci�n acumulativa para Microsoft Internet Explorer que adem�s soluciona cinco nuevas vulnerabilidades que podr�an permitir la ejecuci�n remota de c�digo arbitrario. Afecta a Internet Explorer 5.01, 6, 7 y 8. * MS09-074: Actualizaci�n de seguridad para evitar una vulnerabilidad Microsoft Office Project, que podr�a permitir la ejecuci�n remota de c�digo si un usuario abre un archivo de Project especialmente creado. Afecta a Project 2000, 2002 y Office Project 2003. Los boletines clasificados como "importantes" son: * MS09-069: Actualizaci�n destinada a corregir una vulnerabilidad de denegaci�n de servicio, si en un sistema afectado un usuario remoto autenticado env�a mediante protocolo IPSEC un mensaje ISAKMP especialmente dise�ado al Servicio LSASS (Subsistema de Autenticaci�n de la Autoridad de Seguridad Local). * MS09-070: Actualizaci�n que soluciona dos vulnerabilidades en Servicios de federaci�n de Active Directory (ADFS, Active Directory Federation Services). Un usuario remoto autenticado podr�a lograr la ejecuci�n remota de c�digo si env�a una petici�n http especialmente dise�ada a un servidor web habilitado para ADFS. * MS09-073: Actualizaci�n que soluciona una vulnerabilidad en Microsoft WordPad y Office Word, que podr�a permitir la ejecuci�n remota de c�digo si un usuario abre un archivo Word 97 espec�ficamente manipulado. Las actualizaciones publicadas pueden descargarse a trav�s de Windows Update o consultando los boletines de Microsoft donde se incluyen las direcciones de descarga directa de cada parche. Dada la gravedad de las vulnerabilidades se recomienda la actualizaci�n de los sistemas con la mayor brevedad posible.

La guerra oculta de los .com.ar: ya arranc� el sistema de arbitraje

Ante un conflicto por la titularidad de un dominio, la Canciller�a pedir� pruebas. El objetivo es terminar con las usurpaciones. Ante los crecientes reclamos de empresas y particulares, el Gobierno finalmente cre� un sistema de arbitraje veloz para resolver disputas sobre la titularidad de los dominios argentinos, tal como adelant� iEco en junio pasado. El mecanismo entr� en vigencia el 1� de diciembre tras la publicaci�n de la resoluci�n 654/09 en el Bolet�n Oficial y estar� bajo la �rbita de la Canciller�a, que definir� muchos de los conflictos que se presentan con el registro de marcas y nombres comerciales para ser utilizados en las direcciones electr�nicas �.com.ar�. La iniciativa busca poner freno a los ciberokupas, tal como define la jerga inform�tica a las personas que registran indiscriminadamente nombres comerciales �conocidos o no� especulando con la posibilidad de venderlos a quienes lo necesiten. Desde ahora, muchos de los reclamos se podr�n dirimir en forma r�pida, y sin recurrir a la Justicia. �El tr�mite es gratuito y es tan simple que no habr� necesidad de contratar gestores ni intermediarios�, prometi� Gustavo Soli�o, titular del NIC Argentina (del ingl�s Network Information Technology), la oficina de la Canciller�a a cargo de la gesti�n de los dominios finalizados en �com.ar.� Mucho m�s f�cil que la resoluci�n de las controversias, justo es remarcarlo, es el registro de un dominio, porque no s�lo es gratuito y simple, sino que el tr�mite completo se hace por Internet. Eso no constituye ninguna novedad, lo que s� resulta llamativo es que la Argentina es el �nico pa�s del mundo que no arancel� el servicio, lo que parece favorecer las pr�cticas especulativas. Esto produce algunas distorsiones, porque ya existen m�s de 2 millones de dominios argentinos, pero en el mercado estiman que alrededor del 65% est� sin uso o desactivado. El gran problema que se intenta resolver son las usurpaciones de nombres y marcas, una actividad que roza lo legal. Precisamente a eso apunta la nueva resoluci�n, que delega en el NIC la responsabilidad de dirimir gran parte de las disputas por la titularidad de dominios. El mecanismo, seg�n explic� Soli�o, a grandes rasgos funcionar� as�: si una persona intenta registrar una marca o nombre comercial y encuentra que est� ocupado, podr� recurrir al NIC, que resolver� el pleito �en menos de un mes�, jur�. A las pruebas me remito �Debe concurrir con una nota (firmada por escribano) y la documentaci�n que demuestre el derecho a recuperar el nombre�, dijo el funcionario. Si es una marca, por ejemplo, debe mostrar constancias del IMPI (el registro de marcas) o de la AFIP, o en el caso del nombre de una empresa, la inscripci�n en la Inspecci�n General de Justicia, por ejemplo. �Con esto, el NIC intimar� al primer registrarte para que haga su descargo. Y si no lo puede justificar, se revoca el dominio y se le otorga al que lo reclam�, rese�� Soli�o. S�lo en el �ltimo a�o, de acuerdo con datos oficiales, el NIC recibi� 872 reclamos por usurpaci�n. De ese total, 130 no prosperaron porque la normativa anterior no preve�a la cuesti�n. Y 63 de esos casos terminaron en la Justicia y los leg�timos due�os recuperaron sus dominios por medio de medidas cautelares, es decir, un fallo favorable pero provisorio.

Desbordamiento de b�fer con archivos PNG en Paint Shop Pro

Se ha descubierto una vulnerabilidad en el popular programa de tratamiento gr�fico Paint Shop Pro 8, que podr�a ser aprovechada por un usuario local para provocar la ejecuci�n de c�digo arbitrario en el sistema. El problema se debe a un desbordamiento de b�fer en el m�dulo gear12d.dll del software al tratar im�genes PNG espec�ficamente construidas. Un atacante podr�a emplear este problema para lograr ejecutar c�digo arbitrario y comprometer los sistemas afectados. Se ha publicado un exploit de demostraci�n para aprovechar este problema para el que por el momento no existe soluci�n, por lo que se recomienda precauci�n y ano abrir archivos PNG de fuentes desconocidas con Paint Shop Pro. Jasc Paint Shop Pro v8 Local Buffer Overflow Exploit (UNIVERSAL)

NIC ARGENTINA - Novedades Diciembre 2009

NIC Argentina implementar� durante 2010 un nuevo sistema de registro y administraci�n de nombres de dominio. Por tal motivo, se informa que todas las Entidades Registrantes deber�n regularizar sus datos registrales. Aquellas que al 1ro de marzo de 2010 no hayan regularizado sus datos registrales ser�n dadas de baja al igual que los dominios que estuvieran registrados a su nombre. DATOS REGISTRALES � ACTUALIZACI�N (Domicilio, Tel�fono, etc.) Estos datos deben estar "actualizados" dado que la falsedad o inexactitud de los mismos puede derivar en la p�rdida de nombres de dominio y/o bajas de Entidades Registrantes. DATOS REGISTRALES � REGULARIZACI�N (Nombre de fantas�a, datos duplicados, etc.) Los datos registrales de las Entidades Registrantes deben corresponder a Personas F�sicas y/o Jur�dicas reales. Por tal motivo aquellas Entidades que est�n registradas con nombres de fantas�a, razones sociales inexistentes, datos desactualizados, entidades duplicadas, etc. deber�n regularizar su situaci�n, pues, de lo contrario, podr�a derivar en la p�rdida de nombres de dominio y/o bajas de Entidades Registrantes. CORREO ELECTR�NICO Es obligatorio para todas las Entidades tener asociada una direcci�n de correo electr�nico v�lida y que se encuentre activa. Por tal motivo, se recuerda a quienes a�n no hayan inscripto su correo electr�nico, que deber�n hacerlo con anterioridad al 01/03/2010 ya que, de no ser as�, la Entidad ser� dada de baja junto con los dominios que estuvieran registrados a su nombre. CUIT / DNI Es obligatorio para todas las Entidades registrar su CUIT, CUIL o DNI. Debido a ello, se recuerda a quienes a�n no lo hayan registrado, que deber�n hacerlo con anterioridad al 01/03/2010 ya que, de no ser as�, la Entidad ser� dada de baja junto con los dominios que estuvieran registrados a su nombre.

LEY 26032 - SERVICIO DE INTERNET

Establ�cese que la b�squeda, recepci�n y difusi�n de informaci�n e ideas por medio del servicio de Internet se considera comprendida dentro de la garant�a constitucional que ampara la libertad de expresi�n. Sancionada: Mayo 18 de 2005 Promulgada de Hecho: Junio 16 de 2005 ART�CULO 1� � La b�squeda, recepci�n y difusi�n de informaci�n e ideas de toda �ndole, a trav�s del servicio de Internet, se considera comprendido dentro de la garant�a constitucional que ampara la libertad de expresi�n. ART�CULO 2� � La presente ley comenzar� a regir a partir del d�a siguiente al de su publicaci�n en el Bolet�n Oficial. ART�CULO 3� � Comun�quese al Poder Ejecutivo. �REGISTRADA BAJO EL N� 26.032� DADA EN LA SALA DE SESIONES DEL CONGRESO ARGENTINO, EN BUENOS AIRES, A LOS DIECIOCHO D�AS DEL MES DE MAYO DEL A�O DOS MIL CINCO. EDUARDO O. CAMA�O. � MARCELO A. GUINLE. � Eduardo D. Rollano. � Juan Estrada.

Mayores de 45 a�os, los pilotos de tormenta.

En per�odos de crisis econ�mica, las empresas tienden a valorar, m�s que en etapas de normalidad, a los trabajadores que re�nen caracter�sticas apropiadas para atravesar el mal momento con �xito: confiabilidad, dedicaci�n, lealtad y madurez. En este contexto, las personas de m�s de 45 a�os recuperaron protagonismo. �Estamos en presencia de un fen�meno especial, en el que, frente a procesos de crisis, las personas con experiencia y conocimiento son requeridas para puestos clave�, destaca Gustavo Dos Santos, director de la consultora Datum, especializada en trayectos laborales. �La selecci�n de estos perfiles est� dada por la seguridad que ofrece su performance y las posibilidades que presenta; estamos hablando de personas que buscan estabilidad y ya no tantos cambios de organizaciones o posiciones�, agrega. La situaci�n para los mayores de 45 a�os mejor� relativamente en los �ltimos tiempos, seg�n afirma Mar�a Amelia Videla, gerente de Responsabilidad Social y Asuntos P�blicos de la consultora Manpower. �Fueron m�s buscados y necesitados luego de la crisis de 2001, cuando las empresas redujeron al m�ximo sus dotaciones�, ejemplifica. �Los perfiles m�s demandados son: expertos en oficios o en inform�tica, en servicios de asesoramiento, en consultor�a y especialistas en desarrollo de tareas concretas que requieren de un conocimiento espec�fico�, agrega Videla. Experiencia y madurez, Fernando Bocchicchio es gerente de Recursos Humanos de Smith International, una empresa dedicada a dar soluciones tecnol�gicas y de servicio en la exploraci�n y explotaci�n de petr�leo y gas. De los 363 empleados con los que cuenta, el 35% supera los 45 a�os y 14 de sus 20 gerentes son mayores de 40. �La experiencia de vida y los conocimientos de un ejecutivo que atraves� varias situaciones l�mite son decisivos para resolver problemas puntuales como los que se presentan hoy en las empresas�, comenta Bocchicchio. La crisis fue un factor decisivo para la llegada de personal de esta franja et�rea a Smith International: en comparaci�n con 2008, el ingreso de personas �mayores� creci� en un 63%. �El fen�meno de la �empleabilidad� de mayores de 45 sucede porque la compa��as finalmente comprendimos que los idealizados procesos de gesti�n del conocimiento no han logrado de modo uniforme hacer un verdadero traslado del know how ante situaciones de crisis o cambio. Estamos frente a un operativo retorno a valores que jam�s debieron dejarse de transmitir y contagiar: experiencia, madurez�, explica Bocchicchio. Por otra parte, el temple de una persona que ya enfrent� situaciones extremas en el pasado tambi�n es un factor a tener en cuenta. Gerardo Bollini, gerente de Recursos Humanos de Zucamor, una empresa que realiza envases de cart�n corrugado y bolsas multipliego, destaca la importancia de contar con empleados que no se paralicen en momentos dif�ciles. �No se puede obviar que una persona de 50 a�os ya vivi� las crisis de 2001 o de 1989. Esto le da una agilidad mental y pr�ctica superior a la que puede tener un joven de 30�. Bollini posiciona a la experiencia adquirida, las competencias desarrolladas y la velocidad de adaptaci�n como las principales variables a destacar dentro de esta franja et�rea etaria. �Considero que para puestos donde se requiera una competencia espec�fica relacionada a la toma de decisiones en momentos cr�ticos, los mayores de 45 tienen un perfil de empleabilidad m�s atractivo que cualquier otro�, asegura. Pilotos de tormenta No es lo mismo un profesional con trayectoria que uno sin ella, apunta Videla. �Muchas organizaciones valoran las habilidades y experiencias ganadas durante una carrera extensa: vitalidad, flexibilidad y capacidad de adaptaci�n al cambio, conocimiento, trato personal, enfoque de carrera, inter�s y contribuciones tangibles para los resultados�, agrega. Jos� Manuel Aggio, gerente de Recursos Humanos de la empresa San Miguel, primera productora de limones del pa�s y segunda fuente de empleo en la provincia de Tucum�n, encuentra que en el interior �el v�nculo que se genera entre la compa��a y la gente hace que el trabajador se sienta respetado y valorado a medida que pasan los a�os. En Capital, al haber m�s opciones, los j�venes cambian m�s y no cumplen tantos a�os en la empresa�. El 61% de su planta est� integrado por trabajadores mayores de 40 y tambi�n hubo lecciones aprendidas en 2001: �Verificamos la estrategia de buscar �pilotos de tormenta� para pasar la crisis�, asegura. �En tiempos de crisis se valora m�s la experiencia de haber pasado situaciones similares y la madurez para gestionarlas en los puestos jer�rquicos, as� como la habilidad para resolver problemas con menos recursos que los habituales en los puestos m�s operativos�, concluye Aggio.

