25/12/2008

Ejecución de código a través de la extensión mbstring de PHP 5.x y 4.x

Se ha encontrado una vulnerabilidad en PHP, en la extensión de tratamiento de cadenas con tipografía multibyte, que podría permitir a un atacante ejecutar código arbitrario.

El fallo se debe a un desbordamiento de memoria basado en heap en la extensión mbstring que podría permitir la ejecución de código con los privilegios del servicio objetivo. El problema se da en el código que decodifica cadenas que contienen entidades HTML a cadenas Unicode (mbfilter_htmlent.c).

Las funciones afectadas (entre otras) son:
mb_convert_encoding()
mb_check_encoding()
mb_convert_variables()
mb_parse_str()

Son vulnerables todas las versiones anteriores a la 4.3.0 y 5.2.7. El problema ha sido solucionado en la versión 5.2.8 disponible en www.php.net

© Hispasec www.hispasec.com/copyright

  24/12/2008

Actualización del kernel para Debian Linux 4.x

Debian ha publicado una actualización del kernel que corrige múltiples fallos de seguridad que podrían causar una denegación de servicio o una elevación de privilegios.

Los problemas corregidos son:

* Denegación de servicio local o escalada de privilegios en rch/i386/kernel/sysenter.c a través de las funciones install_special_mapping, syscall y syscall32_nopage.

* Denegación de servicio local a través de los sistemas de archivos ext2 y ext3. Un usuario local con permisos para montar sistemas de archivos podría crear un sistema de archivos especialmente manipulado pudiendo hacer que el kernel envíe mensajes de error de forma indefinida.

* Salto de restricciones de seguridad a través de splice() en archivos abiertos con O_APPEND, que podría permitir la escritura en dicho archivo.

* Posibles denegaciones de servicio remoto a través del subsistema SCTP (kernel oops y kernel panic).

* Denegaciones de servicio local a través del sistema de archivos hfsplus. Un usuario local con permisos para montar sistemas de archivos podría crear un sistema de archivos especialmente manipulado que podría dar lugar a una corrupción de memoria o kernel oops.

* Denegación de servicio, a través del subsistema de sockets unix, que
podría causar una corrupción de memoria o kernel panic.

* Denegación de servicio, a través de la función svc_listen de net/atm/proc.c. Un usuario local podría provocar un bucle infinito mediante dos llamadas a svc_listen hacia el mismo socket y, a continuación, una lectura del archivo /proc/net/atm/*em.

* Elevación de privilegios a través de inotify. Un usuario local podría
obtener una elevación de privilegios a través de vectores desconocidos
relacionados con condiciones de carrera en inotify y umount.

* Denegación de servicio a través de la función sendmsg y AF_UNIX. Un usuario local mediante múltiples llamadas a la función sendmsg podría causar una denegación de servicio debido a que AF_UNIX no bloquea estas peticiones durante la recolección de basura y provoca una condición OOM.

Se recomienda actualizar a través de las herramientas automáticas apt-get.

© Hispasec www.hispasec.com/copyright

  23/12/2008

El año de las "grandes catástrofes" en Internet

Si por algo se ha caracterizado (y se recordará) 2008 es por convertirse en el año de las grandes catástrofes en Internet, con el descubrimiento de hasta cinco graves vulnerabilidades que hacían tambalearse los cimientos de la Red. En contraste, durante el año, la mayoría de los atacantes han seguido valiéndose sobre todo de fallos "tradicionales".

El "despiste" de Debian

En mayo se descubre que el generador de números aleatorios del paquete OpenSSL de Debian es predecible. Esto hace que las claves generadas con él ya no sean realmente fiables o verdaderamente seguras. Alguien (por error) del equipo de Debian eliminó en 2006 una línea de código en el paquete OpenSSL de Debian que ayudaba a generar la entropía al calcular el par de claves pública y privada.

