Daboweb | Seguridad y ayuda informática |

Se han reportado por parte de JPCERT/CC dos vulnerabilidades en el gestor de contenidos Movable Type. Dichos bugs son explotables remotamente y están considerados como de riesgo moderado para el CMS.

Concrétamente se trata de un desbordamiento del búfer y un salto de las restricciones de seguridad del software que podrían llevar a ataques Cross Site Scripting o desvelar información sensible del site. El hilo conductor de estos fallos viene dado por errores de validación de entrada en el script «mt-wizard.cgi».

Aún estando catalogados como de riesgo moderado, se recomienda actualizar Movable Type a la mayor brevedad posible, siendo las versiones afectadas las anteriores a la 4.26.

Sección de descarga de Movable Type | Fuente VUPEN Security.

Se ha liberado la versión 2.0.172.33 de Google Chrome y según nos informan desde el blog de Chrome, solventa una vulnerabilidad catalogada como crítica en un navegador que cada vez va adquiriendo más cuota de mercado, siendo por tanto más que aconsejable su inmediata actualización.

Concretamente, el bug parcheado se trataba de un desbordamiento del búfer procesando respuestas HTTP debidamente manipuladas para tal fin. Esas peticiones recibidas de un servidor web podían llevar a cerrar el navegador y en el peor de los casos permitían a atacantes remotos ejecutar código arbitrario en el sistema afectado.

Más información en Google Chrome Releases.

El equipo de desarrollo del cliente de correo de Mozilla acaba de anunciar la nueva versión 2.0.0.22 de Thunderbird. Concretamente, esta release solventa hasta 7 vulnerabilidades alguna de ellas clasificada como de alto riesgo para el sistema.

Esta versión está disponible ya para sistemas Windows, GNU/Linux y Mac OS X y puede descargarse a través del menú «Ayuda» del cliente de correo «Buscar actualizaciones». Dados los bugs que solventa se recomienda actualizar el software a la mayor brevedad posible.

Vulnerabilidades solucionadas en Thunderbird 2.0.0.22;

MFSA 2009-33 Crash viewing multipart/alternative message with text/enhanced part
MFSA 2009-32 JavaScript chrome privilege escalation
MFSA 2009-29 Arbitrary code execution using event listeners attached to an element whose owner document is null
MFSA 2009-27 SSL tampering via non-200 responses to proxy CONNECT requests
MFSA 2009-24 Crashes with evidence of memory corruption (rv:1.9.0.11)
MFSA 2009-17 Same-origin violations when Adobe Flash loaded via view-source: scheme
MFSA 2009-14 Crashes with evidence of memory corruption (rv:1.9.0.9)

Más información en Mozilla.org | Vía H-Online | Tutorial de Thunderbird (en Daboweb)

Como mucho sabréis, anteayer fue el día del lanzamiento de la esperada versión 3.0 del iPhone OS, sistema operativo que incorpora el teléfono de Apple, con nuevas funcionalidades y mejoras, pero también el de una gran corrección de bugs (muchos compartidos en el iPod Touch).

Días atrás, ya os resumimos la lista de novedades del iPhone 3 GS y de esta versión 3.0 del software, lo que en ese momento nadie salvo Apple sabía, es que traía consigo la solución a 46 vulnerabilidades (inexplicablemente) heredadas de versiones anteriores, algunas conocidas y otras no. Hace no mucho yo mismo opiné sobre la falta de seriedad en asuntos de seguridad de la que últimamente está haciendo gala Apple (véase el tiempo que han tardado en parchear su bug en Java).

La lista parches aplicados es muy amplia, sirvan como ejemplo las 23 que se han solventado en WebKit y Safari, que se lleva la palma respecto posibles ejecuciones de código arbitrario en sitios web especialmente manipulados para explotar dichos bugs. Además de en Safari, se han corregido vulnerabilidades en CoreGraphics, Exchange, ImageIO, ICU, IPSec, libxml, PDF, Mail, Codecs de vídeo MPEG-4, etc, por lo que es más que recomendable actualizar a la mayor brevedad posible vía iTunes.

Por David Hernández (Dabo).

Fuente Vupen.

Lo del título viene a colación por el nombre («Morro») del que será el futuro antivirus que Microsoft ofrecerá gratuitamente a sus usuarios. Está cerca de recibir la consideración de «Beta» y actualmente, Morro, está siendo probado por empleados de Microsoft y gente del grupo de desarrollo, se está hablando de que ofrecerá una protección básica contra virus, troyanos, spyware y demás malware.

En muchos sitios se ha hablado del fiasco que supuso «Windows Live OneCare», un antivirus de la casa por el que había que pagar y que no consiguió como esperan con Morro (que es un nombre clave y puede llamarse de otro modo cuando salga a la luz) quitar cuota de mercado a dos grandes del sector como McAfee o Symantec.