Vulnerabilidad de elevaci�n de privilegios en IBM DB2

Se ha descubierto un error en IBM DB2, (el popular gestor de base de datos de IBM) por el cual un atacante local podr�a conseguir elevar sus privilegios. El problema, que afecta a las versiones 8 y 9 del producto, se debe a errores de permisos en "DASAUTO". De forma que un atacante local sin permisos podr�a llegar a ejecutarlo, lo que le permitir�a elevar sus privilegios. Se recomienda actualizar a IBM DB2 versi�n 9.7 Fix Pack 1, V9.5 Fix Pack 4, 9.1 Fix Pack 8 o 8 Fix Pack 18: http://www.ibm.com/support/docview.wss?rs=71&uid=swg27007053

Problemas de seguridad en Internet Explorer

Esta semana se han dado a conocer dos problemas de seguridad relacionados con Internet Explorer. Un fallo es muy grave y permite la ejecuci�n de c�digo arbitrario en el sistema con solo visitar una p�gina web. El otro fallo es mucho m�s leve, y solo permite que un atacante obtenga informaci�n confidencial a trav�s de archivos PDF impresos desde el navegador. De la primera vulnerabilidad, la m�s grave, se han dado todos los detalles de forma p�blica. No se han observado de forma masiva ataques que la aprovechen, pero dadas las circunstancias, parece que no tardar�n en aparecer. El fallo est� en el manejo de punteros en la funci�n "getElementsByTagName" de mshtml.dll al procesar objetos CSS. Un atacante remoto podr�a ejecutar c�digo arbitrario con los privilegios del usuario que corra Internet Explorer con solo visitar una p�gina especialmente manipulada. Microsoft ya ha reconocido el fallo y est� trabajando en un parche para solucionarlo. Solo afecta a las versiones 6 y 7 del navegador. Si no es posible usar la versi�n 8, como contramedida, se recomienda elevar la seguridad de las zonas de Internet Explorer a "Alta" para las p�ginas no confiables. O desactivar directamente el "Active Scripting" en las "Opciones de Internet", pesta�a de "seguridad", "nivel personalizado". El otro problema de seguridad encontrado en el navegador es mucho menos peligroso. Cuando se abren en Internet Explorer p�ginas web almacenadas en el disco duro y se imprimen con cualquier impresora virtual en formato PDF, el navegador a�ade en el archivo informaci�n que no deber�a estar ah�, como la ruta local de la p�gina que se ha impreso en PDF. Lo a�ade en el interior del archivo de forma que no se ve a simple vista. Es necesario abrir el archivo PDF con un editor para observarlo. Un atacante con acceso al documento PDF podr�a obtener as� informaci�n sensible a partir de esas rutas locales, como por ejemplo los nombres de usuario y versi�n del sistema operativo analizando el archivo con un editor. La persona que ha alertado sobre este �ltimo problema, advierte que con el buscador Google, es muy sencillo encontrar ficheros PDF que han sido impresos en este formato a trav�s del navegador y que contienen la ruta del disco duro donde estaban alojados. En la mayor�a de las ocasiones si esta ruta es la de "Mis documentos" en Windows, podr�an incluir el nombre de usuario que las gener�. Este fallo afecta a todas las versiones incluida la 8. Microsoft no lo considera un problema de seguridad, as� que aunque ha reconocido el problema, no parece que vaya a aplicar un parche. Lo m�s probable es que posteriores versiones del navegador, o bien un posible futuro Service Pack, anulen este comportamiento. Mientras tanto, se recomienda que si se imprimen con impresoras virtuales p�ginas HTLM interpretadas con Internet Explorer, se abra posteriormente el archivo PDF con cualquier editor, se busque la informaci�n sensible y se elimine.

Vulnerabilidad en impresoras HP Color LaserJet

Se ha anunciado una vulnerabilidad en algunas impresoras de la gama HP Color LaserJet, que podr�a permitir la realizaci�n de ataques de denegaci�n de servicio o evitar restricciones de seguridad y permitir el acceso no autorizado a datos. En m�ltiples ocasiones hemos hablado de la importancia de mantener los sistemas actualizados, pero tambi�n hay que recordar que elementos hardware tambi�n pueden verse afectados por problemas de seguridad que pueden afectar de forma importante al continuidad del negocio. Son frecuentes actualizaciones por vulnerabilidades en routers, switches y dispositivos de red similares, pero las impresoras son elementos importantes en la operativa de trabajo diaria y tambi�n pueden verse afectadas por graves problemas. Especialmente impresoras de centros de trabajo con m�ltiples funcionalidades. El problema est� provocado por un error del que HP no ha facilitado detalles, pero ha confirmado que se ven afectadas las impresoras HP Color LaserJet M3530 Multifunction Printer con firmware 53.021.2 y HP Color LaserJet CP3525 Printer con firmware 05.058.4. Solo se ven afectadas las impresoras con esas versiones concretas de firmware. HP ha publicado actualizaciones del firmware para corregir estos problemas: HP Color LaserJet M3530 Multifunction Printer 53.031.4 o posterior. HP Color LaserJet CP3525 Printer 05.059.3 o posterior. Disponibles desde la web de HP en: www.hp.com Este problema es una muestra de lo importante que puede ser prestar atenci�n a todos los sistemas y dispositivos que integran nuestra red, incluso aquellos que pensemos que no pueden tener problemas como una impresora.

Actualizaci�n de seguridad para PHP

Se ha publicado la versi�n 5.3.1 de PHP, que corrige seis vulnerabilidades de seguridad en el popular lenguaje, que podr�an ser aprovechadas por un atacante remoto para saltarse restricciones de seguridad o provocar denegaciones de servicio. El primero de los problemas solucionados se debe a que PHP no limitaba el n�mero m�ximo de subidas de archivo por petici�n, con la actualizaci�n queda limitado a 20 por defecto. Un atacante podr�a explotar este problema para provocar una denegaci�n de servicio mediante el consumo de archivos temporales. Un segundo problema est� provocado por la ausencia de controles de seguridad en el tratamiento de exif. Un atacante podr�a emplear otro de los errores en "tempnam()" para evitar el modo "safe_mode". Otra de las vulnerabilidades reside en un error en "posix_mkfifo()", que podr�a permitir evitar las restricciones "open_basedir". Tambi�n se ha corregido un problema en "safe_mode_include_dir". El �ltimo de los problemas corregidos se debe a un error en popen al manejar un modo no v�lido, lo que podr�a provocar una denegaci�n de servicio. Se recomienda actualizar a PHP versi�n 5.3.1 disponible en: http://www.php.net/downloads.php

Wordpress soluciona dos errores de seguridad

Se han solucionado dos errores en Wordpress que podr�an ser aprovechados por usuarios autenticados para eludir restricciones o subir ficheros al servidor. WordPress es un sistema de gesti�n de blogs, que opera en lenguaje PHP y con soporte de base de datos MySQL. Ofrecido a la comunidad bajo licencia GPL, WordPress es uno de los gestores de blogs m�s extendido en la blogosfera. El primero de los errores solucionados es un problema de cross site scripting en el fichero "press-this.php". Este error est� causado por no filtrar correctamente las variables usadas para el t�tulo y la secci�n. El otro fallo corregido permite eludir restricciones y subir al servidor de Wordpress ficheros con doble extensi�n. El atacante solo tendr�a que visitarlos posteriormente para que se ejecutasen y obtener un mayor o menor control del servidor dependiendo de los permisos obtenidos. Se ha solucionado modificando la funci�n "sanitize_file_name" para que escriba "_" si encuentra m�ltiples extensiones y alguna no est� soportada.

Crece el numero de sitios vulnerados

Seg�n ha publicado recientemente Kaspersky Lab m�s del 60% de los sitios que controlan (entre 100.000 y 300.000 webs) han sido vulneradas m�s de una vez por atacantes para subir su malware durante el a�o 2009. El crecimiento de este fen�meno es alarmante, seg�n este estudio los sitios infectados han aumentado en 100 veces con respecto a hace solo tres a�os. El numero de p�ginas vulneradas se cuentan por miles, phishtank recibi� en octubre de este a�o m�s de 23.000 avisos, cifras muy elevadas si comparamos con 2006, en este a�o se reportaron al rededor de 7.000 avisos; muchos de estos avisos son de sitios vulnerados. Muchos de estos ataques usan t�cnicas que ahora est�n siendo explotadas desde el malware conocido como gumblar del que nuestro compa�ero David escribi� hace tiempo. Es normal viendo estos datos que la industria busque m�todos para evitar paginas infectadas o peligrosas desarrollando m�todos como Google Safe Browsing o la barra de herramientas de Netcraft para intentar proteger a los usuarios. En ocasiones hemos encontrado sitios vulnerados por varios grupos de hackers y con varias shells subidas y que son accesibles desde varios a�os atr�s. El descuido y/o la falta de conocimiento sobre como actuar ante estas situaciones son los errores que se cometen a menudo. Es muy importante que cuando se nos comunica que nuestro sitio ha sido vulnerado intentemos investigar sobre como han entrado y arreglar el fallo, de lo contrario es muy probable que vuelvan a atacarnos por el mismo sitio. Es muy posible que exista alguna shell en nuestro servidor, etiquetas iframe usadas para atacar a nuestros usuarios, malware, etc. tendremos que buscarlos y eliminarlos. Podemos pedir la ayuda de nuestro hosting para la investigaci�n ya que ellos tendr�n m�s datos que los que podamos tener nosotros. Es muy recomendable que tras a ver sufrido un ataque cambiemos las contrase�as que se usan en el servidor para evitar que acceda con nuestros datos.