Kaminsky y los DNS

El 8 de julio de 2008 se publica una actualización coordinada para la mayoría de los dispositivos en Internet que utilizan DNS. Ha sido descubierta una vulnerabilidad inherente al protocolo que permite falsificar las respuestas DNS y, por tanto, redireccionar el tráfico. Cisco, Microsoft, BIND... todos publican una nueva versión o actualizan sus sistemas para solucionar un misterioso fallo. Dan Kaminsky es el responsable de orquestar la macroactualización. Thomas Dullien se aventura semanas después a publicar en su blog su particular visión de lo que podía ser el problema descubierto por Kaminsky, sin tener conocimiento previo de los detalles. Y no se equivoca en su teoría: es posible falsificar (a través del envío continuo de cierto tráfico) los servidores autorizados de un dominio.

Espionaje a "gran escala" con BGP

En agosto se habla de nuevo de la mayor vulnerabilidad conocida al demostrar Tony Kapela y Alex Pilosov una nueva técnica (que se creía teórica) que permite interceptar el tráfico de Internet a una escala global. Se trata de nuevo de un fallo de diseño en el protocolo BGP (Border Gateway Protocol) que permitiría interceptar e incluso modificar todo el tráfico de Internet no cifrado. BGP es un protocolo que se utiliza para intercambiar tablas de enrutamiento entre sistemas autónomos (AS). El problema es que nunca se ha llegado a idear un sistema que realmente autentique a ambas partes, y los routers estén así seguros de que la información recibida desde un AS es legítima y viene del sitio adecuado.

La denegación de servicio "perfecta"

Por cuarta vez en el año, se habla de la mayor vulnerabilidad encontrada en la Red. La compañía sueca Outpost24 dice que descubrió en el 2005 (aunque lo saca a la luz 3 años después, posiblemente animada por los otros acontecimiento) varias vulnerabilidades de base en el mismísimo protocolo TCP/IP que podrían permitir la caída de cualquier aparato con comunicación TC en la Red. Es la llamada "denegación de servicio de bajo ancho de banda". Aunque todavía no se conocen los detalles, todo son conjeturas. Dicen no conocer una implementación de la pila que no sea vulnerable. La información sobre lo que se da en llamar Sockstress se estanca. Finalmente no ofrecen los detalles prometidos aunque pueden demostrar su eficacia.

¿El fin del WiFi?

A principios de octubre se publica que la compañía rusa ElcomSoft había conseguido reducir sustancialmente el tiempo necesario para recuperar una clave de WPA, ayudándose de tarjetas gráficas NVIDIA y fuerza bruta. Se trata más de una maniobra de publicidad que una vulnerabilidad real. Sin embargo poco después Tews y Beck encuentran un problema inherente a una parte de WPA con el cifrado TKIP. Aunque la noticia es exagerada en medios, realmente se trata de una prueba de concepto que no permite recuperar la contraseña ni influye al método de autenticación. La técnica está limitada a descifrar paquetes concretos o inyectar nuevos (y sólo una pequeña cantidad) de tamaño reducido. Aun así parece el principio del fin para WPA y un acicate para pasar a WPA2.

Problemas en IPv6

En julio también se descubrió un problema en todas las implementaciones del protocolo Neighbor Discovery Protocol (NDP) para detectar nodos IPv6. Un atacante podría interceptar tráfico privado. Todos los grandes fabricantes deben actualizar.

Los ataques más usados

Aunque se han detectado ataques a servidores SSH que se sospecha estaban relacionados con el problema de Debian y desde China se han observado ataques contra la vulnerabilidad DNS descubierta por Kaminsky, del resto de graves vulnerabilidades no se tiene constancia de que estén siendo aprovechadas al menos de forma masiva.

En realidad, los ataques masivos del "día a día" que se han sufrido este año han tenido su origen una vez más en vulnerabilidades "tradicionales" que permiten ejecución de código en software popular. Las vulnerabilidades que más han sido aprovechadas de forma masiva en 2008 (aunque no las únicas, sí las de mayor impacto) han sido:

* En enero, los atacantes aprovechan de forma masiva una vulnerabilidad en RealPlayer.

