lunes, 31 de octubre de 2005

Actualización del kernel de Red Hat Enterprise Linux 4

Red Hat ha publicado actualizaciones del kernel para sus Enterprise
Linux 4 debido a que se han detectado diversas vulnerabilidades, que
pueden ser explotadas localmente para provocar denegaciones de
servicio; o remotamente, para acceder a información sensible o también
para realizar ataques DoS.

Entre los problemas solventados se encuentran los siguientes:
* Se ha descubierto un problema que afecta a los atributos de páginas
cambiadas por el kernel. Los drivers de vídeo en ocasiones mapean
páginas de kernel con una política de caché diferente a una
write-back.
* La llamada a sistema set_mempolicy no comprueba si se introducen
números negativos en el campo policy. Un usuario local sin privilegios
puede aprovechar esto para provocar una denegación de servicio (con
mensaje de pánico del sistema).
* Un error en el tratamiento de ioremap en sistemas AMD 64 e Intel
EM64T puede ser utilizado por usuarios locales sin privilegios para
provocar denegaciones de servicio o para provocar fugas menores de
información.
* También se ha detectado una condición de carrera en el módulo
ebtables de netfilter. En un sistema SMP con gran carga, este problema
puede ser explotado para provocar una denegación de servicio que
tiraría el sistema completo.
* Otro problema detectado es una fuga de memoria en el sistema de
auditoría: un usuario local sin privilegios puede explotarlo para
provocar denegaciones de servicio.

La compañía recomienda actualizar los sistemas afectados vía Red Hat
Network:
http://rhn.redhat.com/


Julio Canto
jcanto@hispasec.com


Más información:

kernel security update
http://rhn.redhat.com/errata/RHSA-2005-808.html

domingo, 30 de octubre de 2005

Vulnerabilidad XSS en SMC de Sun Solaris

Sun ha anunciado el descubrimiento de un problema en sus Solaris 8, 9
y 10 que potencialmente puede ser explotado por usuarios maliciosos
para realizar ataques de tipo cross site scripting.

El problema se debe a que el servidor web de la consola de
administración SMC (Solaris Management Console) responde a las
peticiones HTTP TRACE por defecto. Esto puede ser explotado para
ejecutar código HTML y script arbitrario en el navegador de la víctima
con el contexto de seguridad del sitio afectado cuando se combina con
ciertas vulnerabilidades del navegador. Un problema a la hora de
tratarlo es que el método TRACE no se puede desactivar en el servidor.

Sun ha publicado parches para la versión 9 de Solaris, disponibles en
las siguientes direcciones (según plataforma):

Solaris 9 (Sparc):
http://sunsolve.sun.com/pub-cgi/pdownload.pl?target=116807-02&method=f

Solaris 9 (x86):
http://sunsolve.sun.com/pub-cgi/pdownload.pl?target=116808-02&method=f

Para el resto de plataformas, como medida preventiva recomienda
desactivar la SMC.


Julio Canto
jcanto@hispasec.com


Más información:

The Solaris Management Console (SMC) Enables TRACE HTTP by Default
http://sunsolve.sun.com/search/document.do?assetkey=1-26-102016-1

sábado, 29 de octubre de 2005

Denegación de servicio local en función IPv6 del Kernel 2.6 de Linux

Se ha descubierto una vulnerabilidad en la versión 2.6.13.4 del kernel
de Linux que potencialmente puede ser explotada por usuarios
maliciosos locales para provocar denegaciones de servicio.

El problema se debe a que la función 'udp_v6_get_port()', localizada
en 'net/ipv6/udp.c', contiene errores que pueden ser explotados para
que entre en bucles infinitos, llegando con ello a la denegación de
servicio.

Si bien la vulnerabilidad ha sido confirmada en la versión 2.6.13.4,
no se descarta que afecte también a versiones anteriores de la misma
rama.

La vulnerabilidad ha sido solventada en la versión 2.6.14-rc5,
descargable desde la siguiente dirección:
http://www.kernel.org/


Julio Canto
jcanto@hispasec.com


Más información:

Linux Kernel "udp_v6_get_port" Local Denial of Service Vulnerability
http://www.frsirt.com/english/advisories/2005/2173

[IPV6]: Fix infinite loop in udp_v6_get_port()
http://linux.bkbits.net:8080/linux-2.6/cset@4342df67SNhRx_3FGhUrrU-FXLlQIA

[IPV6]: Fix infinite loop in udp_v6_get_port()
http://www.kernel.org/git/?p=linux/kernel/git/torvalds/linux-2.6.git;a=commit;h=87bf9c97b4b3af8dec7b2b79cdfe7bfc0a0a03b2

CVE-2005-2973 ipv6 infinite loop
https://bugzilla.redhat.com/bugzilla/show_bug.cgi?id=170772

viernes, 28 de octubre de 2005

7º aniversario de "una-al-día"

Tal día como hoy, un 28 de octubre de 1998, inició su andadura
"una-al-día", el servicio de noticias diarias sobre seguridad
informática de Hispasec.

Desde estas líneas queremos agradecer el apoyo e interés a todos los
que seguís "una-al-día", al mismo tiempo felicitaros y haceros
partícipes de este cumpleaños, ya que sois el principal estímulo
que nos empuja a cumplir muchos más.

Aunque este tipo de noticias suele aprovecharse para echar la vista
atrás y, por que no decirlo, caer en la autocomplaciencia, quisiéramos
en su lugar utilizar esta nota dedicada a "una-al-día" para que nos
hagáis llegar vuestros comentarios y sugerencias, de cara a corregir
y mejorar cualquier aspecto que consideréis oportuno.

Gracias.





jueves, 27 de octubre de 2005

Denegación de servicio en Apache 2.x

Se ha anunciado la existencia de una vulnerabilidad en el servidor
Apache (rama 2.x) que puede ser explotada por usuarios remotos
maliciosos para provocar denegaciones de servicio.

El problema se debe a que en ciertas situaciones, que se dan tras
abortar una conexión, un usuario puede provocar una fuga de memoria
que reside en el código del módulo de multiprocesamiento
(concretamente en el archivo 'server/mpm/worker/worker.c').

Se ha publicado un parche corrector rápido, disponible vía SVN en
la siguiente dirección:
http://svn.apache.org/viewcvs.cgi/httpd/httpd/branches/2.2.x/server/mpm/worker/worker.c


Julio Canto
jcanto@hispasec.com


Más información:

IBM HTTP Server V2.0.47 and V2.0.42 cumulative security e-fix
http://www-1.ibm.com/support/docview.wss?rs=0&uid=swg24010709

Apache Memory Leak in MPM 'worker.c' Code May Let Remote Users Deny Service
http://www.securitytracker.com/alerts/2005/Oct/1015093.html

miércoles, 26 de octubre de 2005

Múltiples actualizaciones en SGI Advanced Linux Environment 3

Se ha procedido a liberar un parche acumulativo para el entorno avanzado
Linux de Silicon Graphics, Inc. (SGI), que ofrece soluciones a diversos
problemas de seguridad detectados en la última versión estable de este
entorno de alta especialización, empleado en entornos Altix.

Silicon Graphics provee al mercado de soluciones de supercomputación
y clustering de alto rendimiento y escalabilidad. Para ello emplea
soluciones Linux (servidores Altix) e IRIX (servidores Origin), dotados
de una tecnología propietaria de alta calidad para la compartición de
memoria, conocida como NUMAflex. El sistema afectado, SGI Advanced Linux
Environment, está basado y diseñado para ser plenamente compatible con
Red Hat Enterprise Linux Advanced Server.