Denegaci�n de servicio en WordPress

Se ha confirmado la existencia de una vulnerabilidad en WordPress por la que un atacante remoto podr�a realizar ataques de denegaci�n de servicio de forma sencilla. WordPress es un sistema de gesti�n de blogs, que opera en lenguaje PHP y con soporte de base de datos MySQL, y ofrecido a la comunidad bajo licencia GPL. WordPress es uno de los gestores de blogs m�s extendido en la blogosfera. El problema, descubierto por Jose Carlos Norte, reside en que un usuario remoto puede enviar una serie de peticiones especialmente construidas que contengan codificaciones multibyte para provocar que el script "wp-trackbacks.php" consuma grandes recursos de CPU. Se ha publicado la versi�n 2.8.5 que corrige este problema, disponible desde: http://wordpress.org/development/2009/10/wordpress-2-8-5-hardening-release/ Aunque tambi�n se recomienda la lectura de la descripci�n de la vulnerabilidad en: http://rooibo.wordpress.com/2009/10/17/agujero-de-seguridad-en-wordpress/

Actualizaci�n para m�ltiples vulnerabilidades en productos VMWare ESX

Se han corregido m�ltiples vulnerabilidades en VMWAre ESX, que podr�an ser aprovechadas por un atacante para descubrir informaci�n sensible, causar una denegaci�n de servicios o comprometer los sistemas afectados. VMware es un software que permite ejecutar diferentes sistemas operativos en un mismo PC de forma virtual. Entre otras aplicaciones, VMware es muy utilizado en seguridad inform�tica por la versatilidad que ofrece. VMWare ESX permite asignar recursos de procesador, memoria, almacenamiento de informaci�n y redes en m�ltiples m�quinas virtuales. Se han corregido un total de 48 vulnerabilidades que residen en DHCP, JRE y en el kernel del VMware ESX 3.5 y 3.0.3. Las actualizaciones est�n disponibles desde: Para ESX 3.5 Consola de Servicio DHCP http://download3.vmware.com/software/vi/ESX350-200910406-SG.zip Librer�a DHCP y kernel http://download3.vmware.com/software/vi/ESX350-200910401-SG.zip JRE http://download3.vmware.com/software/vi/ESX350-200910403-SG.zip Para ESX 3.0.3 Consola de Servicio DHCP http://download3.vmware.com/software/vi/ESX303-200910402-SG.zip

Cross site scripting e inyecci�n SQL en PhpMyAdmin 2.x y 3.x

Existen dos vulnerabilidades en phpMyAdmin que permiten inyectar c�digo SQL y realizar ataques Cross site scripting (XSS). PhpMyAdmin es una popular herramienta escrita en PHP de administraci�n de MySQL a trav�s de un navegador. Este software permite crear y eliminar bases de datos, crear, eliminar y alterar tablas, borrar, editar y a�adir campos, administrar privilegios y claves en campos, exportar datos en varios formatos; y en general ejecutar cualquier sentencia SQL. Adem�s est� disponible en m�s de 50 idiomas bajo licencia GPL. El primero de los errores tiene su origen en una la falta de validaci�n de ciertos par�metros en pmd_pdf.php. Esto podr�a ser aprovechado por un atacante para inyectar c�digo SQL y ejecutar sentencias no autorizadas. Por otro lado, existen varios errores en db_operations.php y pdf_pages.php provocados por no usar la funci�n "htmlspecialchars" cuando se muestran ciertos datos. Esto podr�a ser aprovechado por una atacante para insertar c�digo HTML o JavaScript. Si un administrador visualiza esos datos, un atacante podr�a usar JavaScript para robar su cookie de sesi�n, por ejemplo. En la versi�n 3.x este error tambi�n se encuentra en db_structure.php Estas vulnerabilidades ya han sido solucionadas y se puede descargar la nueva versi�n desde el sitio phpmyadmin.net. phpMyAdmin Advisory http://www.phpmyadmin.net/home_page/security/PMASA-2009-6.php phpMyAdmin SVN http://phpmyadmin.svn.sourceforge.net/viewvc/phpmyadmin?view=rev&revision=13034

El ataque a WPA se reduce a un minuto

Dos investigadores japoneses han descubierto un ataque sobre WPA que permitir�a romper el cifrado en un minuto. Toshihiro Ohigashi de la universidad de Hiroshima y Masakatu Morii de la universidad de Kobe presentaran los detalles del ataque en una conferencia que tendr� lugar en Hiroshima el pr�ximo 25 de septiembre. Como ya comentamos en "Una al d�a" en la pasada conferencia PacSec 2008, los investigadores alemanes Mark Tew y Martin Beck presentaron un ataque que permit�a romper parcialmente el cifrado usado por WPA en un tiempo de 12 a 15 minutos usando una t�cnica similar a "Chopchop", empleada en los ataques al protocolo WEP. Dicho ataque estaba limitado a implementaciones que soportan caracter�sticas de QoS, mientras que con esta nueva aproximaci�n, basada en el trabajo de Tew y Beck, cualquier implementaci�n WPA es susceptible de ser vulnerable y en un tiempo bastante m�s reducido. Ambos ataques se limitan a WPA usando TKIP -Temporal Key Integrity Protocol- una versi�n modificada de WEP, con lo cual no afectar�a a WPA usando AES ni al protocolo WPA2. Aclarar tambi�n que el ataque no tiene como objetivo extraer la llave PSK, fundamental para emplearla en la negociaci�n de conexiones con el punto de acceso. De momento, los ataques a WPA tan solo se pueden emplear para inyectar un determinado n�mero de paquetes falsificados en el tr�fico.

"Pantallazo azul" (BSOD) en Windows Vista y 7 a trav�s de unidades

Laurent Gaffi� ha detectado un fallo de seguridad en Windows Vista que podr�a permitir a un atacante provocar un BSOD (pantallazo azul, una denegaci�n de servicio) con solo enviar algunos paquetes de red manipulados a una m�quina que tenga activos los servicios de compartici�n de archivos (protocolo SMB). El fallo (incomprensiblemente simple) est� en el int�rprete de las cabeceras SMB, concretamente en el driver srv2.sys. Como los controladores operan en el "ring0", la capa de abstracci�n del sistema operativo m�s cercana al hardware (en contraste con el "ring3", la capa de usuario que no interact�a directamente con �l) un fallo en cualquier driver provoca que el sistema se bloquee por completo, al no poder manejar la excepci�n correctamente. Se trata del temido pantallazo azul, o BSOD. Los Windows anteriores a Windows 2000 no realizaban esta separaci�n de seguridad entre capas, por lo que todo operaba en el mismo espacio de memoria y los fallos en el espacio de usuario pod�an causar un bloqueo total del sistema. De ah� que los pantallazos azules fuesen mucho m�s comunes en Windows 9x y Me. El ataque es tan sencillo que recuerda a los "pings de la muerte" que hicieron estragos a finales de los 90 en los sistemas Windows. Conten�an un fallo en la pila TCP que hac�a que, si se enviaba un ping al sistema especialmente manipulado (simplemente especificando con un par�metro, por ejemplo, un tama�o mayor del paquete) se pod�a hacer que el sistema dejara de responder. Esto, unido a la carencia de cortafuegos del sistema, a que en aquellos momentos las conexiones se realizaban a trav�s de m�dem (que carec�a de protecci�n por cortafuegos o NAT) y el hecho de no existir servicio de actualizaci�n autom�tico del sistema, hicieron muy popular el ataque. Este fallo en el protocolo SMBv2 de compartici�n de archivos requiere igualmente del env�o de una sencilla secuencia de paquetes SMB (al puerto 445) al sistema v�ctima con las cabeceras manipuladas. El truco est� en enviar un car�cter "&" en el campo "Process Id High" de las cabeceras SMBv2. Esto provoca una excepci�n en srv2.sys que provoca el pantallazo azul. El exploit es p�blico y realmente sencillo. Vista mantiene el cortafuegos activo por defecto para su perfil "p�blico", y esto mitiga el problema. Pero todo depende del perfil. Si el usuario usa un perfil de cortafuegos (ya sea de dominio, o el perfil privado) en el que permite las conexiones a sus unidades compartidas (puerto 445, normalmente abierto en las redes locales) ser� vulnerable. No es necesario que comparta realmente una unidad, solo que el protocolo SMB est� activo y preparado para compartir en su sistema. Esto puede resultar especialmente grave en redes internas. No existe parche oficial disponible. Se recomienda filtrar el puerto 445 (y los implicados tambi�n en la compartici�n de ficheros 137-139) a trav�s de cortafuegos. Tambi�n es posible detener el servicio "Servidor" del sistema (aunque se puede llegar a perder funcionalidad). Otra contramedida posible es desactivar la casilla "compartir archivos e impresoras" que aparece en las propiedades de las interfaces de red. Aunque el ataque no permite ejecuci�n de c�digo y es poco viable que pueda propagarse por la red p�blica, s� que puede resultar m�s que molesto en redes internas donde los usuarios normalmente mantienen reglas de cortafuegos mucho m�s relajadas. �Vuelven los tiempos del "ping de la muerte"?.

Vulnerabilidad en el FTP de Microsoft IIS 5 permite ejecuci�n de c�digo

Kingcope (qui�n tambi�n descubri� el reciente fallo Webdav en IIS) ha publicado (sin previo aviso al fabricante) un exploit funcional que permite a un atacante ejecutar c�digo con permisos de SYSTEM en un servidor IIS 5.x (Internet Information Services) siempre que tenga el FTP habilitado y accesible. En la versi�n 6.x, el exploit s�lo permite provocar una denegaci�n de servicio. Microsoft engloba dentro del "paquete" IIS, entre otros, al conocido servidor web IIS y un servidor FTP que no se instala por defecto en ning�n caso. La versi�n 5.x de IIS se encuentra s�lo en servidores Windows 2000. Windows 2003 ven�a con IIS 6.x y Windows 2008 con la rama 7.x. Estrictamente hablando, no se trata de un 0 day, puesto que el fallo no ha sido detectado en ataques reales a sistemas. No se tiene constancia de que est� siendo aprovechado para vulnerar servidores. El problema es grave, puesto que permite a cualquier usuario con permisos de escritura en el FTP ejecutar c�digo en el sistema con los m�ximos privilegios. B�sicamente, si el atacante puede hacer un MKDIR por FTP (crear un directorio), el servidor completo podr�a quedar comprometido si se trata de un IIS 5.x y provocar que deje de responder si es un IIS 6.x. El fallo reside en un desbordamiento de memoria intermedia en el comando NLST del servidor FTP. El exploit publicado por Kingcope (muy sencillo de usar) crea un usuario con privilegios de administrador, pero offensive-security.com lo ha mejorado para que enlace una consola a un puerto y poder as� acceder m�s f�cilmente al servidor comprometido. No era trivial puesto que por la naturaleza del fallo, el espacio para inyectar el shellcode (c�digo m�quina que contiene las instrucciones que el atacante ejecuta gracias a la vulnerabilidad) no es demasiado extenso (unos 500 bytes). Se recomienda a los administradores de servidores Windows con IIS y el servidor FTP habilitado, que eliminen los permisos de escritura a todos lo usuarios que tengan acceso a �l. El problema se agrava si el servidor permite escribir a usuarios an�nimos. Ya existe un script de nmap que permite buscar servidores con estas caracter�sticas. Microsoft ha reconocido la vulnerabilidad pero a�n no ha publicado ninguna nota oficial al respecto. Microsoft IIS FTP 5.0 Remote SYSTEM Exploit http://www.offensive-security.com/blog/vulndev/microsoft-iis-ftp-5-0-remote-system-exploit/ Microsoft Internet Information Services (IIS) FTP Service Vulnerability http://www.us-cert.gov/current/index.html#microsoft_internet_information_services_iis1

Atacan los servidores de la fundaci�n Apache

Este viernes los servidores de la fundaci�n Apache presentaron durante unas cuantas horas una escueta p�gina informando que se encontraban investigando un incidente en sus servidores. Aclaraban que no se trataba de un exploit que afectase al popular servidor web, producto de la propia fundaci�n, sino de una llave SSH comprometida. La llave en cuesti�n permit�a el acceso a una cuenta para efectuar copias de respaldo autom�ticas del sitio web "ApacheCon", en una m�quina situada en un alojamiento externo a la fundaci�n. Dicha m�quina fue usada para subir archivos a un servidor de su infraestructura, denominado minotaur.apache.org, con funciones notables, como proveer de cuentas para los "comitters" -cuentas con acceso de escritura a los repositorios de c�digo- y de entrada a los distintos sitios web de la fundaci�n Apache. Seg�n las primeras investigaciones, fueron creados varios archivos dentro del dominio "www.apache.org", incluyendo varios scripts CGI, que fueron usados para sincronizar dichos archivos con varios servidores en producci�n e inyectar procesos en los servicios web funcionales. Tras detectar los procesos que inyectaron los atacantes procedieron a detener los sistemas afectados, de esta manera, por algunos instantes, no se pod�a acceder a ninguno de los sitios web de Apache, hasta que se procedi� a cambiar los DNS hacia una m�quina no afectada para mostrar un mensaje informativo indicando la situaci�n en la que se encontraban. Despu�s de asegurarse de que la infraestructura que la fundaci�n posee en Europa no estaba afectada -los atacantes llegaron a subir los archivos pero no fueron ejecutados-, usaron las copias de respaldo no comprometidas para restaurar los servicios en lo posible, permaneciendo gran parte de su infraestructura detenida para evaluar los da�os causados por los atacantes. Aunque, seg�n Apache, no tienen conocimiento de usuarios finales afectados, ni de que las descargas fueran afectadas, enfatizan efectuar la verificaci�n de la firma digital de los archivos.

