Archivo de la etiqueta: Vulnerabilidades

El divorcio entre el malware y la pornografía

A principios de esta década, se solía acusar a los usuarios que quedaban infectados por algún tipo de malware de navegar por páginas “de dudosa reputación”. Esto incluía páginas pornográficas, cracks, warez, etc. Pero los tiempos han cambiado, y esta relación malware-pornografía ha pasado a ser un mito más que revisar. El peligro hoy, de hecho, está en cualquier página.
Dialers, codecs, vídeos camuflados como ejecutables… todo tipo de trucos eran válidos a principios de esta década para que los usuarios que buscaban sexo en la red quedaran infectados. Hoy se siguen usando, pero los métodos de infección preferidos por el malware de entonces eran sobre todo el correo (tanto en forma de adjuntos como explotando las numerosas vulnerabilidades en Outlook), el acceso directo a puertos (gusanos) y las páginas web “de dudosa reputación”. Con estos métodos, cubrían sus necesidades de infección por aquel entonces.
Pero apareció en 2004 el Service Pack 2 de Windows XP, que activaba por defecto el cortafuegos y se popularizaron los routers, con lo que los gusanos vieron amenazada su popularidad. Por otro lado, Outlook y Windows mejoraron su seguridad, los administradores comenzaron a filtrar el correo con adjuntos sospechosos… ¿Qué les quedaba? Eludir todos estos mecanismos y colarse a través de otros métodos. Emergía la llamada web 2.0 y “la nube”, que no es más que el traslado de todos los servicios desde el escritorio a la red; y por tanto el acceso a ellos a través del navegador… así que atacaron por esta vía.
Hoy, el malware se distribuye en gran medida a través del navegador. El retraso de Microsoft con Internet Explorer (cinco años entre su versión 6 y 7) facilitó el proceso: los atacantes querían aprovechar esas vulnerabilidades y ejecutar malware con solo visitar una web. Para ello, necesitan “crear” webs que infecten. Ya no eran suficientes las páginas pornográficas o de warez y se han lanzado a contaminar todo tipo de contenido.
Y esto es lo que confirman dos estudios recientes. International Secure System Lab investigó 269.000 sitios pornográficos a principios de junio. El 96% estaba limpio. Evidentemente, muchos usaban técnicas muy “agresivas” para redirigir al usuario a páginas de pago, evitar que abandonase la página, etc. pero apenas un 4% trataba de infectar directa o indirectamente al visitante.
Avast Software, por otro lado, acaba de publicar un informe cuya conclusión es clara: “por cada página de adultos infectada que hemos identificado, existen otras 99 con cualquier otro contenido que también están infectadas” e intentan ejecutar código en el visitante.
Ambos estudios concluyen que el peligro no está ya tanto en las páginas para adultos, sino en todas. No es que sea seguro visitar páginas con contenido sexual, es que hoy en día resulta tan inseguro visitar el periódico online como una página de contactos. Otro estudio de Websense apoya esta teoría: el 71% de las páginas infectadas con código malicioso son páginas legítimas comprometidas. Además, el 95% de los posts generados en blogs y similares son spam o redirigen a páginas que intentan infectar al visitante.
Las razones para este abandono de la pornografía como fuente de malware pueden ser varias. Aunque el sexo siempre resulta un poderoso reclamo en la Red, apostamos una vez más por una simple cuestión económica y de mercado. El rango de víctimas potenciales que se puede conseguir alojando malware en páginas de cualquier tipo (preferiblemente populares) será siempre superior al obtenido si se centran en páginas web para adultos. Por tanto, pensamos que los atacantes no realizan ningún tipo de distinción por contenido, y sí más bien por el esfuerzo necesario para contaminar esas webs legítimas. Y en ese caso, la pornografía es veterana en la Red, donde la competencia es dura y su negocio se basa en una web “sólida”, sin fallos de seguridad (lo que significa más esfuerzo para ser infectada por un atacante), y que dé confianza a un potencial suscriptor (por lo que no hay motivo para infectar conscientemente y perder reputación). Por tanto, la inversión en seguridad y conocimiento del medio de la industria pornográfica puede ser incluso mayor que la de otras entidades que mantienen online apenas una réplica “secundaria” del mundo real, y su negocio no depende exclusivamente de Internet.
Anuncios