Es frecuente encontrar estas soluciones SGI en entornos de alta
seguridad, como las necesarias para la defensa, sistemas energéticos,
sistemas nucleares, aeroportuarios, etc.

Los problemas corregidos podrían ser, en versiones no parcheadas, fuente
de salto de restricciones de seguridad, revelación de información
sensible, escalada de privilegios y acceso a los sistemas, lo que
confiere, junto a la posibilidad de explotación remota, carácter de
altamente críticas a dichas actualizaciones.

Estos problemas implican actualizaciones que mayoritariamente han sido
declaradas para otros sistemas derivados de UNIX con anterioridad:
correcciones en util-linux y mount, una corrección en Ruby on Rails,
actualización para openldap y nss_ldap, así como para openssl, lynx y
xloadimage.

Los administradores de entornos Altix que operen con SGI deben aplicar
con carácter inmediato el parche acumulativo, emplearán para ello los
recursos públicos de SGI y Red Hat Security.


Sergio Hernando
shernando@hispasec.com


Más información:

SGI Advanced Linux Environment 3 Security Update #cw5049
ftp://patches.sgi.com/support/free/security/advisories/20051003-01-U.asc

SGI Security Advisories
http://www.sgi.com/support/security/

Red Hat Security
http://www.redhat.com/security/

martes, 25 de octubre de 2005

Graves vulnerabilidades en Skype

Se han documentado vulnerabilidades en Skype, que podrían ser explotadas
para conducir un ataque de denegación de servicios y/o para comprometer
el sistema de los usuarios de versiones sin actualizar.

Skype es una red de telefonía entre pares por Internet, cuyo protocolo
es cerrado y la descarga de los clientes que permiten la interconexión
es gratuita. Es muy popular, con un total de más de 60 millones de
usuarios y 187 millones de descargas. Skype es creación de Niklas
Zennström y Janus Friis, los fundadores de Kazaa.

Los errores encontrados son los siguientes:

1) Un error en la gestión de la importación podría ser aprovechado para
diseñar una vCard especialmente conformada para causar un desbordamiento
de búfer y la ejecución de código arbitrario, caso de que el usuario
importase una vCard maliciosa.

2) Un error en la gestión de las URIs específicas de Skype podría
facilitar la conducción de un desbordamiento de búfer, así como la
ejecución de código arbitrario, caso de que el usuario pulsase sobre
enlaces del tipo "callto://" y "skype://" especialmente preparados. Es
un tipo de error cuya primera manifestación tuvo lugar en noviembre de
2004, según se puede verificar en la referencia CVE-2004-1114, y que
ahora resurge en una modalidad similar.

3) Por último, el cliente Skype podría colapsar por desbordamiento de
búfer de tipo "heap", en los que se adultera el tamaño máximo de las
variables, al ser incorrecta la gestión del tráfico de la red de
clientes de Skype.

El fallo es multiplataforma, resultando afectas las versiones Windows
1.4.*.83 y anteriores, Mac OS X 1.3.*.16 y anteriores, Linux 1.2.*.17
y anteriores, y la versión Pocket PC 1.1.*.6 y anteriores. La posibilidad
de explotación remota, así como los resultados de la misma, le otorgan a
los problemas una criticidad bastante elevada.

La solución a los problemas pasa por la actualización, la cual está
disponible en el servidor de descargas de Skype. Se han publicado
actualizaciones para todas las plataformas, a excepción de Pocket PC,
cuyo parche es inminente. La recomendación, por tanto, es actualizar
a las versiones especificadas por el fabricante: 1.4.*.84 o posterior
para Windows, 1.3.*.17 o posterior para Mac OS X y 1.2.*.18 o posterior
para Linux. Los usuarios de Pocket PC deben estar atentos a los anuncios
del fabricante.


Sergio Hernando
shernando@hispasec.com


Más información:

Skype
http://www.skype.com

Descargas de Skype:
http://www.skype.com/download/

SKYPE-SB/2005-002: Buffer overflow in Skype-specific URI and VCARD import
handling
http://www.skype.com/security/skype-sb-2005-02.html

SKYPE-SB/2005-003: Heap overflow in networking routine
http://www.skype.com/security/skype-sb-2005-03.html

lunes, 24 de octubre de 2005

Publicación del Service Pack 2 para Microsoft Exchange Server 2003

Microsoft ha publicado el Service Pack 2 para su servidor de correo
Exchange Server 2003.

Según informa Microsoft, Service Pack 2 para Exchange Server 2003
incluye entre sus nuevas características la compatibilidad con
opciones de movilidad y la protección contra spam y virus. La
finalidad de las mejoras realizadas ha sido solucionar los problemas
de rendimiento y confiabilidad de las carpetas públicas, así como los
relacionados con las restricciones en el tamaño de la base de datos.

Las mejoras contra el correo no deseado se incluyen en la versión 2
integrada del Filtro inteligente de mensajes de Microsoft y de Id.
de remitente, que constituye un marco de trabajo estándar. La
versión 2 del Filtro inteligente de mensajes contiene mejoras
significativas en el área de correo no deseado del SP2.

Este Service Pack (de algo más de 112 MB) puede descargarse
desde las siguientes direcciones (según idioma):
Español:
http://download.microsoft.com/download/e/0/0/e0080b1b-fe8c-40dd-acda-099439327593/E3SP2ESP.EXE
Inglés:
http://download.microsoft.com/download/2/d/a/2da38f90-a580-46f7-8812-63dcec999fe5/E3SP2ENG.EXE


Antonio Ropero
antonior@hispasec.com


Más información:

Service Pack 2 de Exchange Server 2003
http://www.microsoft.com/downloads/details.aspx?displaylang=es&FamilyID=535bef85-3096-45f8-aa43-60f1f58b3c40

Microsoft Exchange Server 2003 Service Pack 2 Release Notes
http://support.microsoft.com/?kbid=906671

domingo, 23 de octubre de 2005

Denegación de servicio en Squid 2.5 por problema con sesiones FTP

Se ha anunciado la existencia de una vulnerabilidad en Squid que
puede ser explotada por usuarios maliciosos para provocar
denegaciones de servicio.

Squid es un servidor caché/proxy (HTTP, FTP, WAIS y Gopher) de alta
capacidad y rendimiento, con código fuente abierto, muy utilizado en
entornos Unix y servidores empotrados dedicados.

La vulnerabilidad se debe a un error en Squid a la hora de tratar
ciertas respuestas de servidores FTP. Esto puede ser explotado para
provocar la caída de Squid si se visita un servidor FTP malicioso a
través de él.

La vulnerabilidad se ha confirmado en Squid-2.5 y anteriores.
Se recomienda la instalación del parche para 2.5.STABLE11:
http://www.squid-cache.org/Versions/v2/2.5/bugs/squid-2.5.STABLE11-rfc1738_do_escape.patch
o los paquetes actualizados correspondientes a las diferentes
distribuciones Linux.


Antonio Ropero
antonior@hispasec.com


Más información:

Segmentation fault in rfc1738_do_escape
http://www.squid-cache.org/Versions/v2/2.5/bugs/#squid-2.5.STABLE11-rfc1738_do_escape

sábado, 22 de octubre de 2005

Vulnerabilidades en Ethereal por problemas con analizadores de protocolos

Se han detectado múltiples vulnerabilidades en Ethereal (versiones de
la 0.7.7 a la 0.10.12) que pueden ser explotadas por atacantes remotos
para provocar denegaciones de servicio o incluso comprometer un
sistema afectado.