* En febrero se descubre que un fallo en Adobe Acrobat/Reader 8 está siendo aprovechado para infectar sistemas. También aprovecharían otra vulnerabilidad para infectar a través de archivos PDF en noviembre .

* En abril, una vulnerabilidad de ejecución de código en el motor GDI de Windows.

* En mayo, un problema en el reproductor Flash de Adobe.

* El día 23 de octubre Microsoft publica un parche fuera de su ciclo habitual en el que se soluciona un fallo de seguridad en el servicio Server. Es problema es muy parecido al que aprovechó Blaster en 2003. No se convierte en epidemia pero es muy aprovechado en redes internas.

* La vulnerabilidad en el manejo de etiquetas XML de Internet Explorer. El 17 de diciembre Microsoft publica otro parche fuera de su ciclo porque la vulnerabilidad está siendo masivamente explotada.

Casi siempre, todas estas vulnerabilidades se aprovechan con el fin de instalar malware y obtener así un lucro directo de los sistemas atacados.

© Hispasec www.hispasec.com/copyright

  23/12/2008

Kaspersky Lab analiza las tendencias del cibercrimen

Los usuarios de redes sociales y smartphones serán los nuevos blancos de los ataques.

La economía está en recesión, pero la economía gris de Internet está en auge. El cibercrimen se encuentra en pleno ascenso y supondrá una amenaza cada vez mayor para los usuarios en 2009.


Magnus Kalkuhl, miembro del Equipo Global de Investigación y Análisis de Kaspersky Lab (Global Research and Analysis Team, GReAT), ofrece una visión de las tendencias del cibercrimen para el año 2009.

Las actuales amenazas no sólo se propagan vía e-mail, libros de visitas y tablones de anuncios, sino también a través de las redes sociales. Los usuarios de estos sitios web lo vivieron a principios de este año con la aparición de Net-Worm.Win32.Koobface, diseñado para atacar a los usuarios de MySpace y Facebook a través de las listas de contactos “amigas". “Una vez que los piratas informáticos han accedido a una cuenta de usuario pueden robar información personal de sus amigos online o hackear sus cuentas con facilidad, multiplicando, por consiguiente, el daño", afirma Magnus Kalkuhl. ¿Por qué los usuarios de redes sociales son una presa tan fácil para los cibercriminales?. La respuesta es sencilla: “Por un lado, los usuarios se relajan y confían en estos sitios web, lo que les lleva a bajar la guardia; y, por otro, las vulnerabilidades de estos sitios se dejan a menudo abiertas durante un periodo de tiempo significativo, lo que facilita que los hackers se aprovechen de las lagunas de seguridad".

Un hecho interesante es que el viejo método de propagar códigos maliciosos vía e-mail desaparecerá casi por completo en 2009. Sin embargo, la mayoría de las amenazas todavía serán distribuidas a través de Internet. “Hoy en día, las amenazas se extienden por medio de los enlaces: cuando el usuario hace clic en ellos, el malware se descarga en su equipo", explica Kalkuhl. “El programa malicioso puede entonces poner en marcha sus trucos, tales como saltarse o descifrar las claves de acceso, robar la identidad de usuario o descargar más malware. Como estos enlaces pueden ser enrutados a través de varios servidores, el usuario es redireccionado de un equipo a otro sin ser consciente de ello. Estos “relevos virtuales" requieren esfuerzos adicionales por parte de los fabricantes de antivirus cuando se trata de identificar nuevo malware, por lo que tenemos la certeza de que estos métodos se utilizarán con mayor frecuencia el próximo año".