Denegación de servicio en MySQL

Se ha descubierto una vulnerabilidad en MySQL que podría ser utilizada por un atacante para provocar una denegación de servicio.
MySQL es un sistema de gestión de base de datos relacional, multihilo y multiusuario que se desarrolla como software libre y cuenta con millones de implantaciones en todo el mundo.
El problema reside en el tratamiento de determinados comandos “ALTER DATABASE”. Un atacante con permisos “ALTER” podría alterar el nombre del directorio usando caracteres especiales y provocar que el directorio de sistema se usase como directorio de la base de datos. Esto volvería todo el sistema inusable. Se ven afectadas las versiones de MySQL anteriores a la 5.1.48, a la 5.5.5 y a la 6.0.14. Se recomienda actualizar a MySQL versiones 5.1.48, 5.5.5 o 6.0.14, disponible para descarga desde: http://dev.mysql.com/downloads/
 
Más información: C.1.1. Changes in MySQL 5.1.48 (02 June 2010)
serious flaws in the alter database .. upgrade data directory name command

Apple publica actualización para corregir 88 vulnerabilidades

Apple ha lanzado recientemente una nueva actualización de seguridad para su sistema operativo Mac OS X versiones 10.5 y 10.6 que solventa 88 vulnerabilidades que podrían ser aprovechadas por un atacante local o remoto con múltiples efectos.
Esta es la segunda gran actualización del año (con el código 2010-002). Los componentes y software afectados son: AppKit, Application Firewall, AFP Server, Apache, ClamAV, CoreAudio, CoreMedia, CoreTypes, CUPS, curl, Cyrus IMAP, Cyrus SASL, DesktopServices, Disk Images, Directory Services, Dovecot, Event Monitor, FreeRADIUS, FTP Server, iChat Server, ImageIO, Image RAW, Libsystem, Mail, Mailman, MySQL, OS Services, Password Server, perl, PHP, Podcast Producer, Preferences, PS Normalizer, QuickTime, Ruby, Server Admin, SMB, Tomcat, unzip, vim, Wiki Server, X11 y xar.
Las actualizaciones pueden ser instaladas a través de la funcionalidad de actualización (Software Update) de Mac OS X o, según versión y plataforma, descargándolas directamente desde: http://support.apple.com/downloads/
Dada la gravedad y elevado número de vulnerabilidades corregidas se recomienda la actualización del sistema con la mayor brevedad posible.
Opina sobre esta noticia:
Más información: Acerca del contenido de seguridad de la actualización de seguridad 2010-002 / Mac OS X v10.6.3

Actualización de curl/libcurl para Debian Linux

Debian ha publicado una actualización de curl y libcurl que corrige una vulnerabilidad que podría permitir a un atacante remoto causar una denegación de servicio y potencialmente ejecutar código arbitrario dependiendo del contexto.
curl es una aplicación de línea de comandos para transferencia de datos con sintaxis URL y con soporte para múltiples protocolos de red. libcurl es una librería que expone el núcleo de funciones usado por curl para que pueda ser reutilizado por aplicaciones de terceros.
El fallo reside en libcurl, en el archivo “content_encoding.c”. Allí se define la constante “DSIZ” que se usa como referencia para el tamaño de un búfer que será usado para depositar los datos descomprimidos de una transferencia activa.
Una aplicación que use libcurl (curl como caso más evidente) registra una función de rellamada (callback) que se invoca repetidamente por libcurl a medida que los datos son recibidos y depositados en el búfer.
El tamaño del búfer proporcionado por la aplicación está definido a un máximo de 16K por la constante “DSIZ”. Si la aplicación le indica a libcurl que descomprima los datos recibidos antes de depositarlos en el buffer, estos pasarán a ocupar hasta 64K ya que libcurl no respeta, en caso de efectuar la descompresión, el máximo definido.
En el caso de que la aplicación cliente no valide el tamaño devuelto por libcurl se produce un desbordamiento de búfer.
La vulnerabilidad, con CVE-2010-0734, está presente en las versiones de libcurl superiores a la 7.10.5 e inferiores a la 7.19.7 ambas inclusive.
Opina sobre esta noticia:
Más información: DSA-2023-1 curl — buffer overflow
libcurl data callback excessive length