Ethereal es una aplicación de auditoría orientada al análisis de tráfico
en redes, que goza de mucha popularidad, ya que está disponible en
múltiples plataformas, soporta una gran cantidad de protocolos y es
de fácil manejo

Se han encontrado diversos tipos de errores (problemas de
referencias en punteros, divisiones por cero, bucles infinitos, y
desbordamientos de búfer) en una larga lista de analizadores de
protocolos.

Por otra parte, el instalador para Windows de Ethereal incluye
una versión de la librería PCRE vulnerable por un problema de
desbordamiento de enteros.

La explotación con éxito de estas vulnerabilidades permitiría al
atacante provocar el cese de la ejecución de la herramienta, acabar
con la memoria disponible del sistema, tirar el sistema o incluso
ejecutar código arbitrario en el sistema afectado.

Se recomienda actualizar a la mayor brevedad posible a la versión
0.10.13, disponible en la siguiente dirección:
http://www.ethereal.com/download.html


Julio Canto
jcanto@hispasec.com


Más información:

Multiple problems in Ethereal versions 0.7.7 to 0.10.12
http://www.ethereal.com/appnotes/enpa-sa-00021.html

viernes, 21 de octubre de 2005

Actualización de xloadimage para Red Hat Enterprise Linux

Red Hat ha publicado paquetes actualizados de xloadimage para diversas
versiones de su Enterprise Linux, que solventa una vulnerabilidad que
puede ser explotada por usuarios maliciosos para comprometer un
sistema vulnerable.

Los sistemas afectados son Red Hat Desktop 3 y 4; Red Hat Enterprise
Linux AS 2.1, 3 y 4; Red Hat Enterprise Linux ES 2.1, 3 y 4 y Red Hat
Enterprise Linux WS 2.1, 3 y 4.

La vulnerabilidad se debe a un desbordamiento de búfer que puede
darse a la hora de tratar con archivos de imagen en formato NIFF. Un
atacante puede provocar la ejecución remota de código arbitrario si la
víctima trata con un archivo de este tipo especialmente formado a tal
efecto.

La compañía recomienda actualizar vía Red Hat Network:
http://rhn.redhat.com/


Julio Canto
jcanto@hispasec.com


Más información:

xloadimage security update
http://rhn.redhat.com/errata/RHSA-2005-802.html

jueves, 20 de octubre de 2005

Denegación de servicio y compromiso del sistema en Solaris y Java Enterprise System

Sun ha publicado actualizaciones para sus Solaris 9 y 10, y para Java
Enterprise System para solventar una vulnerabilidad que puede ser
explotada por usuarios maliciosos para provocar denegaciones de
servicio o incluso comprometer sistemas afectados.

El problema, con raíz en el componente zlib, se debe a un
desbordamiento de búfer localizado en 'inftrees.c' y que puede darse
a la hora de tratar con streams corruptos de datos comprimidos. Esta
circunstancia puede ser explotada para cesar la ejecución de la
aplicación afectada, o incluso, potencialmente, para ejecutar código
arbitrario.

Las direcciones para descargar las actualizaciones son las siguientes:
Para plataforma Sparc
Sun Java Enterprise System para Solaris 8
http://sunsolve.sun.com/pub-cgi/pdownload.pl?target=119209-05&method=f
Sun Java Enterprise System para Solaris 9
http://sunsolve.sun.com/pub-cgi/pdownload.pl?target=119211-05&method=f
Sun Java Enterprise System para Solaris 10
http://sunsolve.sun.com/pub-cgi/pdownload.pl?target=119213-05&method=f
Solaris 9
http://sunsolve.sun.com/pub-cgi/pdownload.pl?target=119211-05&method=f
Solaris 10
http://sunsolve.sun.com/pub-cgi/pdownload.pl?target=119213-05&method=f

Para plataforma x86
Sun Java Enterprise System para Solaris 9
http://sunsolve.sun.com/pub-cgi/pdownload.pl?target=119212-05&method=f
Sun Java Enterprise System para 10
http://sunsolve.sun.com/pub-cgi/pdownload.pl?target=119214-05&method=f
Solaris 9
http://sunsolve.sun.com/pub-cgi/pdownload.pl?target=119212-05&method=f
Solaris 10
http://sunsolve.sun.com/pub-cgi/pdownload.pl?target=119214-05&method=f


Julio Canto
Jcanto@hispasec.com


Más información:

Netscape NSS Tools Vulnerability Affects Sun Java Enterprise System and Solaris
http://sunsolve.sun.com/search/document.do?assetkey=1-26-101989-1

miércoles, 19 de octubre de 2005

Parches de actualización para 85 vulnerabilidades en productos Oracle

Oracle ha publicado una serie de parches para solventar 85
vulnerabilidades detectadas en una larga lista de productos de la
compañía. Varias de ellas tienen impacto desconocido, y otras pueden
ser explotadas para realizar ataques de inyección PL/SQL, cross site
scripting, e incluso compromiso de sistemas afectados.

La lista detallada de productos y versiones afectadas por al menos una
de las vulnerabilidades es la siguiente:
* Oracle Database Server 10g Release 1, versiones 10.1.0.3, 10.1.0.4
* Oracle9i Database Server Release 2, versiones 9.2.0.5, 9.2.0.6,
9.2.0.7
* Oracle8i Database Server Release 3, versión 8.1.7.4
* Oracle Enterprise Manager 10g Grid Control, versiones 10.1.0.3,
10.1.0.4
* Oracle Application Server 10g Release 2, versiones 10.1.2.0.0,
10.1.2.0.1, 10.1.2.0.2
* Oracle Application Server 10g Release 1 (9.0.4), versiones 9.0.4.1,
9.0.4.2
* Oracle Collaboration Suite 10g Release 1, versión 10.1.1
* Oracle9i Collaboration Suite Release 2, versión 9.0.4.2
* Oracle E-Business Suite Release 11i, versiones de la 11.5.1 a la
11.5.10 y 11.5.10 CU2
* Oracle E-Business Suite Release 11.0
* Oracle Clinical, versiones 4.5.0 y 4.5.1
* PeopleSoft Enterprise Tools, versiones de la 8.1 a la 8.46.03
* PeopleSoft CRM, versiones de la 8.81 a la 8.9
* JD Edwards EnterpriseOne, OneWorld XE, versiones 8.95_B1, 8.94_Q1,
SP23_K1
* Oracle Database Server 10g Release 1, versión 10.1.0.4.2
* Oracle Developer Suite, versiones 9.0.2.1, 9.0.4.1, 9.0.4.2,
10.1.2.0
* Oracle Enterprise Manager Application Server Control, versiones
9.0.4.1, 9.0.4.2
* Oracle Enterprise Manager 10g Database Control, versiones 10.1.0.3,
10.1.0.4
* Oracle Workflow, versiones de la 11.5.1 a la 11.5.9.5
* Oracle9i Database Server Release 1, versiones 9.0.1.4, 9.0.1.5,
9.0.1.5 FIPS
* Oracle8 Database Server Release 8.0.6, versión 8.0.6.3
* Oracle9i Application Server Release 2, versiones 9.0.2.3, 9.0.3.1
* Oracle9i Application Server Release 1, versión 1.0.2.2

La compañía apenas ha publicado detalles al respecto de la enorme
lista de vulnerabilidades, con la excepción de un par de ellas:
* Una vulnerabilidad de desbordamiento de búffer y 17 de inyección
PL/SQL se han detectado en Oracle Database 10g y Oracle9i Database
Server.
* Ciertas entradas dadas a 'test.jps' de Oracle Reports Server no es
filtrado adecuadamente antes de ser devuelto al usuario. Esto puede
ser explotado para ejecutar código HTML y script arbitrario en el
navegador del usuario con el contexto del sitio afectado.

