sábado, 31 de enero de 2015

Actualización del kernel para Red Hat Enterprise Linux 7

RedHat ha publicado una actualización del kernel para toda la familia Red Hat Enterprise Linux 7 que solventa seis nuevas vulnerabilidades que podrían ser aprovechadas por atacantes para provocar denegaciones de servicio o elevar sus privilegios en el sistema.
  
Los problemas corregidos se deben a un fallo en la implementación SCTP del kernel al validar "chunks" INIT al realizar Address Configuration Change (ASCONF). Un atacante remoto podría emplear esta vulnerabilidad para provocar una denegación de servicio  (CVE-2014-7841).

Una condición de carrera, que puede provocar una denegación de servicio, debida a la forma en que las llamadas del sistema mmap(2), madvise(2) y fallocate(2) interactúan entre sí (CVE-2014-4171).

Una desreferencia de puntero nulo en la forma en que la implementación Common Internet File System (CIFS) del kernel de Linux trata de montar archivos del sistema compartidos. Un atacante remoto podrá emplear este problema para provocar la caída de un sistema (CVE-2014-7145).

También se ha encontrado un fallo en la forma en que la llamada del sistema splice() valida sus parámetros. En determinados sistemas de archivos, un usuario local sin privilegios podrá escribir sobrepasando el tamaño máximo de archivo y así bloquear el sistema (CVE-2014-7822).

Por último, dos problemas en la función parse_rock_ridge_inode_internal() de la implementación ISOFS del kernel Linux. Un atacante con acceso físico al sistema podrá provocar una denegación de servicio o elevar sus privilegios en el sistema (CVE-2014-5471, CVE-2014-5472).

Además se han solucionado otros fallos de menor importancia y se han incluido algunas mejoras. Ésta actualización está disponible desde Red Hat Network.

Más información:

Important: kernel security and bug fix update



Antonio Ropero
Twitter: @aropero


viernes, 30 de enero de 2015

Boletines de seguridad para Asterisk

Asterisk ha publicado sus dos primeros boletines de seguridad del año (AST-2015-001 y AST-2015-002) que solucionan otras tantas vulnerabilidades que podrían permitir a atacantes remotos provocar denegaciones de servicio o para inyectar peticiones http.

Asterisk es una implementación de una central telefónica (PBX) de código abierto. Como cualquier PBX, se pueden conectar un número determinado de teléfonos para hacer llamadas entre sí e incluso conectarlos a un proveedor de VoIP para realizar comunicaciones con el exterior. Asterisk es ampliamente usado e incluye un gran número de interesantes características: buzón de voz, conferencias, IVR, distribución automática de llamadas, etc. Además el software creado por Digium está disponible para plataformas Linux, BSD, MacOS X, Solaris y Microsoft Windows.

Ambos problemas afectan a Asterisk Open Source 1.8.x y las ramas 11.x, 12.x y 13.x; así como a Certified Asterisk 11.6 y 1.8.28. El primero (AST-2015-001) afecta al controlador del canal PJSIP. Reside en que al tratar peticiones SDP con códecs no permitidos por Asterisk la petición se rechaza, pero los puertos RTP asignados no se liberan. Se han publicado las versiones Asterisk Open Source 12.8.1 y 13.1.1 que solucionan este problema.

Por otra parte, en el boletín AST-2015-002, se trata una vulnerabilidad (con CVE-2014-8150) de inyección de peticiones http en libcURL. Un atacante remoto podría emplear este problema para falsear contenido en el servidor objetivo, envenenar cualquier caché web intermedia o construir ataques de cross-site scripting. Se han publicado las versiones Asterisk Open Source 1.8.32.2, 11.15.1, 12.8.1 y 13.1.1; y Certified Asterisk 1.8.28-cert4 y 11.6-cert10 que solucionan este problema.

Más información:

File descriptor leak when incompatible codecs are offered

Mitigation for libcURL HTTP request injection vulnerability


Antonio Ropero

Twitter: @aropero