También se ha comentado que no se ofrecerá empaquetado dentro de Windows sino como una descarga, previsiblemente para no tener problemas con los diferentes tribunales de la competencia como le ha pasado con Explorer, aún no hay fechas para su lanzamiento pero es posible que su puesta de largo coincida con el lanzamiento de Windows 7 antes de que acabe el año.

Personalmente, no creo que usuarios que estén acostumbrados a usar productos un tanto más profesionales como Nod32 o Kaspersky tengan pensado cambiar, pero si que además de las versiones de pago de McAfee o Symantec, a quienes más puede afectar puede ser a productos que se distribuyen también de forma gratuita como versiones de Bit Defender, u otros antivirus gratuitos como Avast Home Edition, AVG Anti-virus, Antivir Personal Free.

El tiempo lo dirá, pero creo que es una buena noticia hablando de seguridad que Microsoft se ponga las pilas en estos temas y más aún desde su posición dominante en el mercado además de que mantenga una actitud responsable en estas cuestiones, práctica a la que no nos tiene muy acostumbrados históricamente pero que en los últimos tiempos parece que algo está cambiando.

Fuente Reuters. (ENG)

Por David Hernández, (Dabo)

Desde la fundación Mozilla nos informan que está disponible una nueva actualización de seguridad para Firefox etiquetada con el número de versión 3.0.11.

Esta actualización de Mozilla Firefox viene a corregir entre otras, cuatro vulnerabilidades críticas, una alta, dos moderadas y dos bajas del navegador.

Se recomienda a todos los usuarios que actualicen a la mayor brevedad posible sus navegadores para estar protegidos ante la posible explotación de alguna de estas vulnerabilidades.

Vulnerabilidades notificadas:

• MFSA 2009-32: JavaScript chrome privilege escalation

• MFSA 2009-31: XUL scripts bypass content-policy checks

• MFSA 2009-30: Incorrect principal set for file: resources loaded via location bar

• MFSA 2009-29: Arbitrary code execution using event listeners attached to an element whose owner document is null

• MFSA 2009-28: Race condition while accessing the private data of a NPObject JS wrapper class object

• MFSA 2009-27: SSL tampering via non-200 responses to proxy CONNECT requests

• MFSA 2009-26: Arbitrary domain cookie access by local file: resources

• MFSA 2009-25: URL spoofing with invalid unicode characters

• MFSA 2009-24: Crashes with evidence of memory corruption (rv:1.9.0.11)

El navegador web Mozilla Firefox está disponible para varios sistemas e idiomas incluido el español.
La actualización puede realizarse desde el propio navegador mediante la actualización automática a través del menú Ayuda -> Buscar actualizaciones si no tenéis configurada la detección automática de nuevas versiones, o bien, realizar la descarga manualmente e instalar posteriormente.

Descarga de Firefox 3.0.11 | Notas de la versión | Bugs corregidos.

Se encuentran disponibles desde Microsoft las actualizaciones o boletines de seguridad publicados para Junio de 2009.

En esta ocasión, se compone de diez (10) actualizaciones de seguridad, seis (6) catalogadas como críticas, tres (3) como importantes y una (1) moderada, que vienen a solventar varias vulnerabilidades, que podrían permitir la Ejecución remota de código, elevación de privilegios y divulgación de información, en los sistemas no actualizados.

La actualización se encuentra disponible desde el propio update automático de Windows o bien, mediante su descarga manual y posterior instalación. Como siempre, recomendamos actualizar los sistemas a la mayor brevedad posible.

Críticas:

• Boletín de seguridad de Microsoft MS09-018: Vulnerabilidades en Active Directory podrían permitir la ejecución remota de código (971055).

• Boletín de seguridad de Microsoft MS09-022: Vulnerabilidades en el administrador de trabajos en cola de Windows podrían permitir la ejecución remota de código (961501)

• Boletín de seguridad de Microsoft MS09-019: Actualización de seguridad acumulativa para Internet (969897).

• Boletín de seguridad de Microsoft MS09-027: Vulnerabilidades en Microsoft Office Word podrían permitir la ejecución remota de código (969514).

• Boletín de seguridad de Microsoft MS09-021: Vulnerabilidades en Microsoft Office Excel podrían permitir la ejecución remota de código (969462).

• Boletín de seguridad de Microsoft MS09-024: Una vulnerabilidad en los convertidores de Microsoft Works podría permitir la ejecución remota de código (957632).

Importantes:

• Boletín de seguridad de Microsoft MS09-026: Una vulnerabilidad en RPC podría permitir la elevación de privilegios (970238).