Se recomienda aplicar los parches detallados en su alerta oficial
(restringida a clientes):
http://metalink.oracle.com/metalink/plsql/ml2_documents.showDocument?p_database_id=NOT&p_id=333954.1

La próxima actualización de productos Oracle no se realizará hasta
el 17 de enero de 2006.


Julio Canto
jcanto@hispasec.com


Más información:

Oracle Critical Patch Update - October 2005
http://www.oracle.com/technology/deploy/security/pdf/cpuoct2005.html

martes, 18 de octubre de 2005

Desbordamiento de búfer vía NNTP en Lynx

Desde ayer son numerosas las distribuciones que están sometiendo a Lynx
a procesos de actualización, ante la aparición de un grave problema de
seguridad.

Lynx es un navegador web en formato texto que funciona principalmente en
entornos UNIX-like y en sistemas de memoria virtual, aunque igualmente
existen versiones con capacidad de ejecución en Microsoft Windows.

Lynx está especialmente orientado para la verificación de la
arquitectura de servicios web, proporcionando al usuario la posibilidad
de analizar y visualizar un servicio de un modo muy parecido al que
emplean, por ejemplo, las arañas de buscadores. Hay usuarios que emplean
Lynx para la navegación, pese a la dificultad que ello entraña: ni de
algo tan aparentemente inocuo podemos fiarnos ante fallos como el
aparecido.

La vulnerabilidad deriva de un importante problema de seguridad verificado
en las versiones 2.8.3, 2.8.4, 2.8.5, y 2.8.6dev.13, no descartándose que
otras pudieran ser susceptibles de explotación. El fallo posibilita la
ejecución remota de código arbitrario en los sistemas donde corran
versiones Lynx sin actualizar, lo que lo convierte en altamente crítico.

Un error en la función HTrjis(), encargada de la gestión de cabeceras
enviadas desde los servidores Network News Transfer Protocol (NNTP).
Este problema podría aprovecharse para provocar un desbordamiento de
búfer, ofreciendo enlaces que una vez visitados con Lynx, redireccionen
al usuario a servidores NNTP maliciosos, a través del gestor URI nntp:

El problema ha sido corregido con la liberación de la versión 2.8.6dev.14,
se recomienda que los usuarios actualicen sus sistemas mediante los
mecanismos propios de actualización de cada distribución o producto.


Sergio Hernando
shernando@hispasec.com


Más información:

Lynx Buffer Overflow in HTrjis() in Processing NNTP Headers Lets Remote
Users Execute Arbitrary Code
http://www.securitytracker.com/alerts/2005/Oct/1015065.html

Repositorio Lynx
http://lynx.isc.org/current/

Wikipedia - Lynx
http://es.wikipedia.org/wiki/Lynx

lunes, 17 de octubre de 2005

Vulnerabilidades en WinRar 3.50

Se han descubierto dos vulnerabilidades en WinRar versión 3.5 (y
posiblemente anteriores) que pueden ser explotadas remotamente por
usuarios maliciosos.

WinRar es un popular programa de compresión de archivos que soporta un largo
número de formatos.

La primera vulnerabilidad se encuentra en el formateo de cadenas de errores
de diagnostico, al informar de nombres de archivos incorrectos en formatos
UUE/XXE. Esta circunstancia puede conllevar como resultado la
ejecución de código arbitrario al decodificar un fichero de este tipo.

El segundo problema se encuentra en un desbordamiento de pila en la dll
encargada de la decodificación de ficheros .ACE. Este desbordamiento puede ser
conseguido mediante la introducción maliciosa de nombres de fichero
suficientemente largos en un archivo, y su posterior extracción por
parte de la víctima.

Se recomienda la actualización a la última versión disponible, que en estos
momentos se trata de WinRar 3.51.
http://www.rarlabs.com/download.htm


Francisco Santos
fsantos@hispasec.com


Más información:

Descarga de las últimas versiones de WinRar:
http://www.rarlabs.com/download.htm

Latest changes in WinRAR:
http://www.rarlabs.com/rarnew.htm

24/12/2004 Vulnerabilidad en WinRAR
http://www.hispasec.com/unaaldia/2253

domingo, 16 de octubre de 2005

Vulnerabilidades en el Shell de Windows

Dentro del conjunto de boletines de octubre publicado por Microsoft
esta semana y del que ya efectuamos un adelanto, se encuentra el
anuncio (en el MS05-049) de un conjunto de parches destinados a
eliminar tres vulnerabilidades, que podrían permitir a un atacante
lograr el control total de un sistema afectado.

Los dos primeros problemas residen en vulnerabilidades de ejecución
remota de código en Windows debida al modo en que trata la extensión
de nombre de archivo .lnk. Un atacante que convenza a un usuario para
que abra un archivo .lnk que tenga propiedades especialmente diseñadas
podría ejecutar código en un sistema afectado.

El tercer problema consiste en una vulnerabilidad de ejecución remota
de código en la forma en que la función de Vista Web del Explorador
de Windows trata determinados caracteres HTML en los campos de vista
previa. Un atacante que convenza a un usuario para que obtenga una
vista previa de un archivo malintencionado podría ejecutar código.

Microsoft recomienda utilizar Windows Update para actualizar el
navegador. Las actualizaciones también están disponibles para
descarga desde las siguientes direcciones (según versiones):

* Microsoft Windows 2000 SP4
http://www.microsoft.com/downloads/details.aspx?FamilyId=1F063C4A-B0BF-49C6-928B-F1F076C69612

* Microsoft Windows XP SP1, SP2
http://www.microsoft.com/downloads/details.aspx?FamilyId=F7241DEB-9E2D-401A-9D71-10ACAB4450AF

* Microsoft Windows XP Professional x64 Edition
http://www.microsoft.com/downloads/details.aspx?FamilyId=594AD01B-F333-4C56-9C12-D1A8B82F2A6E

* Microsoft Windows Server 2003 (y con SP1)
http://www.microsoft.com/downloads/details.aspx?FamilyId=1A4FCFDE-E549-4078-A180-076A23CB8BB7

* Microsoft Windows Server 2003 (Itanium) (y con SP1)
http://www.microsoft.com/downloads/details.aspx?FamilyId=3BA63AF8-3D36-4F3C-BFEE-11B62572AF73

* Microsoft Windows Server 2003 x64 Edition
http://www.microsoft.com/downloads/details.aspx?FamilyId=994B14B4-EE98-4B61-BDBE-CA5C20094855


Antonio Ropero
antonior@hispasec.com


Más información:

Boletín de seguridad de Microsoft MS05-049
Las vulnerabilidades en el shell de Windows podría permitir la ejecución remota de código
http://www.microsoft.com/spain/technet/seguridad/boletines/MS05-049-IT.mspx

sábado, 15 de octubre de 2005

Denegación de servicio en Solaris 10

Sun ha anunciado la existencia de múltiples vulnerabilidades en Solaris
10 que pueden ser explotadas por atacantes locales para provocar
denegaciones de servicio.

El problema reside en la existencia de múltiples errores, no detallados
en el aviso de Sun, en la opción de tratamiento de sockets SCTP (SCTP
Socket Option Processing). Esta circunstancia puede ser explotada por
usuarios locales maliciosos para provocar un mensaje de pánico del
sistema.

