Daboweb | Seguridad y ayuda informática |

Se encuentran disponibles desde Microsoft las actualizaciones o boletines de seguridad publicados para julio de 2014.

En esta ocasión, tal y como podemos leer en INTECO, se compone de6 boletines de seguridad, clasificados como 2 críticos y 4 importantes, y referentes a múltiples CVEs en Microsoft Windows y Microsoft Internet Explorer..

La actualización se encuentra disponible desde el propio update automático de Windows o bien, mediante su descarga manual y posterior instalación. Como siempre, recomendamos actualizar los sistemas a la mayor brevedad posible.

También y como cada mes, está disponible una nueva actualización del programa de eliminación de software malintencionado. Esta herramienta no es un sustituto del antivirus, busca infecciones causadas por software malintencionado específico que actualmente existe en equipos con Windows XP, Windows 2000, Windows Server 2003, Windows Vista, 7 y 8 instalado y ayuda a eliminarlas.

# Información ampliada y descarga de las actualizaciones (Sitio web de Microsoft).

Se han reportado por parte de Debian dos vulnerabilidades en el gestor de bases de datos phpMyAdmin. Se recomienda su actualización a la mayor brevedad posible debido al impacto de las mismas en el sistema caso de ser explotadas.

La versión «oldstable» (lenny) no está afectada por estos problemas, para la rama actual estable (Squeeze), hay que actualizar phpMyAdmin a la versión 4:3.3.7-7., en la de pruebas «Whezzy» hay que actualizar a la 4:3.4.7.1-1.:

Referencias sobre los bugs (entre ellos un XSS).

In the Debian bugtracking system: Bug 656247.
In Mitre’s CVE dictionary: CVE-2011-1940, CVE-2011-3181, CVE-2011-4107.

Se han reportado varias vulnerabilidades explotables tanto local como remotamente en el Kernel Linux para Debian. De un impacto para el sistema catalogado por Debian como «severo», caso de que los fallos de seguridad localizados sean aprovechados por atacantes, podrían ocasionar denegación de servicio (DoS), la revelación de información sensible sobre el sistema o una escalada de privilegios.

Debido al alcance de estas vulnerabilidades, desde Daboweb os recomendamos actualizar el Kernel a la mayor brevedad posible. En la actual rama estable de Debian (6.0) «Squeeze», los problemas se solventan con la instalación de la versión 2.6.32-1um-4+39squeeze1.

Para la anterior versión estable «Olstable» Debian (5.0) «Lenny», las actualizaciones llegarán próximamente (cabe recordar que el 14-2-2012 dejará de recibir actualizaciones de seguridad).

Lista de bugs corregidos;

CVE Id(s) : CVE-2011-2183 CVE-2011-2213 CVE-2011-2898 CVE-2011-3353 CVE-2011-4077
CVE-2011-4110 CVE-2011-4127 CVE-2011-4611 CVE-2011-4622 CVE-2011-4914. 

Más información (ENG).

Hace unos días os hablamos de la vulnerabilidad que afectaba al servidor web Apache. Esta vulnerabilidad permitía ataques de denegación de servicio y que con un número limitado de peticiones, dicho ataque dejase al servidor web afectado sin recursos por un excesivo consumo de memoria y CPU.

Debian ha puesto a disposición de los usuarios los correspondientes parches que solventan dicha vulnerabilidad  (CVE-2011-3192) (etiquetados como 2.2.9-10+lenny10 y 2.2.16-6+squeeze2.)

Además, se añade un parche específico para la versión «oldstable» (Lenny) que solventa un bug que afecta a mod_dav (CVE-2010-1452) que también podía derivar en ataques de DoS en el servidor web.

Más información sobre el anuncio (Debian DSA-22981 Apache 2) en Debian.

En estos momentos, en el sitio web oficial de Apache aún no hacen mención a una nueva relase que corrija estos bugs, pero se espera que en unas horas esté disponible una versión con el parche para su instalación/compilación.

Según informa Apple en su lista de correo, hay disponible una nueva versión de iTunes (10.2.2) a través del menú «Actualización de software» que solventa posible un ataque «man-in-the-middle» mientras se navega por la iTunes Store.

El problema viene dado por múltiples errores de corrupción de memoria en WebKit que pueden llevar cierres inesperados de la aplicación o a la ejecución arbitraria de código. El bug ha sido reportado por Martin Barbella.

Info original de Apple; (ENG).

APPLE-SA-2011-04-18-1 iTunes 10.2.2

iTunes 10.2.2 is now available and addresses the following:

WebKit
Available for: Windows 7, Vista, XP SP2 or later
Impact: A man-in-the-middle attack may lead to an unexpected
application termination or arbitrary code execution
Description: Multiple memory corruption issues exist in WebKit. A
man-in-the-middle attack while browsing the iTunes Store via iTunes
may lead to an unexpected application termination or arbitrary code
execution.
CVE-ID
CVE-2011-1290 : Vincenzo Iozzo, Willem Pinckaers, Ralf-Philipp
Weinmann, and an anonymous researcher working with TippingPoint’s
Zero Day Initiative
CVE-2011-1344 : Vupen Security working with TippingPoint’s Zero Day
Initiative, and Martin Barbella

A pesar de que hay muchos trackers dedicados a reseñar los múltiples tipos de vulnerabilidades que van surgiendo en todo tipo de software, hoy os queríamos recomendar a los usuarios de Ubuntu, un lugar donde podéis estar al tanto de los paquetes afectados por alguna vulnerabilidad o que estén pendientes de ser revisados.

Como muchos sabréis, CVE, abreviatura de Common Vulnerabilities and Exposures (Vulnerabilidades y amenazas comunes) es un código único que se asigna a una vulnerabilidad con el identificador CVE-año-número, fue creado por la Corporación MITRE y es el sistema estándar para estas cuestiones.

En el Ubuntu CVE Tracker podréis estar informados del estado de la seguridad de Ubuntu con el habitual sistema de clasificación de colores, rojo sería alto o crítico, naranja nivel medio y amarillo un riesgo bajo. Si en la lista aparece un asterisco, significa que ese paquete en concreto es mantenido por Canonical (propietaria de Ubuntu) en lugar de terceros.

Fuente > Jeff Jones Security Blog. (ENG).