Vulnerabilidades en impresoras Lexmark

Lexmark ha anunciado dos vulnerabilidades que afectan a más de 60 modelos diferentes y que podrían ser empleadas por un usuario de la red para provocar denegaciones de servicio o incluso comprometer los dispositivos afectados.
El problema de mayor gravedad sólo afecta a las impresoras láser, y se refiere a un desbordamiento de búfer en la funcionalidad de tratamiento de Printer Job Language (PJL) cuando maneja datos de gran tamaño enviados al puerto 9100/TCP. Un atacante remoto podría explotar este problema para ejecutar código arbitrario.
Por otra parte, un error en el servicio FTP al procesar repetidas conexiones ftp pasivas abortadas, esto podría provocar que la impresora afectada ignore conexiones TCP entrantes lo que provoca una condición de denegación de servicio. Este problema afecta a impresoras Lexmark Láser, inyección y MarkNet.
Dada la diversidad de productos y modelos afectados se recomienda consultar los avisos publicados por Lexmark y actualizar en caso de necesidad.
Opina sobre esta noticia:
Más información: PJL Security Vulnerability Table of Contents
FTP denial of service vulnerability summary

Múltiples vulnerabilidades en Google Chrome

Se han anunciado un total de nueve vulnerabilidades en Google Chrome, el navegador de Google. Un atacante remoto podría emplear estos problemas para evitar restricciones de seguridad, descubrir información sensible o comprometer un sistema vulnerable.
El primer problema se debe a errores de punteros en la sandbox mientras que otro problema se debe a metadatos persistentes como Web Databases y STS. Más problemas se dan porque las cabeceras http se procesan antes de la comprobación de navegación segura (SafeBrowsing).
Una vulnerabilidad de ejecución remota de código se produce al procesar SVG mal construidos. Otro problema de desbordamiento de entero en objetos JavaScript WebKit, también podría emplearse para ejecutar código arbitrario.
Otros problemas están relacionado con los diálogos de autenticación http básica y de descargas. Una última vulnerabilidad reside en el tratamiento de elementos SVG vacíos.
Se recomienda actualizar a Google Chrome versión 4.1.249.1036, disponible desde:

Opina sobre esta noticia:
Más información:
Stable Channel Update

Actualización del kernel para Red Hat Enterprise Linux 4

Red Hat ha publicado una actualización del kernel de Red Hat Enterprise Linux 4 que solventa cinco vulnerabilidades que podrían ser aprovechadas por un atacante para provocar denegaciones de servicio, revelar información sensible o evitar determinadas protecciones de seguridad.
Los problemas corregidos se deben a faltas de comprobación durante el volcado de memoria, un error en la función “print_fatal_signal”, un fallo de validación cuando el usuario tiene el permiso de CAP_NET_ADMIN, un problema en la implementación Stream Control Transmission Protocol (SCTP) y por último un error al comprobar la disponibilidad del intérprete ELF.
Además se han solucionado otros fallos de menor importancia. Se recomienda actualizar a través de las herramientas automáticas up2date.


Opina sobre esta noticia:


Más información:
Important: kernel security and bug fix update