• Boletín de seguridad de Microsoft MS09-025: Vulnerabilidades del kernel de Windows podrían permitir la elevación de privilegios (968537).

• Boletín de seguridad de Microsoft MS09-020: Vulnerabilidades en Internet Information Services (IIS) podría permitir la elevación de privilegios (970483).

Moderada:

• Boletín de seguridad de Microsoft MS09-023: Una vulnerabilidad en Búsqueda de Windows podría permitir la divulgación de información (963093).

También y como cada mes, está disponible una nueva actualización del programa de eliminación de software malintencionado de Microsoft para sistemas Windows Xp, Windows 2000, Windows 2003 Server y Windows Vista.

Esta herramienta no es un sustituto del antivirus, busca infecciones causadas por software malintencionado específico que actualmente existe (como Blaster, Sasser y Mydoom) en equipos con Windows XP, Windows 2000, Windows Server 2003 y Windows Vista instalado, y ayuda a eliminarlas.

# Boletín y descarga de actualizaciones de Junio 2009.

Se han reportado dos vulnerabilidades en el navegador Google Chrome explotables remotamente y consideradas como críticas. Una de ellas se da en el motor gráfico Skia 2D (integer overflow error) pudiendo llevar a la ejecución arbitraria de código visitando una página especialmente manipulada para ese fin.

El segundo bug viene dado por fallos de validación de entrada en procesos de renderizado en las pestañas del navegador con el resultado de ejecución arbitraria de código además de un mal funcionamiento del navegador del sistema afectado.

Estas vulnerabilidades se han reportado en las versiones anteriores a la 1.0.154.64 . La solución pasa por instalar dicha versión (1.0.154.64).

Vía Vulpen | Fuente y más info.

Recopilatorio de entradas publicadas en Daboweb este pasado mes de Abril.

Todos los comentarios los vamos recogiendo en el foro de noticias que hemos creado para opinar sobre ellas.

Abril 2009

Te recomendamos visitar nuestro mapa del sitio

Vulnerabilidad de alto riesgo en Kaspersky Online Scanner

Firefox 3.0.10 soluciona vulnerabilidad crítica

Vulnerabilidad en Google Chrome

Nuevos filtros Nauscópicos para Adblock Plus, Firefox 3.0.9 y navegadores basados en Gecko (recomendable)

Firefox 3.0.9 disponible

«Tu distro es insegura, Ubuntu», consejos para instalar correctamente Ubuntu / Server

Actualizaciones de Microsoft Abril 2009

Cuentas de Gmail inseguras por defecto, activa «https» (conexión segura)

Comprueba visualmente si estás infectado con Conficker

Revista gratuita fotográfica Foto DNG, Abril 2009, descarga disponible

Vulnerabilidad crítica en PowerPoint (sin solución de momento)

Virus Conficker o el precio de no actualizar el sistema operativo

Internet Explorer 8.1 soportará extensiones de Firefox, nuevo motor de Javascript y 71/100 en ACID3 Test «Happy March fool’s day»

Se ha reportado por parte de Stephen Fewer (Harmony Security) una vulnerabilidad en Kaspersky Online Scanner, este fallo en el software está catalogado por el fabricante como de alto riesgo.

Esta solución anti-malware gratuita realiza una comprobación del sistema vía web en busca de virus, spyware, troyanos, etc. Se actualiza desde la propia base de Kaspersky cada hora, siendo capaz de utilizar la heurística para detectar virus desconocidos hasta la fecha.

El bug se da en el control ActiveX necesario para cargar el módulo desde el navegador del usuario (sólo IE) por un control insuficiente de la entrada de parámetros en dicho componente bajo ciertas circunstancias un atacante remoto podría lleva a una ejecución de código arbitrario mediante un desbordamiento del búfer en el sistema afectado.

Las versiones afectadas por esta vulnerabilidad son la 5.0.93.1 y anteriores.

La solución pasa por actualizar el software a la versión 5.0.98 .0

Fuente y más información.

Por David Hernández (Dabo).

Roi Saltzman del IBM Rational Application Security Research Group ha reportado una vulnerabilidad en Google Chrome que afecta a la versión 1.0.154.55 y anteriores considerada como de riesgo moderado.

Este bug podría permitir a atacantes remotos saltarse las restricciones de seguridad y conseguir información sensible del sistema afectado. El falllo es provocado por un error en el tratamiento de «ChromeHTML» URI pudiendo provocar la enumeración de archivos del usuario o listado de sus directorios así como una ejecución arbitraria de código.

Curiosamente al igual que ha sucedido en alguna ocasión con Firefox, la explotación de la vulnerabilidad viene en combinación de la visita a una web maliciosa utilizando Internet Explorer.

La solución pasa por actualizar Google Chrome a la versión 1.0.154.59. Fuente Vulpen | Más info.