Vulnerabilidades de desbordamiento de b�fer en HP OpenView Network Nod

Se ha anunciado la existencia de tres vulnerabilidades en HP OpenView Network Node Manager (OV NNM), que podr�an ser explotadas por atacantes remotos para comprometer un sistema vulnerable. HP Openview Network Node Manager (NNM) es la herramienta que dio origen a la familia productos HP Openview. Se trata de un conjunto de herramientas para la administraci�n de redes, posee funciones de monitorizaci�n de dispositivos, recolecci�n, almacenamiento y tratamiento de informaci�n SNMP. El primero de los problemas se debe a un desbordamiento de b�fer basado en pila en el CGI "OvCgi/Toolbar.exe" cuando procesa el par�metro de cookie "OvOSLocale" de gran tama�o, que podr�a ser explotado por atacantes remotos para ejecutar c�digo arbitrario mediante peticiones http especialmente creadas. La segunda vulnerabilidad est� provocada por un desbordamiento en heap en el CGI "OvCgi/Toolbar.exe" al procesar el par�metro "OvAcceptLang" de cookie con un gran tama�o, igualmente podr�a ser explotado por atacantes remotos para ejecutar c�digo arbitrario mediante peticiones http especialmente creadas. Por �ltimo, un tercer desbordamiento basado en heap en el CGI "OvCgi/Toolbar.exe" al procesar un valor de cabecera "Accept-Language" excesivamente largo. Tambi�n podr�a ser explotado por atacantes remotos para ejecutar c�digo arbitrario mediante peticiones http creadas a tal efecto. Se ven afectadas las versiones HP OpenView Network Node Manager (OV NNM) v7.01, v7.51, v7.53 sobre HP-UX, Linux, Solaris y Windows. Se recomienda consultar el aviso de HP desde el que se pueden descargar las actualizaciones necesarias en funci�n de la versi�n y plataforma afectada: http://h20000.www2.hp.com/bizsupport/TechSupport/Document.jsp?objectID=c01696729

Actualizaci�n para Windows Media

Dentro del conjunto de boletines de seguridad de agosto publicado este pasado martes por Microsoft y del que ya efectuamos un resumen, se cuenta el anuncio (en el bolet�n MS09-038) de una actualizaci�n cr�tica para el reproductor multimedia Windows Media destinada a resolver dos vulnerabilidades de ejecuci�n remota de c�digo. Los dos problemas residen en el tratamiento de archivos .avi especialmente manipulados, y podr�an permitir a un atacante remoto conseguir el control del sistema afectado si el usuario abre un archivo .avi malicioso con Windows Media. � El primero de los problemas corregidos reside en un desbordamiento de enteros en el controlador de ficheros AVI al validar los datos. Esto podr�a ser aprovechado por un atacante remoto para ejecutar c�digo arbitrario a trav�s de un fichero .avi especialmente manipulado. El otro problema corregido consiste en un error en el controlador de cabeceras de ficheros AVI. Esto podr�a ser aprovechado por una atacante remoto para ejecutar c�digo arbitrario a trav�s de un fichero .avi con la cabecera manipulada. Se recomienda actualizar los sistemas afectados mediante Windows Update o descargando los parches seg�n plataforma desde la p�gina del bolet�n de seguridad: http://www.microsoft.com/technet/security/bulletin/ms09-038.mspx

Adobe distribuye una versi�n vulnerable desde su p�gina oficial

Desde la p�gina oficial de Adobe "Get Reader" los usuarios pueden descargar la �ltima versi�n 9.1 del lector de PDF. El problema es que esta versi�n tiene 14 fallos de seguridad. Est�n solucionados, y existe versi�n que los corrige, pero Adobe conf�a (sin advertirlo expl�citamente) en que sean los propios usuarios los que, tras la descarga, actualicen manualmente el lector. Despu�s de la versi�n 9.1, Adobe public� la 9.1.1, e incluso m�s tarde, la 9.1.2 para solucionar graves problemas de seguridad. Pero no las distribuye para usuarios de Mac y Windows. Para usuarios de Linux, sin embargo, s� que se puede descargar directamente la versi�n 9.1.2. El sistema de actualizaci�n de Adobe se ejecuta por defecto una vez a la semana, con lo que, si el usuario no se percata de que acaba de descargar una versi�n vulnerable, no obtendr� la �ltima actualizaci�n hasta una semana m�s tarde desde su descarga. Este es el escenario m�s probable, puesto que es l�gico pensar que los usuarios concluyan que acaban de descargar la �ltima versi�n no vulnerable cuando acuden al sitio oficial si no son advertidos de lo contrario. Pero no es as�. Varios usuarios descargaron la �ltima versi�n de Reader desde el sitio oficial de Adobe, y ejecutaron la herramienta PSI (Personal Security Inspector) de Secunia para comprobar si en su sistema exist�a alg�n software vulnerable. Lo que en principio parec�a un fallo de detecci�n del programa, ha sido ahora confirmado. Descargaban la versi�n 9.1 vulnerable. Un parche o versi�n corregida que no se ha difundido oficialmente, no es un parche real. Una pol�tica mucho m�s correcta hubiese sido, o bien ofrecer directamente para descarga directa las versiones no vulnerables, o bien obligar, una vez descargado, a ejecutar autom�ticamente el actualizador durante la instalaci�n, para que los parches sean aplicados. A efectos pr�cticos, Adobe estaba abriendo deliberadamente una ventana de tiempo en el que permit�a que sus clientes se mantuviesen vulnerables a ataques que est�n siendo aprovechados activamente. Normalmente a trav�s de ficheros PDF especialmente manipulados, y que permiten la ejecuci�n de c�digo en el sistema. Esta actitud solo ser�a "permisible" cuando el parche no est� convenientemente probado. Esto es, que no introduzca errores de inestabilidad, que solucione todos los vectores por los que una vulnerabilidad puede ser aprovechada, que no exija recompilaci�n, etc. Esto ocurri�, por ejemplo, con la pen�ltima vulnerabilidad en Firefox. Aunque el problema estaba localizado e incluso exist�an versiones en desarrollo no vulnerables, Firefox ofreci� durante d�as la versi�n vulnerable en su p�gina oficial hasta que integr� la soluci�n en una nueva versi�n. Pero cuando el parche est� m�s que aprobado, e incluso ya integrado en nuevas versiones, no hay excusas para retrasar su aplicaci�n. No se entiende esta pol�tica de Adobe, que anda despistado intentando implantar nuevas pol�ticas de seguridad, pero parece que debe todav�a aprender mucho al respecto. Adobe doles out bug-filled PDF Reader to users http://www.computerworld.com/s/article/9135687/Adobe_doles_out_bug_filled_PDF_Reader_to_users

Parches gigantescos

Microsoft ha batido su propio r�cord: ha solucionado 31 problemas de seguridad en su �ltima tanda de diez boletines. Este argumento puede ser utilizado como un arma arrojadiza contra la seguridad de Microsoft, o de cualquier otro. �Se puede medir la seguridad por un n�mero? No. Los tiempos han cambiado. Igual que hace apenas unos 5 a�os las casas antivirus se jactaban de ser capaces de reconocer unos pocos cientos de miles de virus, hoy esa publicidad es impensable. Los n�meros no significan nada cuando las cifras son tan elevadas que ya no tienen sentido para un usuario. Nadie podr�a cuantificar el n�mero de "virus" que existen hoy, mucho menos cu�ntos miles m�s aparecer�n, literalmente, ma�ana. Ser�a necesaria otra m�trica mucho m�s precisa para evaluar la gesti�n de seguridad de un producto. Los antivirus hablan de protecci�n global, de heur�stica, de seguridad en tiempo real con nubes e inteligencia colectiva. Los responsables de programas deben hablar de claridad, velocidad, efectividad, respuesta, informaci�n, planificaci�n y servicio. Quedarse en las cifras es tan ambiguo que puede significar cualquier cosa, dependiendo de la intenci�n del que lo anuncie. Oracle se mueve en la media de 50 vulnerabilidades corregidas cada tres meses. Hace un par de a�os su media era de m�s de 100. Pero eso no es lo que lo hace especialmente inseguro. Oracle es inseguro b�sicamente por las pocas facilidades e informaci�n que ofrecen a un administrador y porque puede pasar meses o a�os sin solucionar un fallo conocido. Otro ejemplo: Apple publica cuando puede o quiere (cada pocos meses) parches "jumbo" que corrigen m�s de 60 vulnerabilidades. El problema es que no se caracteriza por ser especialmente claro o r�pido a la hora de solucionar fallos de seguridad. Microsoft no es r�pido, pero s� es muy claro en sus boletines, ofreciendo una informaci�n muy �til al administrador que deba aplicar los parches. Sun, por ejemplo, independientemente de los n�meros, es especialmente lento a la hora de corregir fallos de seguridad en Solaris. Para evaluar, hay que tener en cuenta a todos los actores condicionantes. Ocho de estas �ltimas vulnerabilidades est�n dedicadas a Internet Explorer. Quiz�s lo relevante es que ha solucionado por fin (el �ltimo tras Safari y Firefox) el fallo en el navegador que permiti� ganar el concurso Pwn2Own en marzo. Sin embargo, independientemente de los n�meros, Apple fue tambi�n el �ltimo gran fabricante en solucionar el fallo de seguridad en DNS descubierto por Kaminsky. Microsoft ya ha corregido el grave problema en WebDAV pero no el 0day en DirecShow... Adobe, por ejemplo, ante una avalancha de problemas de seguridad que no ha sabido manejar, ha tomado la decisi�n de agrupar la publicaci�n de parches peri�dicamente, al igual que hizo Microsoft en 2003, y al que siguieron Cisco con su IOS y Oracle. Acaba de publicar (el mismo d�a que Microsoft, en un movimiento poco respetuoso con los administradores) nada menos que parches para 13 vulnerabilidades. Pero no debemos detenernos aqu�: Adobe est� intentando manejar un problema nuevo para �l, con el que Microsoft se est� enfrentando desde hace muchos a�os (la seguridad) y parece positivo que tome decisiones que puedan ayudar a mejorar este aspecto. De las cifras, por tanto, se pueden extraer muchas conclusiones. Tan buenas o malas como quiera el que recopile la informaci�n. Se puede hablar de que si se detectan m�s fallos es porque se est� realizando una mejor labor en ese aspecto, o porque el software sigue siendo inseguro despu�s de muchos a�os en producci�n (m�s probable esto �ltimo en el caso concreto de XP, concebido cuando la seguridad para Microsoft era secundaria)... Para evaluar la gesti�n de la seguridad de un producto no podemos detenernos en interpretar cifras. Es necesario realizar un seguimiento objetivo sobre la gesti�n, incorporando aspectos como la claridad de la informaci�n, la velocidad de aparici�n de parches efectivos (que no contengan regresiones, como suele ocurrir con los paquetes de Debian), el momento en el que son emitidos (es inevitable pensar en la comodidad de los administradores), los canales y facilidades que ofrecen para el parcheo, etc... y vigilar esto durante un tiempo. Las cifras adornan titulares y rellenan gr�ficas. Pero sin olvidar que informan en un contexto. Por s� solas no siempre tienen valor. Hay que reconocer que es complicado ofrecer un estudio objetivo en este aspecto.