La compañía ha publicado las siguientes actualizaciones para las
versiones afectadas:
Solaris 10 (Sparc):
http://sunsolve.sun.com/pub-cgi/pdownload.pl?target=119075-09&method=f
Solaris 10 (x86):
http://sunsolve.sun.com/pub-cgi/pdownload.pl?target=119076-08&method=f


Antonio Ropero
antonior@hispasec.com


Más información:

Security Vulnerabilities In Solaris 10 SCTP Socket Option Processing
http://sunsolve.sun.com/search/document.do?assetkey=1-26-101881-1

viernes, 14 de octubre de 2005

Denegación de servicio en Symantec Brightmail AntiSpam 6.0

Symantec ha anunciado recientemente la publicación de parches de
actualización para su producto Brightmail AntiSpam versión 6 (builds 1 y
2). Estos parches han sido lanzados para solventar un problema detectado
en dicho producto que podría ser explotado por atacantes remotos para
provocar denegaciones de servicio aprovechando un error en el
tratamiento de contenidos MIME.

Brightmail AntiSpam es una solución de Symantec para el problema del
spam por correo electrónico. Según cifras de la compañía, filtra más del
15% del correo electrónico mundial y más de 100 mil millones de mensajes
de correo electrónico por mes.

Las extensiones MIME (Multi-Purpose Internet Mail Extensions) son un
grupo de especificaciones orientadas al intercambio estandarizado de
toda clase de contenidos (texto, archivos binarios, etc.) a través de
Internet.

El problema se debe a un fallo en el tratamiento de contenidos MIME que
puede ser explotado por un atacante remoto al enviar a la máquina
afectada un correo electrónico con contenidos MIME malformados. Si el
ataque se realiza con éxito, el compontente bmserver cesará su
ejecución, con lo que se consumará la denegación de servicio en sí.

Symantec recomienda parchear las versiones afectadas a la mayor brevedad
posible, y a tal efecto ha publicado parches que están disponibles en
las siguientes direcciones:

Brightmail AntiSpam Versions 6.0.1
ftp://ftp.symantec.com/public/english_us_canada/products/sba/sba_60x/updates/patch162.zip

Brightmail AntiSpam Versions 6.0.2:
ftp://ftp.symantec.com/public/english_us_canada/products/sba/sba_60x/updates/patch161.zip


Julio Canto
jcanto@hispasec.com


Más información:

Symantec Brightmail AntiSpam: Malformed MIME, Denial of Service
http://securityresponse.symantec.com/avcenter/security/Content/2005.10.12d.html

jueves, 13 de octubre de 2005

Denegación de servicio local en rama 2.6 del kernel de Linux

Se han descubierto dos vulnerabilidades en la rama 2.6 del kernel de
Linux que potencialmente son explotables por usuarios locales para
provocar denegaciones de servicio.

La primera se debe a una fuga de memoria localizada en el archivo
"/security/keys/request_key_auth.c" que potencialmente puede ser
explotada por usuarios no privilegiados para provocar denegaciones de
servicio.

Otra fuga de memoria localizada en "/fs/namei.c" puede darse cuando la
opción CONFIG_AUDITSYSCALL está activada. Potencialmente, esto puede
ser explotado por usuarios locales para provocar denegaciones de
servicio al realizar una gran cantidad de llamadas de sistema.

Las vulnerabilidades han sido solventadas en la versión 2.6.14-rc4.


Julio Canto
jcanto@hispasec.com


Más información:

Avoid 'names_cache' memory leak with CONFIG_AUDITSYSCALL
http://www.kernel.org/git/?p=linux/kernel/git/torvalds/linux-2.6.git;a=commitdiff;h=829841146878e082613a49581ae252c071057c23

[PATCH] key: plug request_key_auth memleak
http://www.kernel.org/git/?p=linux/kernel/git/torvalds/linux-2.6.git;a=commit;h=74fd92c511bd4a0771ac0faaaef38bb1be3a29f6

miércoles, 12 de octubre de 2005

Actualización acumulativa de Internet Explorer

Dentro del conjunto de boletines de octubre publicado por Microsoft
y del que ayer efectuamos un adelanto, se cuenta el anuncio (en el
boletín MS05-052) de una actualización acumulativa para el navegador
Internet Explorer.

Este parche además está destinado a corregir una nueva vulnerabilidad
en el control de formas de biblioteca DDS de Microsoft y otros objetos
COM que no deberían ejecutarse en Internet Explorer. De forma que al
ejecutarse en Internet Explorer, podría permitir a un atacante tomar
el control total de los sistemas afectados. La vulnerabilidad está
considerada como crítica por la propia Microsoft.

Microsoft recomienda utilizar Windows Update para actualizar el
navegador. Las actualizaciones también están disponibles para
descarga desde las siguientes direcciones (según versiones):

Las direcciones para descargar los paquetes actualizados son las
siguientes:

* Internet Explorer 5.01 Service Pack 4 en Microsoft Windows 2000
Service Pack 4
http://www.microsoft.com/downloads/details.aspx?FamilyId=B1F0216C-0D62-4141-9DC7-3C7B06C3A30A

* Internet Explorer 6 Service Pack 1 en Microsoft Windows 2000 Service
Pack 4 o en Microsoft Windows XP Service Pack 1
http://www.microsoft.com/downloads/details.aspx?FamilyId=8F638D4A-670D-46C7-A7A1-1D1E3DC9732F

* Internet Explorer 6 para Microsoft Windows XP Service Pack 2
http://www.microsoft.com/downloads/details.aspx?FamilyId=41CCCA21-5010-49FF-A2DD-CB365F6FD3C5

* Internet Explorer 6 para Microsoft Windows Server 2003 (y con SP1)
http://www.microsoft.com/downloads/details.aspx?FamilyId=4739846F-C35D-4C62-8E1A-60E01F3B3A59

* Internet Explorer 6 para Microsoft Windows Server 2003 (Itanium) (y
con SP1)
http://www.microsoft.com/downloads/details.aspx?FamilyId=44F43899-E897-4495-A4F1-73A4D48E001A

* Internet Explorer 6 para Microsoft Windows Server 2003 x64 Edition
http://www.microsoft.com/downloads/details.aspx?FamilyId=24846F0A-0530-42D1-AC60-216C0260ACA3

* Internet Explorer 6 para Microsoft Windows XP Professional x64
Edition
http://www.microsoft.com/downloads/details.aspx?FamilyId=59575247-3E71-4595-92B9-4E45F6D324EF


Antonio Ropero
antonior@hispasec.com


Más información:

Boletín de seguridad de Microsoft MS05-052
Actualización de seguridad acumulativa para Internet Explorer
http://www.microsoft.com/spain/technet/seguridad/boletines/ms05-052-it.mspx

Microsoft Security Bulletin MS05-052
Cumulative Security Update for Internet Explorer
http://www.microsoft.com/technet/security/Bulletin/MS05-052.mspx

martes, 11 de octubre de 2005

Nueve boletines de seguridad de Microsoft en octubre

Como cada segundo martes, y después del vacío de septiembre, Microsoft
ha publicado sus boletines de seguridad. Este mes se han publicado nueve
nuevos boletines (MS05-044 al MS05-052). Entre las actualizaciones
publicadas, según la propia clasificación de Microsoft, hay dos que
presentan un nivel de gravedad "moderado", tres de "importante" y
otros cuatro valorados como "críticos".

