sábado, 23 de julio de 2016

Google publica Chrome 52 y corrige 48 vulnerabilidades

Google anuncia una nueva versión de su navegador Google Chrome 52. Se publica la versión 52.0.2743.82 para las plataformas Windows, Mac y Linux, que junto con nuevas funcionalidades y mejoras, además viene a corregir 48 nuevas vulnerabilidades. 

Entre las principales novedades cabe destacar la integración de "screen mirroring" con Chromecast y Hangouts, así como la activación por defecto de Material Design en macOS.

Como es habitual, Google solo proporciona información sobre los problemas solucionados reportados por investigadores externos o las consideradas de particular interés. En esta ocasión, aunque se han solucionado 48 nuevas vulnerabilidades, solo se facilita información de 17 de ellas (11 de gravedad alta y 6 de importancia media).

Se corrigen vulnerabilidades por escape de la sandbox en PPAPI, falsificaciones de URL, desbordamiento de búfer en sfntly, salto de la política de seguridad de contenido, corrupción de memoria en V8, confusion de origen en autenticación proxy y filtrado de URL a través de script PAC y escucha del historial con HSTS y CSP. También problemas por uso de memoria después de liberar en extensiones, Blink y libxml. Así como salto de la política de mismo origen en Blink, V8 y Service Workers. Se han asignado los CVE-2016-1706 al CVE-2016-1711 y CVE-2016-5127 al CVE-2016-5137.

También del trabajo de seguridad interno, varias correcciones procedentes de auditoría interna, pruebas automáticas y otras iniciativas (CVE-2016-1705). Según la política de la compañía las vulnerabilidades anunciadas han supuesto un total de 21.000 dólares en recompensas a los descubridores de los problemas, si bien hay 11 vulnerabilidades en klas que la cuantía del premio aun está por determinar.

Esta actualización está disponible a través de Chrome Update automáticamente en los equipos así configurados o a través de "Información sobre Google Chrome" (chrome://chrome/). O descargar directamente desde: google.com/chrome.

Más información:

Stable Channel Update



Antonio Ropero
Twitter: @aropero



viernes, 22 de julio de 2016

Múltiples vulnerabilidades en PHP

Se han publicado las actualizaciones para las ramas 5.5, 5.6 y 7.0 de PHP que solucionan diversas vulnerabilidades, entre ellas la famosa HTTPoxy.

Estas actualizaciones corrigen fallos que podrían ser explotados para provocar denegaciones de servicio y afectar a la confidencialidad. En concreto, se solucionan desbordamientos de memoria en virtual_file_ex, _gdContributionsAlloc(), simplestring_addn y php_stream_zip_opener. Errores de uso de memoria tras liberación en unserialize(), accesos fuera de límite en locale_accept_from_http y exif_process_IFD_in_MAKERNOTE y acceso a archivos arbitrarios a través de gdImageTrueColorToPaletteBody. Estas vulnerabilidades no tienen código CVE asignado.

Además se soluciona la vulnerabilidad conocida como HTTPoxy, que podría permitir a un atacante remoto redirigir todo el tráfico HTTP a un proxy bajo su control, lo que facilitaría el espiar o modificar todas las conexiones que realice el servidor (CVE-2016-5385).

Como siempre, se recomienda actualizar cuanto antes a las últimas versiones 7.0.9, 5.6.24 y 5.5.38 desde http://www.php.net/downloads.php

Más información:

PHP ChangeLog
Version 7.0.9
Version 5.6.24
Version 5.5.38

una-al-dia (20/07/2016) ¿Colega, dónde está mi Proxy?



Francisco Salido