Actualizaci�n del kernel de Windows

Dentro del conjunto de boletines de seguridad de abril publicado el pasado martes por Microsoft y del que ya efectuamos un resumen, se cuenta el anuncio (en el bolet�n MS09-025) de una actualizaci�n del kernel de Windows destinada a solucionar cuatro nuevas vulnerabilidades sobre sistemas Windows 2000, XP, Vista, Windows Server 2003 y 2008. Se ha corregido un problema en el kernel de Windows debido a que no valida correctamente los cambios en determinados objetos del kernel. Esto podr�a permitir a un atacante local ejecutar c�digo arbitrario con privilegios elevados. Se ha corregido una vulnerabilidad de elevaci�n de privilegios en el kernel de Windows debida a una validaci�n insuficiente de determinados punteros pasados desde el modo de usuario. Tambi�n se ha corregido otra vulnerabilidad de elevaci�n de privilegios debida a que el kernel de Windows no valida correctamente un argumento pasado a una llamada del sistema del kernel de Windows. Por �ltimo, una vulnerabilidad de elevaci�n de privilegios cuando el kernel de Windows valida incorrectamente la entrada pasada desde el modo de usuario al kernel al editar un par�metro de escritorio espec�fico. Se recomienda actualizar los sistemas afectados mediante Windows Update no descargando los parches seg�n plataforma desde la p�gina del bolet�n de seguridad: http://www.microsoft.com/technet/security/bulletin/MS09-025.mspx

Malware en cajeros autom�ticos

SpiderLabs ha publicado un estudio en el que analizan un ejemplar de malware que afecta a cajeros autom�ticos. Se le ha seguido por Europa del Este durante 18 meses. Ya en marzo, a trav�s del blog de Hispasec, se anunci� la noticia de un ejemplar que afectaba a los cajeros de la marca Diebold en Rusia. En ese caso las muestras fueron analizadas por SophosLabs y suministradas a trav�s de VirusTotal donde llegaron el 11 de noviembre de 2008. Con un total de 16 actualizaciones hasta ahora y una calidad de c�digo etiquetada de "profesional" en su factura, el ejemplar estudiado por SpiderLab es instalado, al parecer, por personal desde dentro de la entidad bancaria, y permanece en la m�quina afectada monitorizando la cola de mensajes de las transacciones esperando a que un usuario inserte su tarjeta y pin para ser copiados. �D�nde env�a los datos robados? No los env�a. El troyano no hace uso de la red, no tiene capacidad alguna para efectuar comunicaciones, posiblemente para no levantar sospechas en los sistemas de monitorizaci�n de tr�fico del banco. En su lugar, lo que hace es esperar a que una tarjeta de control sea insertada, en ese momento el troyano presentar� en pantalla un men� con diversas opciones, entre las cuales se encuentran la de imprimir por la impresora del cajero los datos robados, resetear los logs a cero (para no amontonar los datos ya extra�dos), desinstalar el troyano, resetear el cajero y la m�s lucrativa aunque tambi�n notoria: sacar todo el dinero en efectivo que tenga el cajero en ese momento. Aunque no todas las opciones est�n disponibles para todos los usuarios. Hay dos tipos de niveles, para los administradores y otra con funciones recortadas, supuestamente para colaboradores, l�ase "muleros". De momento todos los casos han necesitado de un colaborador para infectar manualmente la m�quina, dificultad que impide la proliferaci�n de casos de este tipo de malware.

0 day en Microsoft DirectX

Microsoft ha reconocido en un aviso oficial una vulnerabilidad en DirectX sobre 2000, XP y 2003 que podr�a permitir a un atacante ejecutar c�digo arbitrario. El fallo parece que se est� aprovechando en estos momentos por atacantes, por lo que se convierte en un 0 day. Es explotable a trav�s de archivos de QuickTime. DirectX es una colecci�n de APIs creadas para facilitar tareas relacionadas con la programaci�n de juegos y multimedia en Windows. El kit de desarrollo de DirectX (SDK) y el EndUser Runtime se distribuyen gratuitamente por Microsoft y tambi�n adjunto a muchos programas que lo utilizan. DirectX 7.x, 8.x y 9.x sobre Windows 2000, XP y 2003 sufre de una vulnerabilidad en la forma en la que DirectShow (en quartz.dll) maneja el formato QuickTime. Si la v�ctima abre un archivo QuickTime especialmente manipulado a trav�s de cualquier v�a (tambi�n a trav�s el navegador), el atacante podr�a ejecutar c�digo arbitrario con los permisos del usuario que ejecuta la aplicaci�n. Se recomienda tomar cualquiera de estas acciones: a) Deshabilitar la interpretaci�n de contenido QuickTime en quartz.dll borrando la rama HKEY_CLASSES_ROOTCLSID{D51BD5A0-7548-11CF-A520-0080C77EF58A} del registro. b) Modificar la ACL de quartz.dll eliminando los permisos NTFS c) Desregistrando la librer�a (Regsvr32.exe -u %WINDIR%system32quartz.dll)

Las palabras m�s infecciosas

McAfee ha publicado un estudio con las palabras que pueden ser m�s peligrosas a la hora de visitar los resultados que producen en un buscador. O sea, las palabras que tienen m�s probabilidad que lleven a un usuario a un sitio en el que quede infectado por malware. La ganadora es "screensavers" con un riesgo del 60%. McAfee ha buscado 2.658 palabras y frases en 413.368 URLs para comprobar qu� t�rminos pueden exponer al usuario a un mayor n�mero de direcciones que alojen malware o fraudes. Concluye que todas las b�squedas que incluyan la palabra "free" (en este contexto, ser�a "gratis") tienen un mayor riesgo (un 21%) mientras que las m�s seguras suelen ser las b�squedas relacionadas con t�rminos m�dicos o de salud. El estudio de McAfee no deja de ser anecd�tico. El mundo del malware y sus creadores se han anticipado al dinamismo de la Red actual, y parecen trabajar a un ritmo mucho m�s acelerado "para estar a la �ltima" que el resto de la industria. Esto hace que lo que hoy es considerado "menos peligroso" (un t�rmino m�s adecuado que "seguro"), constituya un peligro grave y patente a corto plazo. Por ejemplo, hace ya muchos a�os que los atacantes aprovechan cualquier acontecimiento relevante, social, pol�tico o de cualquier otra �ndole para crear campa�as de env�o de correo basura por email. Si no, lo inventan. Las muertes ficticias de pol�ticos, deportistas o famosos en general han sido enviadas en muchas ocasiones como anuncios en primicia a trav�s del correo, incluyendo un v�deo demostrativo que esconde el malware. La ventaja es que la infraestructura de los atacantes est� ah�, solo tienen que cambiar la presentaci�n, el papel de regalo. Por ejemplo, Conficker apareci� aprovechando la vulnerabilidad MS09-067, solo unos d�as despu�s de que fuera hecha p�blica. Esto no significa que fuera creado desde cero en ese tiempo, sino que sus creadores estaban atentos a la aparici�n de una vulnerabilidad de estas caracter�sticas. As�, incluyeron el c�digo necesario para aprovecharla, y cubrir as� de forma eficaz el m�dulo de "expansi�n" que les faltaba para completar su obra. El resto de la infraestructura del troyano llevaba, probablemente, meses siendo preparada y esperando el momento exacto. Los atacantes pues, dedican un tiempo de desarrollo significativo al estudio de las tendencias y nuevas t�cnicas, modas y preferencias que aparecen en la Red para aprovecharlas cuanto antes y hasta sus �ltimas consecuencias. En el caso de las palabras de b�squeda, ocurre igual. A finales de 2008, usaron Google Trends para sindicar en tiempo real las palabras de b�squeda m�s populares, y poder as� posicionar el malware m�s arriba en la lista de resultados de Google . Google Trends es un servicio de Google Labs que muestra los t�rminos diarios m�s buscados, actualizados cada poco tiempo. Los atacantes supieron exprimir el servico en provecho propio, optimizando las b�squedas. Por supuesto, hab�an registrado previamente blogs y plataformas 2.0, para poder modificarlas con las palabras necesarias de forma autom�tica y escalar en los resultados de los buscadores. Por �ltimo, y con respecto al estudio de McAfee, cabe destacar que han contabilizado los sitios fraudulentos "puros", creados espec�ficamente para ello. El problema es que literalmente, cientos de miles de p�ginas web leg�timas son comprometidas e infectadas cada minuto con scripts que hacen que el visitante sea como m�nimo, atacado. Por tanto, p�ginas leg�timas hoy que aparecen en los primeros puestos de los buscadores ante cualquier b�squeda, pueden resultar nefastas ma�ana. En conclusi�n el peligro, como siempre, no son las palabras que puedan ser buscadas en s�, aunque s� es cierto que algunas palabras m�s que otras, indican que el que las pretende encontrar est� en realidad buscando problemas a gritos.

Microsoft corrige 14 vulnerabilidades en PowerPoint

Tal y como adelantamos, este martes Microsoft ha publicado s�lo un bolet�n de seguridad (el MS09-017) correspondientes a su ciclo habitual de actualizaciones. Esta actualizaci�n que corrige un total de 14 vulnerabilidades presenta, seg�n la propia clasificaci�n de Microsoft, un nivel de gravedad "cr�tico". Las vulnerabilidades corregidas afectan a diversas versiones de PowerPoint de Microsoft Office (XP, 2000, 2002, 2003 y 2007), Office para Mac y el visor de archivos PowerPoint (PowerPoint Viewer 2003 y 2007). Entre las vulnerabilidades corregidas se incluye el problema ya comentado anteriormente que ven�a siendo explotado de forma activa desde primeros de abril. Todos los problemas corregidos pueden permitir la ejecuci�n remota de c�digo al abrir un archivo PowerPoint maliciosamente construido. El problema se agravaba al ser PowerPoint un formato de archivo sobre el que la gente tiende a confiar, y que se usa con frecuencia para el intercambio de presentaciones de todo tipo entre usuarios (desde presentaciones profesionales hasta totalmente intrascendentes), lo que podr�a permitir la r�pida infecci�n debido precisamente a estos factores. Las actualizaciones publicadas pueden descargarse a trav�s de Windows Update o desde el bolet�n de Microsoft donde se incluyen las direcciones de descarga directa de cada parche. Dada la gravedad de las vulnerabilidades se recomienda la actualizaci�n de los sistemas con la mayor brevedad posible. Microsoft Security Bulletin Summary for May 2009 http://www.microsoft.com/technet/security/bulletin/ms09-may.mspx

Microsoft publica la versi�n 2.0 de "La protecci�n de datos personales. Soluciones en entornos Microsoft"

Seis a�os despu�s de su primera versi�n, Microsoft publica esta gu�a pr�ctica, gratuitamente en formato electr�nico, que ayuda a aplicar una parte de la Ley org�nica de Protecci�n de Datos (LOPD) para quien trabaje con software de Microsoft. El libro tambi�n puede ayudar a entender de forma pr�ctica esta ley. A principios de 2008 se aprob� el nuevo Real Decreto 1720/2007 que desarrolla la Ley org�nica de Protecci�n de Datos (LOPD), que regula c�mo y de qu� forma hay debe cumplir con ella. Afecta a todas las empresas que trabajen con datos personales (la inmensa mayor�a) y est� destinada a proteger los datos personales almacenados en los sistemas de informaci�n en funci�n de su sensibilidad. En el a�o 2002, y ante la publicaci�n del anterior Real Decreto de Protecci�n de Datos, Microsoft Ib�rica cre� un manual t�cnico y pr�ctico sobre c�mo cumplir con dicha legislaci�n desde la perspectiva t�cnica. El libro mostraba el texto de la ley y c�mo llevarlo a la pr�ctica en entornos Windows, paso a paso y de forma muy sencilla. Ante el �xito obtenido, se ha publicado una segunda versi�n actualizada con el doble de p�ginas. Los coautores son:

* Jos� Mar�a Alonso Cebri�n de Inform�tica 64, Microsoft MVP en el �rea de Seguridad.
* Juan Lu�s Garc�a Rambla de Inform�tica 64, Microsoft MVP en el �rea de Seguridad.
* Antonio Soto. Director de Solid Quality.
* David Suz P�rez. Consultor de Microsoft Ib�rica.
* Jos� Helguero Sainz. Director General de Helas Consultores. Miembro de la Comisi�n de Seguridad de ASIMELEC.
* Mar�a Estrella Blanco Pati�o, Responsable de publicaciones de Helas Consultores.
* Miguel Vega Mart�n, Director de Marketing de IPS Certification Authority. Miembro de la Comisi�n de Seguridad de ASIMELEC.
* H�ctor S�nchez Montenegro. National Technology Officer de Microsoft Ib�rica. El manual recoge muchas recomendaciones t�cnicas contextualizadas art�culo por art�culo (relevante en tecnolog�a), del reglamento de la LOPD. Servir� de ayuda a t�cnicos, directores de sistemas y directores de seguridad que trabajen con Windows y que deben plasmar en configuraciones t�cnicas concretas, las exigencias legales de un reglamento como el de la LOPD. El manual es tambi�n �til para los no t�cnicos que necesiten entender con un lenguaje llano y no especializado, el reglamento. En cualquier caso, el libro no es ninguna f�rmula m�gica para cumplir con la LOPD. Cumplir por completo con la ley es mucho m�s complejo que lo que recoge el libro (entendiendo que est� enfocado a entornos Windows, pero que puede ayudar para asegurar otras plataformas). Aun as�, supone una lectura necesaria para descubrir la "traducci�n t�cnica" de las leyes, a veces redactadas con un lenguaje poco pr�ctico para ser llevado a la realidad.