Por David Hernández (Dabo).

Una de las brechas de seguridad más frecuentes en el tráfico web, suele ser la conexión a lugares donde se almacena información sensible sin establecer dicha conexión bajo una capa de cifrado, es el caso de las cuentas de Gmail con su configuración por defecto, claramente insegura.

En este caso, se entiende que desde Google han preferido sacrificar la seguridad en pro de una mayor compatibilidad con todo tipo de navegadores web, dispositivos móviles, notificadores de correo, etc, un error a mi entender ya que debería ser al revés en un caso como este del correo electrónico, primero seguridad y luego compatibilidad o el mejor compromiso posible para estos dos factores.

Este tema es más preocupante al haber muchos usuarios de Gmail que se conectan únicamente a través del navegador, en el caso de recibir el correo vía POP o IMAP, normalmente se hace bajo SSL (Segure Socket Layer) o TSL, su sucesor y esos correos llegarán a vuestro sistema bajo cifrado, por lo que en el caso de que alguien intente interceptar con un sniffer esos datos, al no circular como texto plano (para entendernos), serán mucho más difíciles de capturar.

Para evitar esto en la navegación, se usa el protocolo HTTPS, similar al HTTP pero bajo una capa de cifrado vía SSL y es básicamente lo que os recomendamos para un uso correcto y más seguro de Gmail. Esta opción se hace imprescindible en el caso de que os conectéis vía web a Gmail bajo redes «no seguras» como pueden ser una Wi-fi pública o abierta, un cibercafé (nada recomendable), un equipo que se encuentre en vuestro trabajo, compartido, etc.

¿Cómo activar el uso de HTTPS?

1. Accede a Gmail.
2. Haz clic en Configuración en la parte superior de cualquier página de Gmail.
3. Selecciona «Usar siempre https» para la «Conexión del navegador:».
4. Haz clic en Guardar cambios.
5. Vuelve a cargar Gmail.

La mejor combinación posible sería (para este caso de Gmail y otros) el uso de SSL activado en vuestro cliente de correo electrónico y si es posible, usar una conexión web segura (https) para consultarlo vía webmail.

Si alguno tiene dudas de su importancia, puede probar a bajar sus correos sin cifrar y someter el tráfico de su tarjeta de red al análisis de una herramienta como Dsniff y cuando vea la contraseña del su cuenta de correo electrónico, así como todos sus mails en texto plano visualizados en la pantalla de su equipo, se dará cuenta de lo devastador que puede ser un ataque de este tipo…

Gmail avisa de que con la opción HTTPS activada, puede haber alguna incompatibilidad con su notificador de correo, subsanable con un parche que ellos mismos proveen y también que en algún caso, su aplicación de Gmail para móviles puede funcionar incorrectamente (también hay instrucciones sobre como intentar solventarlo). También hablan de una posible lentitud en el servicio cosa que personalmente nunca he llegado a notar y las ventajas siempre en este caso pesan mucho más en la balanza.

Por David Hernández (Dabo).

Entre otras, una de las funcionalidades de Conficker es bloquear el acceso a diversos sitios web relacionados con la seguridad informática.

No hace mucho ya hablamos sobre Conficker y su método de infección, una forma más de comprobar si estás infectado con el virus o con alguna de sus variantes, sería con la herramienta creada por el grupo «Conficker Working Group» .

Comprueba si estás infectado >>>Acceso al test.

(Interpretación de las imágenes y su resultado según lo que veas)

Todo correcto.

Infección posible de Conficker C o alguna variante.

Infección posible de Conficker A/B o alguna variante

Fuente DragonJar

Se ha reportado por parte de Microsoft una vulnerabilidad crítica en Microsoft Office PowerPoint que puede ser aprovechada por atacantes cuando se procesan  ficheros especialmente manipulados de PowerPoint (PPT).

Dicho ataque puede derivar en un mal funcionamiento de la aplicación o en el peor de los casos en la ejecución de código arbitrario en el sistema afectado, las versiones afectadas son las siguientes;

Microsoft Office PowerPoint 2000 Service Pack 3.
Microsoft Office PowerPoint 2002 Service Pack 3.
Microsoft Office PowerPoint 2003 Service Pack 3.
Microsoft Office 2004 para Mac OS X.

Dado que de momento no hay una solución a modo de parche para esta vulnerabilidad se recomienda extremar las precacuciones cuando se abren ficheros de este tipo y que sen sólo de fuentes de confianza. Una forma de paliarlo sería a través del uso de otra suite ofimática como puede ser OpenOffice de libre descarga y gratuita además de no tener limitaciones de uso habiendo versiones para todos los sistemas operativos.

Info y descarga de OpenOffice | Fuente (Vulpen)