Es por tanto, importante conocer la existencia de estas
actualizaciones, evaluar el impacto de los problemas y aplicar
las actualizaciones en la mayor brevedad posible. Este es un boletín
de urgencia en el que describimos superficialmente cada uno de los
nuevos boletines de seguridad de Microsoft. En los próximos días
publicaremos otros boletines donde analizaremos más detalladamente
las actualizaciones más importantes.

Los boletines afectan principalmente a diversos componentes de los
sistemas operativos Microsoft Windows, incluyendo Windows XP Service
Pack 2.

* MS05-044: Destinado a solucionar una vulnerabilidad en el cliente FTP
de Windows que podría permitir a un atacante alterar la ubicación de
transferencia de archivos durante una sesión FTP.
Según la calificación de Microsoft está calificado como "moderado".
Afecta a Windows XP Service Pack 1 y Windows Server 2003.

* MS05-045: Soluciona una vulnerabilidad del Administrador de conexiones
de red que podría permitir a un atacante provocar que el componente
encargado de la administración dejase de responder.
Está calificado como "moderada".
Afecta a Windows 2000 Service Pack 4, Windows XP SP1 y SP2, Windows
Server 2003 y Windows Server 2003 Service Pack 1.

* MS05-046: En este boletín se una vulnerabilidad de ejecución
remota de código en el servicio de cliente para NetWare (CSNW) que
podría permitir a un atacante remoto lograr el control total de los
sistemas afectados.
Según la calificación de Microsoft recibe el nivel de "importante".
Afecta a Windows 2000, Windows XP SP1 y SP2 y Windows Server 2003.

* MS05-047: Corrige una vulnerabilidad de ejecución remota de
código en Plug and Play (PnP) que podría permitir a un atacante
autenticado tomar control total del sistema afectado.
Recibe una calificación de "importante".
Afecta a Windows 2000 y Windows XP (incluido SP2).

* MS05-048: En este boletín se presenta una actualización de seguridad
para una vulnerabilidad en Microsoft Collaboration Data Objects que
podría permitir a un atacante ejecutar código en el sistema.
Está calificado como "Importante".
Afecta a Windows 2000, Windows XP, Windows Server 2003 y Exchange
2000 Server.

* MS05-049: Soluciona tres vulnerabilidades en el shell de Windows que
podrían permitir a un intruso lograr el control total de los sistemas
afectados.
Según la calificación de Microsoft recibe un nivel de "importante".
Afecta a Windows 2000, Windows XP y Windows Server 2003.

* MS05-050: Soluciona una vulnerabilidad en DirectShow que podría
permitir a un intruso lograr el control total de los sistemas afectados.
Está calificado como "crítico".
Afecta a DirectX 7.0 en Windows 2000, DirectX 8.1 en Windows XP,
DirectX 8.1 en Windows Server 2003, Windows 98 y Windows
Millennium Edition (ME).

* MS05-051: Este boletín presenta una actualización destinada a
solucionar cuatro vulnerabilidades en MSDTC y COM+ que podrían
permitir la ejecución remota de código.
Está calificado como "crítico".
Afecta a Windows 2000, Windows XP y Windows Server 2003.

* MS05-052: En este boletín se presenta una actualización de seguridad
acumulativa para Internet Explorer. Además corrige una nueva
vulnerabilidad de ejecución remota de código en la forma en que
Internet Explorer ejecuta objetos COM que no deberían ejecutarse
en Internet Explorer.
Está calificado como "crítico".
Afecta a Windows 2000, Windows XP (incluido SP2), Windows Server
2003, Windows 98, Windows 98 SE y Windows ME.


Antonio Ropero
antonior@hispasec.com


Más información:

Vulnerability in the Windows FTP Client Could Allow File Transfer Location Tampering
http://www.microsoft.com/technet/security/Bulletin/MS05-044.mspx

Vulnerability in Network Connection Manager Could Allow Denial of Service
http://www.microsoft.com/technet/security/Bulletin/MS05-045.mspx

Vulnerability in the Client Service for NetWare Could Allow Remote Code Execution
http://www.microsoft.com/technet/security/Bulletin/MS05-046.mspx

Vulnerability in Plug and Play Could Allow Remote Code Execution and Local Elevation of Privilege
http://www.microsoft.com/technet/security/Bulletin/MS05-047.mspx

Vulnerability in the Microsoft Collaboration Data Objects Could Allow Remote Code Execution
http://www.microsoft.com/technet/security/Bulletin/MS05-048.mspx

Vulnerabilities in Windows Shell Could Allow Remote Code Execution
http://www.microsoft.com/technet/security/Bulletin/MS05-049.mspx

Vulnerability in DirectShow Could Allow Remote Code Execution
http://www.microsoft.com/technet/security/Bulletin/MS05-050.mspx

Vulnerabilities in MSDTC and COM+ Could Allow Remote Code Execution
http://www.microsoft.com/technet/security/Bulletin/MS05-051.mspx

Cumulative Security Update for Internet Explorer
http://www.microsoft.com/technet/security/Bulletin/MS05-052.mspx

lunes, 10 de octubre de 2005

Nessus y Snort con futuro incierto

Nessus anuncia que abandonará la licencia GPL para su próxima versión,
mientras que la empresa Sourcefire, los padres de Snort, han sido
comprados por Check Point.

Nessus y Snort tienen varias cosas en común. Ambos nacieron como
proyectos open source en 1998, se distribuyen bajo licencia GPL,
tienen una amplia difusión, y son sin duda referencias obligadas en
su terreno, el primero como escáner de vulnerabilidades y el segundo
como IDS.

En ambos casos también han existido proyectos empresariales derivados
por parte de sus desarrolladores. Nessus nació de la mano de Renaud
Deraison, quién creó en 2002 la empresa Tenable Security. Mientras
que Martin Roesh, el creador de Snort, fundó la empresa Sourcefire
en el 2001.

El que se planteen a día de hoy algunas dudas sobre ambos proyectos
tiene orígenes diferentes. En el caso de Nessus es el propio Renaud
Deraison quién ha anunciado en su lista de distribución que la
próxima versión 3 de Nessus dejará de distribuirse bajo licencia
GPL, aunque seguirá siendo gratuita. La razón que ha dado es que
la competencia de su empresa está aprovechando el acceso al código
fuente de Nessus y ello le perjudica.

En el caso de Snort no peligra a corto plazo su distribución bajo
GPL, tal y como rápidamente ha anunciado Martin Roesh en una carta
pública. En ella aclara que los 225 millones de dólares por los que
CheckPoint ha comprado a Sourcefire no van a ser un problema para
Snort, que seguirá su marcha como hasta ahora, siendo gratuito y
distribuyéndose bajo licencia GPL.

Aunque a efectos prácticos en ambos casos es previsible que se vean
frenadas sus versiones open source, al menos en comparación con los
avances que incorporen en sus desarrollos comerciales derivados, la
comunidad ha reaccionado de forma diferente, en parte por la
política de comunicación.

Martin Roesh, en una carta políticamente correcta, lo primero que
ha hecho es dar gracias a la comunidad open source, y asegurar la
continuidad del proyecto Snort en las mismas condiciones que hasta
hoy.

En el caso de Renaud Deraison, pecando de sinceridad, ha dicho que
Nessus 2 seguirá bajo GPL aunque se limitará a parchear los problemas
que puedan encontrarse, mientras que Nessus 3 con importantes mejoras
será gratuito pero no se distribuirá bajo GPL.