Microsoft publicar� ocho boletines de seguridad el pr�ximo martes

En su ciclo habitual de actualizaciones los segundos martes de cada mes, Microsoft ha anunciado que en esta ocasi�n se esperan ocho boletines de seguridad. Las actualizaciones afectar�an a su sistema operativo Windows, a Internet Explorer, Office y a ISA. Si en marzo se publicaron tres boletines de seguridad, este mes Microsoft prev� publicar ocho actualizaciones el martes 14 de abril. Cinco dedicadas a Windows (una de ellas compartida con Office), una a Internet Explorer, otra a ISA y una a Office (en concreto a Excel). Cinco alcanzan la categor�a de cr�ticas, dos est�n catalogadas como importantes y una como moderada. Adicionalmente, y como viene siendo habitual, Microsoft publicar� una actualizaci�n para Microsoft Windows Malicious Software Removal Tool. Adem�s, se publicar�n actualizaciones de alta prioridad no relacionadas con la seguridad. Parece que Microsoft corregir� en esta tanda de parches el grave problema de seguridad encontrado en su hoja de c�lculo Excel. El pasado 24 de febrero, Microsoft reconoci� en una nota oficial que estaban investigando la existencia de una nueva vulnerabilidad en Office Excel que podr�a permitir la ejecuci�n remota de c�digo si un usuario abre un archivo Excel especialmente manipulado. Lo que no es seguro, si se solucionar� el grave problema en PowerPoint que Microsoft reconoci� a principios de abril. Como es habitual, cada bolet�n podr� contener un n�mero indeterminado de correcciones de seguridad y hay que se�alar que, en cualquier caso, el adelanto que ofrece Microsoft est� sujeto a cambios de �ltima hora.

Sun corrige 15 vulnerabilidades en JRE 1.5,x y 6.x

La nueva versi�n 13 de la rama 6 de Java Runtime Environment corrige m�ltiples vulnerabilidades, como viene siendo habitual. El "Update 13", como su propio nombre indica, es la decimotercera tanda de correcci�n de problemas de seguridad desde que apareci� la rama 6 hace ahora dos a�os.

Waledac.V utiliza falsas noticias para propagarse

PandaLabs, el laboratorio de detecci�n y an�lisis de malware de Panda Security, ha descubierto un nuevo gusano de la familia Waledac, Waledac.V, que est� utilizando noticias de falsos ataques en ciudades como cebo para enga�ar a los usuarios. El gusano se distribuye en correos con asuntos como: �Look at this!! (�mira esto!) �Damned terrorists!!! (�malditos terroristas!) �Did it really happen in your city??? (�ocurri� esto en tu ciudad?) Los links de los correos redirigen a una p�gina web falsa que imita a la original de la agencia Reuters (Imagen aqu�: http://www.flickr.com/photos/panda_security/3370104792/ ). En ella se muestra un video que, si el usuario intenta reproducirlo, le pedir� que se descargue cierto complemento para poder hacerlo. Ese complemento no es otra cosa que un ejemplar del gusano Waledac.V. Para dar mayor verosimilitud a la noticia, la p�gina incluye en su p�gina inferior un link a una b�squeda de Google, que remite a una b�squeda antigua sobre ataques en ciudades (imagen aqu�: http://www.flickr.com/photos/panda_security/3370104886/) y a una p�gina de Wikipedia (imagen aqu�: http://www.flickr.com/photos/panda_security/3369280677/ ) "Waledac ha sido una de las familias m�s activas en los �ltimos meses provocando un importante n�mero de infecciones con ocasi�n de importantes eventos como San Valent�n, las elecciones de los Estados Unidos, etc-", explica Luis Corrons, director t�cnico de PandaLabs Para evitar ser v�ctima de este tipo de ataques, PandaLabs recuerda a los usuarios que deben ignorar todo correo electr�nico que llegue de fuentes desconocidas, sobre todo, si anuncia alg�n tipo de noticia sensacionalista o espectacular.

Falsificaci�n a trav�s de los servidores DNS y WINS en Windows

Dentro del conjunto de boletines de seguridad de marzo publicado el pasado martes por Microsoft y del que ya efectuamos un resumen, se cuenta el anuncio (en el bolet�n MS09-008) de una actualizaci�n importante para el servidor DNS y WINS que solventa cuatro vulnerabilidades que podr�an ser aprovechadas por un atacante remoto para falsificar respuestas y redirigir tr�fico de red hacia sus propios sistemas. El primero de los problemas reside en una vulnerabilidad de falsificaci�n en el servidor de DNS de Windows causada porque no se hace uso de las respuestas cacheadas al recibir peticiones especialmente manipuladas, lo que podr�a permitir que los IDs de las siguientes transacciones sean m�s predecibles. Esto podr�a ser aprovechado por un atacante remoto para falsificar respuestas, pudiendo redirigir tr�fico de Internet. Otra vulnerabilidad de falsificaci�n en el servidor de DNS de Windows est� causada porque no se cachean de forma adecuada ciertas respuestas DNS. Esto llevar�a al servidor a hacer consultas innecesarias, lo que podr�a permitir que los IDs de las siguientes transacciones fueran m�s predecibles. �sto podr�a ser aprovechado por un atacante remoto para falsificar respuestas, pudiendo redirigir tr�fico de Internet. Existe una vulnerabilidad a ataques man-in-the-middle en el servidor de DNS cuando se usan las actualizaciones din�micas y los ISATAP y WPAD todav�a no se han registrado en el DNS. El problema est� causado porque el servidor de DNS no valida de forma correcta quien puede registrar entradas WPAD en el servidor DNS. Esto podr�a ser aprovechado por un atacante remoto para falsificar un servidor web, pudiendo redirigir tr�fico de Internet. Por �ltimo, tambi�n se ha corregido una vulnerabilidad similar a ataques man-in-the-middle en el servidor de WINS cuando se usan las actualizaciones din�micas y los ISATAP y WPAD todav�a no se han registrado en el WINS. El problema est� causado porque el servidor de WINS no valida de forma correcta quien puede registrar entradas WPAD en el servidor WINS. �sto podr�a ser aprovechado por un atacante remoto para falsificar un servidor web, pudiendo redirigir tr�fico de Internet. Se recomienda actualizar los sistemas afectados mediante Windows Update o descargando los parches seg�n sistema y versi�n desde la p�gina del bolet�n de seguridad de Microsoft: http://www.microsoft.com/spain/technet/security/Bulletin/ms09-008.mspx Bolet�n de seguridad de Microsoft MS09-008 � Importante Vulnerabilidades en el servidor DNS y WINS podr�an permitir la suplantaci�n de identidad http://www.microsoft.com/spain/technet/security/Bulletin/ms09-008.mspx

Actualizaci�n del kernel de Windows

Dentro del conjunto de boletines de seguridad de marzo publicado el pasado martes por Microsoft y del que ya efectuamos un resumen, se cuenta el anuncio (en el bolet�n MS09-006) de una actualizaci�n cr�tica para el kernel de Windows (para las versiones XP, 2000, Server 2003, Server 2008 y Vista). Se corrigen tres vulnerabilidades podr�an permitir a un atacante remoto causar una denegaci�n de servicio o ejecutar c�digo arbitrario, o a un atacante local escalar privilegios. La primera vulnerabilidad est� causada por un error de validaci�n de entrada al procesar de forma incorrecta las entradas de modo usuario al kernel, a trav�s del componente GDI. Esto podr�a ser aprovechado para ejecutar c�digo remoto. La segunda vulnerabilidad est� causada por un error en el kernel de Windows al no procesar de forma adecuada los controladores. El error podr�a ser aprovechado por un atacante local para tomar control total sobre el sistema. Por �ltimo, tambi�n se ha corregido una vulnerabilidad causada por un error al manejar de forma incorrecta los punteros no v�lidos especialmente manipulados. El error podr�a ser aprovechado por un atacante local para tomar control total sobre el sistema. Se recomienda actualizar los sistemas afectados mediante Windows Update o descargando los parches seg�n sistema y versi�n desde la p�gina del bolet�n de seguridad de Microsoft: http://www.microsoft.com/spain/technet/security/Bulletin/ms09-006.mspx

Adobe parchea a medias su vulnerabilidad casi un mes despu�s, mientras Foxit Reader lo soluciona en 10 d�as

La ShadowServer Fundation advirti� el d�a 19 de febrero de una potencial vulnerabilidad en Adobe Acrobat Reader que podr�a permitir a un atacante ejecutar c�digo arbitrario. Al descubrirse el problema mientras estaba siendo aprovechado activamente por atacantes, se convierte en un grave 0day. Adobe reconoci� la vulnerabilidad y esper� al d�a 10 de marzo para publicar parche solo para algunas versiones. Foxit Reader, afectada por un problema muy parecido, necesit� solo 10 d�as para solucionar el fallo. Es m�s que probable que el fallo fuese conocido incluso desde hace bastante m�s tiempo, y que Adobe tuviese constancia de su existencia. Pero solo lo reconoci� el mismo d�a en el que la ShadowServer lo hizo p�blico. El d�a 23, para complicar el asunto, aparece un exploit p�blico para m�ltiples lectores PDF, que permite una denegaci�n de servicio aprovechando los flujos JBIG2, base del problema de Adobe. Este ejemplo daba muchas pistas a los atacantes sobre c�mo crear un exploit que permitiese la ejecuci�n de c�digo. El d�a 26 de febrero, SourceFire (due�os del IDS snort) publica un parche r�pido para mitigar el problema. El d�a 27, Secunia avisa a Foxit Reader, otro popular lector de PDF, de que tambi�n es vulnerable a este problema. 10 d�as despu�s Foxit publica una actualizaci�n y lo soluciona. Adobe ha necesitado m�s de 20 d�as para publicar un parche para s�lo algunas de sus versiones. Y contando desde que lo reconociera, que no significa que no estuviese al tanto desde bastante antes. Adobe lo soluciona un d�a antes del prometido, pero solo a medias. Publica la versi�n 9.1 para Windows, olvidando las ramas 8 y 7 para otros sistemas operativos. Para colmo, recientemente se ha descubierto una nueva forma mucho m�s sencilla de aprovechar la vulnerabilidad. Un nuevo vector de ataque que permite incluso ejecutar c�digo sin necesidad de abrir el archivo con el lector. A trav�s del explorador de Windows, simplemente mostrando una carpeta que contenga un documento PDF especialmente manipulado (y bas�ndose en el servicio de indexaci�n, que deber�a estar activo), ser�a posible ejecutar c�digo en el sistema.

Boletines de seguridad de Microsoft en marzo

Tal y como adelantamos, este martes Microsoft ha publicado tres boletines de seguridad (del MS09-006 y MS09-008) correspondientes a su ciclo habitual de actualizaciones, que corrigen un total de ocho vulnerabilidades. Seg�n la propia clasificaci�n de Microsoft uno de los boletines presenta un nivel de gravedad "cr�tico", mientras que los dos restantes son "importantes". El bolet�n "cr�tico" es: * MS09-006: Actualizaci�n del kernel de Microsoft Windows que soluciona tres vulnerabilidades que podr�an permitir la ejecuci�n remota de c�digo arbitrario. Los dos boletines "importantes" son: * MS09-007: Actualizaci�n destinada a corregir una vulnerabilidad en Secure Channel (Schannel) de Windows que podr�a permitir a un atacante remoto la falsificaci�n de certificados. * MS09-008: Actualizaci�n para DNS y WINS que resuelve cuatro vulnerabilidades que podr�an ser aprovechadas por un atacante remoto para falsificar respuestas y redirigir tr�fico de Internet. Las actualizaciones publicadas pueden descargarse a trav�s de Windows Update o consultando los boletines de Microsoft donde se incluyen las direcciones de descarga directa de cada parche. Dada la gravedad de las vulnerabilidades se recomienda la actualizaci�n de los sistemas con la mayor brevedad posible.