Los teléfonos inteligentes, como el iPhone, son gadgets de plena actualidad y, por tanto, objetivos muy atractivos para los cibercriminales. Ciertamente, la amenaza a los smartphones es relativamente limitada, pero el año que viene por estas fechas esta afirmación ya no será válida. Además del iPhone, Google está entrando en este mercado con Android. Parece que 2009 va a ser el año del Smartphone; en la actual Sociedad de la Información, ¿qué podría ser mejor que tener acceso a Internet las 24 horas del día, los siete días de la semana y a un precio asequible?. Los teléfonos móviles siguen la misma trayectoria en su evolución que los PCs, que en un periodo de 10 años han pasado de disponer de una conectividad módem cara y poco manejable a contar con un acceso a Internet de alta velocidad y a un precio fijo. Los teléfonos móviles también serán atrapados en botnets, tal y como sucedió con los PCs. Kalkuhl cree que “aunque es probable que el malware para móviles aún sea limitado en alcance y volumen en 2009, en 2010 la situación será mucho más seria, y en un periodo de cinco años, como mucho, el malware para móviles se habrá convertido, tristemente, en parte de nuestra vida cotidiana".

© DiarioTI www.diarioti.com

  22/12/2008

Fin de año “el momento para los ataques informáticos"

Estamos en la temporada alta de malware, ataques de phishing, defacements de sitios web y dolores de cabeza en el departamento de tecnología informática.

Basándose en las tendencias de seguridad tanto presentes como históricas, la unidad de Sistemas de Seguridad de Internet de IBM (ISS) determinó cinco áreas de riesgos para consumidores y para empresas durante la época de las fiestas de fin de año. IBM ofrece cuatro sugerencias para que el usuario esté prevenido en este período del año.


Una nueva ola de spam con código malicioso: durante el año, el equipo de investigación de seguridad X-Force de IBM ISS observó una ola creciente de código malicioso “parásito". Se trata de cargas explosivas de e-mail que evaden el software de seguridad del usuario final (antivirus, firewall personal, etc.) y toman el control de la computadora de destino. Para la temporada de compras de fin de año, el equipo de X-Force espera una ola de e-mails con “saludos navideños" de atractivo diseño social pero de ataque malicioso encubierto.

Nuevo tema de phishing: La manía de las fusiones bancarias, X-Force cree que los delincuentes explotarán la escasa confianza de los clientes en el sector bancario con una ola de ataques de suplantación de identidad (phishing) que estarían destinados a engañar a los usuarios para que revelen información personal, como números de cuentas y contraseñas.

Falsos portales en línea: a medida que se acerca la Navidad, IBM ISS espera bandas de phishing que lanzarían una nueva generación de falsos portales de compra en línea. Los portales se harán pasar por marcas reconocidas, en un intento por robar información de tarjetas de crédito. También es probable que promuevan estos sitios impostores con e-mails que ofrezcan fuertes descuentos en “ofertas especiales".

Juguetes y dispositivos cargados con virus: cada Navidad vemos una avalancha de dispositivos electrónicos, teléfonos inteligentes y DVDs automáticos. Investigaciones de X-Force demostraron que algunos de estos dispositivos pueden están cargados con software malicioso y ser utilizados por delincuentes cibernéticos como puerta trasera para el ingreso a las redes corporativas.

Navegar la web es asunto peligroso: durante el último año, los delincuentes cibernéticos redoblaron sus esfuerzos por falsear sitios web públicos escondiendo enlaces falsos en sitios web legítimos. Cuando el usuario visita estos sitios, los enlaces ocultos automáticamente explotan las vulnerabilidades dentro de los navegadores web e instalan malware que les brinda información confidencial sobre el usuario final o sobre las compañías.

IBM ISS recomienda:

- Examinar todos los e-mails.
- Actualizar todos los parches de seguridad.
- Mantener los números PIN en secreto.
- Resistirse a la implementación de dispositivos no aprobados en una red corporativa.

© DiarioTI www.diarioti.com

 

 
 
Menu

PRINCIPAL
NOVEDADES
LABORATORIO
ADIESTRAMIENTOS
CONSULTORIA
COMERCIAL
DESCARGAS
SERVICIOS
PRODUCTOS
PROYECTOS
SOPORTE TÉCNICO
SOCIEDAD INTERNACIONAL


 

Copyright© Segurmatica 2001-2008
Reservados todos los derechos