Cuando se le ha preguntado en la lista por ese cambio, Renaud ha
respondido que durante los últimos 6 años nadie le ha ayudado a
mejorar el motor de Nessus, a excepción de un amigo y un colega
de su empresa. A cambio, dice Renaud, muchas empresas de la
competencia están utilizando el acceso al código fuente de Nessus
en su contra, y no quiere que se aprovechen de las mejoras que
él va a introducir en Nessus 3 para que terceras empresas mejoren
sus herramientas.

Aunque es Renaud quién ha levantado más polvareda con sus
declaraciones, más que nada porque algunos han querido ver en sus
palabras un ataque o queja sobre la licencia GPL, a nadie escapa
que ambos proyectos pueden verse afectados por estos anuncios.

Si bien es cierto que en ambos casos han sido los propios autores
quiénes han soportado el desarrollo de los núcleos de las
herramientas, también es cierto que tanto Nessus como Snort deben
parte de su éxito a la contribución de la comunidad. Ya no sólo
por el apoyo recibido, sino porque han alimentado esos motores
con plugins y firmas, sin los cuales nunca hubieran alcanzado la
cobertura y el éxito actual.

Es la comunidad la que decidirá ahora si seguirá brindándoles el
mismo apoyo o les dará la espalda. En el caso de Nessus ya se han
escuchado algunas voces que piden formar un grupo de trabajo
alternativo al oficial, partiendo de Nessus 2, para desarrollar
nuevas versiones bajo licencia GPL.

A la espera de ver como evolucionan, a día de hoy, el futuro se
presenta incierto.


Bernardo Quintero
bernardo@hispasec.com


Más información:

Martin Roesch to the Snort community
http://www.snort.org/about_snort/msg_from_marty/mr_100605.html

Nessus Roadmap / Nessus 3.0.0rc1 testers wanted
http://mail.nessus.org/pipermail/nessus/2005-October/msg00035.html

Re: Nessus Roadmap / Nessus 3.0.0rc1 testers wanted
http://mail.nessus.org/pipermail/nessus/2005-October/msg00041.html

Nessus dejará de ser código abierto
http://blog.hispasec.com/laboratorio/56

Snort también con un futuro incierto
http://blog.hispasec.com/laboratorio/57

domingo, 9 de octubre de 2005

Vulnerabilidad en interfaz de administración de Sun Java System Directory Server

Se ha anunciado la existencia de una vulnerabilidad en Sun Java System
Directory Server, que puede ser explotada por usuarios maliciosos para
comprometer los sistemas afectados.

Sun Java System Directory Server es un componente de Java Enterprise
System destinado a proporcionar servicios de directorio, ofrece una
infraestructura de administración de usuarios para empresas que
trabajan con grandes volúmenes de información de usuario. Funciona
como repositorio centralizado para el almacenamiento y administración
de perfiles de usuario y privilegios de acceso, así como información
sobre recursos de red y aplicaciones.

La vulnerabilidad, confirmada en la versión 5.2 del producto, reside
en un error no detallado en la interfaz de administración HTTP. El
problema puede ser explotado para lograr la ejecución de código
arbitrario en los sistemas vulnerables.

Sun recomienda la instalación del "patch 4" disponible para Solaris
8, 9 y 10 en plataforma SPARC en:
http://sunsolve.sun.com/pub-cgi/pdownload.pl?target=117665-03&method=h


Antonio Ropero
antonior@hispasec.com


Más información:

Sun Java(TM) System Directory Server 5.2 patch 4 : Solaris patchzip
http://sunsolve.sun.com/search/document.do?assetkey=1-21-117665-03-1

sábado, 8 de octubre de 2005

Exposición de información sensible en Wireless Zero Configuration de Windows XP

Se ha descubierto un problema de seguridad en Microsoft Windows XP
(versiones Home y Professional) que puede ser explotado por usuarios
locales maliciosos para acceder a cierta información sensible.

El servicio Wireless Zero Configuration permite la configuración
automática rápida para adaptadores IEEE 802.11 en comunicaciones
inalámbricas.

El problema se debe a que el servicio Wireless Zero Configuration
permite a usuarios no privilegiados acceder a los perfiles de
configuración inalámbrica utilizando la función 'WZCQueryInterface'
del API. La información sacada de dicho perfil incluye los SSIDs
(Service Set IDentifiers) y claves WEP (Wired Equivalent Privacy), o
el PMK (Pairwise Master Key) que se usa para la autenticación en WPA
(Wi-Fi Protected Access).

El problema ha sido confirmado en sistemas Windows XP Service Pack 2
con KB893357 (parche de soporte WPA2 para Windows XP) instalado.

Fuentes de Microsoft afirman que el problema será solucionado en la
versión Longhorn de Windows. A la espera de un posible parche que
solvente el problema, se recomienda restringir el acceso a los
sistemas afectados.


Julio Canto
jcanto@hispasec.com


Más información:

WZCS key handling
http://www.soonerorlater.hu/index.khtml?article_id=62

viernes, 7 de octubre de 2005

Planes de recuperación ante desastres

Los recientes incidentes provocados por los desastres naturales,
especialmente el huracán Katrina, han puesto de manifiesto lo importante
que resulta disponer de un buen plan de continuidad en las empresas
cuyos procesos críticos reposan en sistemas de la información.

Es frecuente que muchas organizaciones, desde pequeñas cuentas a las más
grandes corporaciones, no contemplen éste tipo de planes, o los eludan
en su puesta al día por el simple hecho de que en las zonas de operación
no sean frecuentes o sean poco probables eventos indeseables que
pudieran tumbar nuestro despliegue informático, como podrían ser los
desastres naturales o los ataques terroristas. Muchas veces, una copiosa
lluvia puede dejarnos sin actividad, y en lo referente al factor humano,
un boicot interno o la acción vandálica de un ladrón podrían ser
suficientes para paralizar la actividad de nuestra empresa.

También se considera error pensar sólo en grandes desastres como fuentes
de la ruptura de la continuidad: huracanes, tsunamis, terremotos,
inundaciones ... son sin duda aspectos a considerar, pero no
menos importantes son otros problemas no naturales que podrían
dejar en el dique seco nuestras operaciones. Incrementos de la tensión
eléctrica, derrames químicos y/o tóxicos en entornos industriales, o la
simple acción humana pueden poner en jaque nuestra capacidad de operar,
tal y como explicábamos en el párrafo anterior.

En sistemas de la información, la estrategia más habitual de
recuperación es aquella que implica el levantamiento de una réplica de
la infraestructura en otro sitio, alejado del emplazamiento habitual,
donde haya podido acontecer el desastre. Así hablamos de sitios
calientes, templados, fríos y sitios espejo calientes. Hay otra
estrategia importante, que es la relativa a la pérdida del personal,
pero esa está vinculada a la gestión de recursos humanos, con lo que no
entraremos en ella. Tampoco diferenciaremos entre sitios remotos,
próximos o instalaciones de recuperación internas, quedando ésta
elección a criterio de los responsables implicados.

Los sitios fríos son los indicados para sistemas con alta tolerancia a
la indisponibilidad, cuando la recuperación se puede restablecer en dos
o tres días. Los sitios templados están indicados para tolerancias de uno
o dos días, y los calientes son aquellos emplazamientos cuya tolerancia
ante la indisponibilidad es muy limitada, requiriéndose una recuperación
total en el plazo de cuatro a 24 horas. Los sitios calientes tipo espejo
son los indicados para tolerancia cero ante los tiempos de recuperación,
y por tanto, funcionan de un modo paralelo entrando en acción
inmediatamente después de que el centro de datos principal haya
colapsado. Son por tanto, sistemas redundantes.