Actualizaci�n de m�ltiples paquetes para SuSE Linux.

SuSE ha publicado una actualizaci�n para m�ltiples paquetes de diversos productos SuSE Linux que corrigen numerosos problemas de seguridad. De forma resumida, las vulnerabilidades son: * Salto de restricciones de seguridad a trav�s de redirecciones HTTP en curl, que podr�a permitir el acceso a archivos del sistema local. * Denegaci�n de servicio en aplicaciones que hagan uso de la librer�a libmikmod, a trav�s de la carga de m�ltiples canciones con diferentes n�meros de canales. * Denegaci�n de servicio a trav�s de mod_proxy en apache2. * Denegaci�n de servicio y posible ejecuci�n remota de c�digo en optipng a trav�s de archivos GIF y BMP especialmente manipulados. * Denegaci�n de servicio en el cliente de mensajer�a instant�nea Psi a trav�s del puerto de transferencia de archivos. * Tambi�n se ha actualizado a OpenJDK Java 1.6.0 build b14 para solventar m�ltiples problemas de seguridad que podr�an permitir la revelaci�n de informaci�n sensible, denegaci�n de servicio, escalada de privilegios, e incluso la ejecuci�n de c�digo arbitrario. Se recomienda actualizar a trav�s de las herramientas autom�ticas YoU (Yast Online Update).

Service Pack 3 para Windows XP y otras macroactualizaciones

Microsoft acaba de lanzar el Service Pack 3 para el sistema operativo de la compa��a m�s popular. Tras un peque�o retraso por cierta incompatibilidad con su Dynamics RMS, ya est� disponible para descarga directa. Si el Service Pack 2 supuso unos cambios radicales para XP y lo modific� notablemente, con SP3 se introducen pocas mejoras sustanciales y, como de costumbre, se incluyen todos los parches de seguridad aparecidos hasta el momento. Repasemos un poco la historia de estas macroactualizaciones. Despu�s de esperar a que estuviese disponible el 29 de abril, como se anunci�, es ahora cuando se ha hecho p�blico el SP3 para Windows XP. Se detect� una incompatibilidad con el producto Dynamics RMS y Microsoft retras� su lanzamiento. Finalmente la compa��a ha decidido bloquear autom�ticamente por Windows Update la actualizaci�n si el sistema tiene el RMS instalado, y proporcionar un parche (hotfix) para quien deba usarlo. Repasemos un poco la historia de estas macroactualizaciones. Windows NT tuvo hasta seis Service Packs (el �ltimo en 1999). Windows 2000 lleva 4 y no se espera ninguno m�s. De hecho, en junio de 2005 apareci� el Windows 2000 SP4 Update Rollup. Un 'Rollup', para Microsoft, es una simple y pura acumulaci�n de parches (en este caso m�s de 50) que aparecieron como 'complemento' del SP4, en sustituci�n quiz�s de un hipot�tico SP5 que no se sabe muy bien por qu�, se resiste. El SP1 para XP apareci� en agosto de 2002 y pas� sin pena ni gloria. Se corrigieron las inestabilidades habituales tras el lanzamiento de un sistema nuevo y se aglutinaron los parches de seguridad conocidos hasta el momento. El Service Pack 2 para Windows XP apareci� en el verano de 2004, antes de lo previsto y supuso un punto de inflexi�n en el sistema operativo de Microsoft. Quiz�s sea una de las actualizaciones m�s controvertidas. Con ella Microsoft se ocup� especialmente por la seguridad proactiva (se desarroll� de lleno dentro de su iniciativa de seguridad puesta en marcha en 2002) y activ� por defecto importantes mejoras como el cortafuegos. El Service Pack 2 no solo conten�a un parche para todas las vulnerabilidades conocidas hasta ese momento para Windows XP, sino que adem�s actualizaba sustancialmente el sistema modificando muchas de sus funciones. Se mejoraba la seguridad por defecto del navegador Internet Explorer (aunque esto no ha servido de mucho), se desactiv� la capacidad del sistema de generar paquetes TCP especialmente manipulados a bajo nivel (algo especialmente controvertido, pues no permit�a el uso de herramientas como nmap...) y otros cambios importantes que al intentar aumentar la seguridad, inevitablemente, volv�a al sistema m�s 'inc�modo'. SP2 no se consider� como una actualizaci�n 'para' el sistema operativo, sino m�s bien como una actualizaci�n 'de' sistema operativo. Por supuesto, c�mo no, este cambio vino acompa�ado de fuertes cr�ticas y se dud� de su efectividad e incluso la utilidad del Service Pack cuando grandes empresas recomendaron no instalarlo, hasta pasado un tiempo, porque muchos programas dejaron de funcionar correctamente. Curiosamente hoy Windows XP con SP2 es considerado 'suficientemente bueno' e incluso el 'sistema definitivo' para la mayor�a, sobre todo con respecto a Vista. La historia se repite. Es un ciclo que se cumple con cada cambio en Microsoft. Service Pack 3 para XP ha sido muy esperado. No tanto porque se pretendan mejoras para el sistema operativo (que apenas se introducen) sino por obtener en un solo paquete todas las actualizaciones aparecidas hasta el momento. Han sido 4 a�os acumulando parches cada mes, lo que supone que una instalaci�n nueva de XP con el SP2 integrado, ten�a que descargar e instalar ya casi 100 parches para estar al d�a. Desde ahora, se podr� obtener s�lo este SP3 y se estar� actualizado hasta el momento. Cabe destacar tambi�n, que se ha malinterpretado el anuncio de la muerte de XP a finales de junio de 2008. En esa fecha se dejar� de vender, pero a efectos pr�cticos, esto no afecta a la mayor�a de los usuarios. Los fabricantes podr�n preinstalarlo en los sistemas nuevos hasta el a�o que viene (e incluso reutilizar licencias de Vista). Pero sobre todo, uno de los aspectos m�s importantes a la hora de seguir manteniendo un sistema operativo es que siga disfrutando de soporte al menos en cuesti�n de seguridad. Windows XP lo tendr�, al menos hasta 2014. Hasta esa fecha se publicar�n los parches de seguridad los segundos martes de cada mes, y esto no tiene nada que ver con cu�ndo se dejar� de vender. Windows 2000 hace tiempo que no se vende, y los parches siguen apareciendo puntuales cada mes, a pesar de haber nacido dos a�os antes que XP. De hecho, no se espera que el soporte de Windows 2000 se abandone completamente hasta el 2010. M�s informaci�n: Paquete de instalaci�n red de Windows XP Service Pack 3 para profesionales de TI y desarrolladores (Aqu�)

Desbordamiento de b�fer en Adobe Photoshop CS4

Se han anunciado diversas vulnerabilidades en Adobe Photoshop CS4 versi�n 11.0.0 que podr�an permitir a un atacante el compromiso de los sistemas afectados. El problema reside en diversos problemas de desbordamiento de b�fer en el tratamiento de archivos de imagen en formato Tiff espec�ficamente manipulados. El fallo afecta tanto a sistemas Windows como Macintosh y podr�a permitir a un atacante ejecutar c�digo arbitrario si el usuario abre una imagen maliciosa. Se recomienda instalar las siguientes actualizaciones en funci�n del sistema afectado: Para Adobe Photoshop CS4 11.0.1 para Windows : http://www.adobe.com/support/downloads/detail.jsp?ftpID=4292 Para Adobe Photoshop CS4 11.0.1 para Macintosh : http://www.adobe.com/support/downloads/detail.jsp?ftpID=4291 Security issues in Adobe Photoshop CS4 11.0.0 http://www.adobe.com/support/security/bulletins/apsb10-10.html

Actualizaci�n para vulnerabilidad en sistemas Novell

Novell ha resuelto, con la publicaci�n de una actualizaci�n, un grave problema de seguridad que afecta a dos de sus productos m�s populares, Novell Linux Desktop 9, versiones i386 y x86_64, y Open Enterprise Server 1, para i386. Novell Linux Desktop es un producto derivado de SUSE Linux, y est� orientado al usuario final, ya que permite que los usuarios poco familiarizados con entornos Linux obtengan una aproximaci�n al concepto c�moda, al ser un escritorio amigable en uso y configuraci�n. Open Enterprise es el resultado de la combinaci�n de Netware y SUSE Linux Enterprise Server, una plataforma abierta para el despligue de aplicaciones empresariales que requieran de un sistema que act�e como servidor corporativo. El fabricante ha dispuesto de una actualizaci�n que corrige un fallo de seguridad explotable de modo remoto que podr�a permitir desbordamientos de b�fer en el m�dulo de autenticaci�n "pam_micasa". La gravedad viene propiciada por el hecho de que este m�dulo se a�ade de un modo autom�tico a /etc/pam.d/sshd en toda instalaci�n de Novell Common Authentication Service Adapter (CASA), lo que podr�a permitir a los atacantes remotos ganar privilegios de root en las m�quinas donde CASA est� instalado. Pese a que Novell ha liberado el preceptivo parche, recomendamos que los usuarios que no empleen este m�dulo procedan a su desinstalaci�n a trav�s del gestor de paquetes RPM, tecleando para ello, en consola, la secuencia "rpm -e CASA CASA-gui CASA-devel" Los usuarios que deseen actualizar pueden hacerlo, para su mayor comodidad, a trav�s del frontal gr�fico Redcarpet, que acompa�a a sendos productos. Aquellos administradores que deseen hacer un seguimiento de la falla, deben acudir a la referencia Mitre CVE ID CVE-2006-0736 y/o ponerse en contacto con el servicio postventa de Novell.

Microsoft publica Service Pack 1 para Windows Server 2003

Microsoft ha publicado el Service Pack 1 para su sistema operativo Windows Server 2003 con importantes novedades en materia de seguridad. Esta actualizaci�n amplia la infraestructura de seguridad del sistema incluyendo nuevas herramientas de seguridad como el Asistente de Configuraci�n de Seguridad (que ayuda a reforzar la seguridad del servidor a la hora de realizar operaciones basadas en roles), la Protecci�n de Ejecuci�n de Datos (que ayuda a mejorar la defensa en profundidad), y el Asistente de Actualizaci�n de Seguridad Post-Configuraci�n (que ayuda a crear un escenario de primer arranque m�s seguro). Service Pack 1 para Windows Server 2003 incluye el Windows Firewall, similar al incluido con Windows XP Service Pack 2. Sin embargo, al contrario que con Windows XP Service Pack 2, el servicio de firewall est� desactivado por defecto el Server 2003 Service Pack 1, y debe ser activado para la protecci�n de los sistemas en caso de que se desee dicho servicio. Microsoft tambi�n ha incluido una serie de mejoras en este Service Pack 1 como configuraciones por defecto m�s robustas y una reducci�n de los privilegios en los servicios. Por ejemplo, se han establecido m�s autenticaciones en las llamadas RPC y DCOM. Windows Server 2003 SP1 incluye los componentes Rqs.exe y Rqc.exe para facilitar el Control de Cuarentena de Acceso a Red (Network Access Quarantine Control). La direcci�n para descargar esta actualizaci�n (por ahora solo para la versi�n en ingl�s) es la siguiente: http://www.microsoft.com/downloads/details.aspx?FamilyID=22cfc239-337c-4d81-8354-72593b1c1f43&DisplayLang=en Learn About and Install Windows Server 2003 Service Pack 1 (SP1) Technical Overview of Windows Server 2003 Service Pack 1 (SP1)

Datos privados en discos duros de segunda mano

Durante los dos �ltimos a�os, dos estudiantes del MIT han adquirido discos de segunda mano a trav�s de subastas en Internet y tiendas de segunda mano. De un total de 129 discos adquiridos y operativos, fue posible recuperar archivos en un total de 69. Y de �stos, en 49 hab�a informaci�n "privada": datos m�dicos, cartas de amor, pornograf�a y m�s de 5.000 n�meros de tarjetas de cr�dito. Esto puede poner los pelos de punta al indicar que, seg�n algunas estimaciones, durante el a�o 2002 un total de 150.000 discos duros fueron "jubilados". Si bien la mayor�a de estos discos retirados acaban en la papelera, un porcentaje significativo de los mismos pasa al mercado de segunda mano. Hoy en d�a los en los discos duros de todos nosotros tenemos almacenada una gran cantidad de informaci�n altamente sensible, que bajo ning�n concepto deseamos pueda llegar a manos de cualquier otra persona. Cuando borramos un archivo, en realidad lo que hacemos es indicarle al sistema operativo que lo marque como borrado y que su espacio en el disco pase a ser reutilizable. Pero los datos del archivo contin�an en el disco hasta que no son sobrescritos. De la misma forma, formatear un disco no siempre borra los datos. Con el fin de hacer la operaci�n lo m�s breve posible, en muchas ocasiones s�lo se rescriben las cabeceras de los sectores del disco. Es un hecho que, cada vez con m�s frecuencia (y no siempre de forma debidamente justificada), la vida operativa de los ordenadores personales se acorta. Por eso no es extra�o que, llegado el momento de la ampliaci�n o cambio, deseemos recuperar algo de la inversi�n efectuada procediendo a la subasta o venta del equipo antiguo. En el caso de las empresas, la situaci�n todav�a es m�s com�n. Hoy en d�a no es nada raro que las medianas y grandes empresas, en lugar de adquirir directamente los ordenadores tengan su parque de inform�tica personal bajo leasing o renting. Por tanto, pasado el per�odo de vida, estos equipos son devueltos a la empresa arrendataria. Un destino tradicional de estos equipos procedentes del leasing/renting es, al igual que sucede con los particulares, que pasen a propiedad de empresas especializadas en subastas o venta de equipos a precio de saldo. Hoy en d�a existe un importante mercado de venta de equipos con dos/tres a�os de antig�edad que se nutre, precisamente, de los equipos que han finalizado su periodo de vida en las medianas y grandes empresas. El estudio efectuado por los dos estudiantes del MIT se realiza a partir de discos que proceden de subastas en Internet o tiendas de segunda mano. Durante un per�odo de dos a�os, se adquirieron un total de 158 discos duros, de los cuales 129 eran operativos. En el momento de recibir cada disco, se conectaban a un ordenador ejecutando FreeBSD 4.4 y se realizaba una copia, bloque a bloque del disco duro en un archivo imagen (mediante la utilidad dd del sistema operativo). Al finalizar la copia, se intentaba montar el disco mediante diversos sistemas de archivo. Si se pod�a montar el archivo, se copiaban todos los archivos reconocidos con tar y se proced�a al an�lisis de estos archivos. En total, los dos estudiantes del MIT obtuvieron 75 GB de datos (71 GB correspond�an a las im�genes de particiones recuperadas y 3,7 GB eran archivos tar comprimidos). Los datos obtenidos son apabullantes. Del total de discos adquiridos, �nicamente 12 (un 9%) hab�an pasado por un proceso de limpieza para garantizar el borrado de la informaci�n. 83 discos (64%) conten�an particiones FAT16 o FAT32 directamente accesibles. El resto, 46 discos no conten�an ninguna partici�n que pudiera ser accedida. De los 83 discos con particiones, 51 aparentemente hab�an sido formateados ya que no hab�a ning�n archivo. Otros seis discos si bien hab�an sido formateados, dispon�an de los archivos del sistema operativo (DOS o Windows) necesarios para arrancar la m�quina. Pero en los discos no formateados tambi�n fue posible encontrar datos. Entre los 46 discos sin particiones, en 30 se pudo extraer informaci�n leyendo los diversos sectores del disco. Una vez identificados los discos, se procedi� a recuperar los archivos: 675 documentos DOC, 274 hojas de c�lculo XLS, 20 bases de mensajes PST, 566 presentaciones PPT. Algunos de estos archivos almacenaban datos especialmente sensibles: documentos de una empresa referentes al personal, una carta a un m�dico quej�ndose del tratamiento recibido para curar un c�ncer, plantillas de fax de un hospital para ni�os, cartas de amor, im�genes pornogr�ficas... Para profundizar todav�a m�s, se escribi� un programa que rastreaba los discos en busca de datos de tarjetas de cr�dito (series de n�meros que se ajustan al formato de las tarjetas de cr�dito y que son reconocidos como tales mediante el algoritmo de verificaci�n). Entre todos los discos, en 42 de ellos se obtuvieron n�meros aparentemente v�lidos de tarjetas de cr�dito. Uno de estos discos, conten�a un gran n�mero de tarjetas de cr�dito (m�s de 2.800 n�meros). El an�lisis m�s detallado del mismo llega a la conclusi�n que el disco pertenec�a a un cajero autom�tico. Otro disco duro almacenaba los n�meros de m�s de 3.700 tarjetas de cr�dito dentro de lo que se asemejaba a un archivo log. En otro caso, la tarjeta de cr�dito estaba dentro de un archivo procedente de la memoria cach� del navegador web. Existen un gran n�mero de herramientas �tiles cuando se intenta recuperar los datos que una vez estuvieron almacenados en un disco. En el apartado de "M�s informaci�n" incluimos los enlaces a diversas herramientas, como TestDisk (una herramienta para acceder a los datos de particiones borradas, con soporte para particiones FAT, FAT32, Linux, NTFS, BeFS, NetWare...) y The Coroner's Toolkit (un conjunto de utilidades para investigaciones forenses que se puede utilizar para acceder a datos borrados). Tambi�n incluimos los enlaces de AutoClave, un sistema para el borrado seguro de los datos del disco duro y un par de comparativas de diversas herramientas para el borrado seguro de los datos. Otra alternativa es el cifrado de los datos. Algunos sistemas operativos, como Windows 2000/XP, incorporan de serie la posibilidad de cifrar los datos almacenados en el disco. Tambi�n PGP permite crear discos virtuales cuyo contenido est� permanentemente cifrado. De esta forma, si alguien dispone de acceso al disco, a pesar de que pueda recuperar los datos, lo tendr� muy dif�cil para poder visualizar la informaci�n. Conclusi�n Las conclusiones que se obtiene de todo este estudio es que antes de deshacerse de un disco duro, hay que tomar una serie de medidas adecuadas para garantizar que los datos almacenados en su interior son totalmente borrados. Las recomendaciones que se realizan son: * Los usuarios deben conocer las t�cnicas necesarias para el borrado seguro de la informaci�n. * Las organizaciones deben establecer pol�ticas para el borrado de todos los sistemas de almacenamientos que son vendidos, destruidos o devueltos al fabricante. Como ejemplo, en el apartado de m�s informaci�n incluimos las recomendaciones que realiza al respecto la NASA. * Los fabricantes de sistemas operativos deber�an incluir herramientas de sistema para el borrado seguro de los datos. * En el futuro, los sistemas operativos deber�an realizar la operaci�n de borrado seguro de forma autom�tica. * Siempre que se posible, es conveniente utilizar sistemas de archivos que incorporen funciones de cifrado. * Los fabricantes de discos deben facilitar herramientas para garantizar la confidencialidad de los datos almacenados.

Virus para Linux

Linux.Vit.4096, bajo este nombre se ha anunciado por parte de la casa antivirus AVP (http://www.avp.ru) la aparici�n de un nuevo virus que afecta al sistema operativo Linux. Se trata de un virus no residente en memoria que es capaz de replicarse en ejecutables con formato ELF. El proceso de infecci�n lo lleva a cabo insertando su c�digo, 4096 bytes, despu�s de la cabecera ELF en la primera secci�n de c�digo del fichero. Durante la replicaci�n el virus utiliza un fichero temporal VI324.TMP, de donde ha derivado, seg�n sus descubridores, la denominaci�n del virus (VIxxx.Txx). La primera noticia que se conoce sobre virus para Linux se remonta a Septiembre de 1996, cuando en algunas news (comp.security.unix, alt.comp.virus y comp.os.linux.misc) se difundi� en un mensaje la versi�n alpha de Bliss, considerado como el primer virus para Linux. El autor advert�a en el mensaje que se trataba de un virus que no ten�a fines destructivos, pero que pod�a acarrear problemas al sistema debido a errores en su programaci�n. El fin de Bliss, seg�n su autor, era demostrar que es factible la construcci�n de virus en entornos Unix. Bliss, escrito en GNU C, pod�a ser compilado para SunOS, Solaris y OpenBSD, adem�s de Linux. Una vez se ejecutaba intentaba infectar copi�ndose a si mismo en todos los binarios a los que tuviera acceso seg�n los derechos del usuario, y manten�a un registro de todas sus acciones en /tmp/.bliss. Por aquel entonces fue McAfee (http://www.mcafee.com) el primer antivirus en sacar su ant�doto al mercado. A diferencia de los sistemas operativos de Microsoft, entorno natural de los virus, Linux mantiene restricciones de acceso seg�n el usuario, con lo que la acci�n del virus era muy limitada si no se hab�a ejecutado como superusuario (root). Debemos de sumar tambi�n que los usuarios de Linux tienen como norma general y recomendada el no utilizar ejecutables que no hayan compilado ellos mismos y as� evitar estos problemas al poder realizar un estudio previo de sus fuentes. Sigue llamando la atenci�n que este tipo de virus sea detectado por aplicaciones antivirus para los entornos Microsoft, donde estos engendros no tienen ning�n sentido. Los usuarios de Linux, fieles a su filosof�a, siguen manteniendo que no son necesarios los antivirus, y que se pueden evitar este tipo de programas siguiendo unas normas m�nimas de seguridad. Mucho menos est�n dispuestos a introducir en sus sistemas software sin tener acceso a sus fuentes. Ante esto todo parece indicar que, tanto Bliss como VIT, vienen a engordar las ya de por s� exageradas estad�sticas de los productos antivirus, m�s que a ofrecer una protecci�n real.

Agujero que permite control total de NT 4.0

Un nuevo problema de seguridad en el sistema operativo Windows NT 4.0, puede permitir que cualquier usuario con acceso local a la m�quina consiga derechos de administrador. El conocido grupo L0pht ha hecho p�blico un nuevo problema de seguridad. No es la primera vez que esta agrupaci�n aparece en nuestras noticias por este tipo de descubrimientos. Esta vez, el problema parece ser bastante grave, ya que permitir�a a cualquier usuario local con acceso a una m�quina Windows NT 4.0 , lograr derechos de administrador, independientemente de los permisos originales que disponga el usuario. El problema radica en la implementaci�n en Windows NT de una zona de memoria cach� destinada al mapeado de objetos, con el prop�sito de cargar librer�as de acceso din�mico (dlls) lo m�s r�pido posible. Esta cach� de objetos, se crea con los permisos necesarios para que el grupo de todos los usuarios tenga control total sobre ella. Por tanto, y en este punto reside la vulnerabilidad, es posible borrar objetos de esta cach� y reemplazarlos por otros que apunten a diferentes dlls. Cuando se crea un proceso, se carga el ejecutable importando las dlls en el espacio de procesos. Si en esta zona existe un objeto dll cach�ado, se asocia en el espacio de procesos antes que ir al disco. Por lo tanto, hay una condici�n explotable cuando un usuario sin privilegios reemplaza una dll en la cach� por una dll troyana, seguido de un acceso con privilegios lanzando el proceso. El proceso con privilegios mapear� la dll falsa y su c�digo ejecutable en beneficio del usuario sin privilegios. L0pht ha desarrollado una dll troyana basada en el kernel32.dll para demostrar la vulnerabilidad de esta forma de administrar la creaci�n de procesos. La dll troyana realiza las llamadas a las funciones de la dll original, aunque incluye una funci�n DllMain() diferente, que se ejecuta cuando se carga la librer�a maligna. Una aplicaci�n se encarga de sustituir el mapeado al kernel32.dll de la cach� del sistema por la dll maliciosa. De igual forma, ha desarrollado un parche para cubrir los peligros de esta vulnerabilidad y que presenta en forma de servicio Win32 para ser instalado por el administrador del sistema. El parche se configura a s� mismo para ejecutarse cada vez que se inicia el sistema y antes de que el usuario tenga oportunidad de ejecutar un programa ajusta los permisos de la cach� a unos valores m�s seguros. Todos los detalles t�cnicos del problema, el modo de funcionamiento del espacio de memoria en el que se almacenan las dlls o el parche (y el c�digo fuente) que soluciona la vulnerabilidad se encuentran en http://www.l0pht.com/advisories.html.