Recuperarse ante un desastre no es fácil. Una vez que hemos
salvaguardado los datos, toca decidir en qué orden vuelven a la
normalidad los procesos abatidos. Normalmente, los procesos que más
rentabilidad ofrecen son los que deberían ser activados primero, si bien
el orden de la recuperación varía sustancialmente en función de muchos
parámetros.

Otra tarea común es la recuperación de las líneas de contacto y de
servicio a los clientes, la cual obviamente es vital. La telefonía o los
sistemas de atención online a la clientela deben ser rápidamente
levantados, por motivos obvios.

Para elaborar un plan de recuperación no existe una metodología fija.
Cada cuenta es independiente de las demás en cuanto a sus requisitos de
recuperación y los impactos que la discontinuidad puede tener en sus
operaciones. No obstante, es frecuente contemplar, al menos, éstos ocho
pasos o fases de alto nivel a la hora de establecer una estrategia de
recuperación ante desastres:

1) Inicialización del plan. Es el punto de comienzo, donde deberían
definirse la meta del plan y los objetivos específicos que sean necesarios.

2) Gestión del riesgo y evaluación de los potenciales emergencias. La
única manera de poder ordenar adecuadamente los procesos de recuperación
es ordenando previamente los desastres que podemos sufrir, así como la
evaluación de los mismos en términos de discontinuidad, así como su
impacto técnico-económico en la organización.

3) Preparación para las posibles emergencias, identificado claramente
los métodos de recuperación de copias de seguridad y otras técnicas de
recuperación colaterales que pudieran ser necesarias.

4) Recuperación tras los desastres, donde deben quedar claramente
definidos los pasos a seguir por los equipos de recuperación,
especialmente en los casos donde haya riesgo de pérdida de vidas humanas.

5) Recuperación del negocio, ya que una vez aplicado el plan se pretende
que el negocio como conjunto vuelva a la normalidad.

6) Pruebas del proceso de recuperación, en las que se pueden
diagnosticar fallos y corregir deficiencias en las fases anteriores.

7) Entrenamiento del personal para el proceso de recuperación, ya que a
fin de cuentas, el personal es el que ejecuta los planes.

8) Actualización constante del plan de recuperación, para mantener al
día los procedimientos establecidos, así como la lista de emergencias
potenciales y su valoración probabilística de riesgo.

Los planes de recuperación son un enfoque que corrige un error
frecuente, que es aquel en el que caen muchas organizaciones que estiman
que la recuperación consiste únicamente en levantar los backups y paliar
los daños en infraestructura. Son sin duda factores importantes, pero no
son los únicos.

Y para vencer las reticencias que provoca la inversión en consultoría y
mantenimiento de un plan de recuperación, sólo hay que pensar que
sucedería si usted perdiera todos sus activos de información y no
tuviera posibilidad de recuperarlos, o si no los recuperase a tiempo, o
si al recuperarlos los datos no fueran consistentes. ¿Merece la pena?


Sergio Hernando
shernando@hispasec.com


Más información:

Business Continuity Planning Guidelines
http://yourwindow.to/business%2Dcontinuity/bcpindex.htm

Hispasec Sistemas. La Gestión del Riesgo
http://www.hispasec.com/unaaldia/2417

Hispasec Sistemas. El enemigo puede estar dentro
http://www.hispasec.com/unaaldia/2448

Hispasec Sistemas. El coste de los problemas de seguridad
http://www.hispasec.com/unaaldia/2473

jueves, 6 de octubre de 2005

Exposición local de información sensible en Macromedia Breeze 5

Se ha anunciado la existencia de una vulnerabilidad en Macromedia
Breeze 5.0, que puede ser empleada por usuarios locales maliciosos
para conseguir información sensible.

El problema reside en un fallo de la característica "reset password".
De forma que cuando los usuarios emplean esta opción, en lugar de
guardar el correspondiente "hash", el sistema pasa a almacenar las
contraseñas en texto plano en la base de datos. Esto puede ser
explotado por usuarios maliciosos para descubrir las contraseñas
de otros usuarios.

Macromedia ha publicado Macromedia Breeze 5.1 que incluye la solución
al problema. La actualización se encuentra disponible en:
http://www.macromedia.com/support/breeze/licensed_support.html#item-2


Antonio Ropero
antonior@hispasec.com


Más información:

MPSB 05-06 Breeze 5.0 Password Reset Encryption
http://www.macromedia.com/devnet/security/security_zone/mpsb05-06.html

miércoles, 5 de octubre de 2005

Actualización de ghostscript para Red Hat Enterprise Linux 3

Red Hat ha publicado paquetes actualizados de ghostscript para
sus Enterprise Linux 3 debido a que se han detectado varias
vulnerabilidades en dicho componente que pueden ser explotadas
por usuarios locales maliciosos para realizar ciertas acciones
con privilegios escalados en sistemas vulnerables.

Ghostscript es un conocido programa para mostrar archivos PostScript
o imprimirlos en impresoras sin soporte PostScript.

Las vulnerabilidades en sí se deben a que una buena lista de scripts
utilizados por el componente crean archivos temporales de forma
insegura, lo que puede ser explotado por atacantes locales vía ataque
symlink para crear o sobreescribir archivos arbitrarios con los
privilegios del usuario que llama a dichos scripts.

Además de esta vulnerabilidad, se ha solventado también un problema en
el driver de salida PDF que puede provocar que la salida se retrase
indefinidamente en algunos sistemas.

La compañía como de costumbre recomienda actualizar los sistemas
afectados vía Red Hat Network:
http://rhn.redhat.com/


Julio Canto
jcanto@hispasec.com


Más información:

ghostscript security update
http://rhn.redhat.com/errata/RHSA-2005-081.html

martes, 4 de octubre de 2005

Nuevos contenidos en CriptoRed (septiembre de 2005)

Breve resumen de las novedades producidas durante el mes de septiembre
de 2005 en CriptoRed, la Red Temática Iberoamericana de Criptografía y
Seguridad de la Información.

1. DOCUMENTOS NUEVOS PARA SU DESCARGA

* Concepto Extendido de la Mente Segura: Pensamiento Sistémico en
Seguridad Informática
http://www.criptored.upm.es/paginas/docencia.htm#gtletraC

* La Quinta Disciplina de Peter Senge como Alternativa Estratégica en
la Administración de la Seguridad Telemática
http://www.criptored.upm.es/paginas/docencia.htm#gtletraL

2. CONGRESOS Y SEMINARIOS POR ORDEN CRONOLOGICO DE CELEBRACION

* Octubre 03 al 05 de 2005: Congreso CollECTeR LatAm 2005 (Talca - Chile)
http://ing.utalca.cl/collecter

* Noviembre 07 al 08 de 2005: Workshop on Specification and Automated
Processing of Security Requirements SAPS ’05 (Long Beach - USA)
http://www.ase-conference.org/Workshops.html

* Noviembre 21 al 25 de 2005: Tercer Congreso Iberoamericano de Seguridad
Informática CIBSI '05 (Valparaíso - Chile)
http://cibsi05.inf.utfsm.cl/

* Diciembre 1 al 2 de 2005: IFIP TC-11 WG 11.1 & WG 11.5 Joint Working
Conference on Security Management, Integrity, and Internal Control in
Information Systems (Fairfax - USA)
http://www.cs.uvm.edu/ifip11.1.5/

* Diciembre 16 al 18 de 2005: Special Session Trust Access, Privacy And
Security ISCOCO 2005 (Tenerife - España)
http://www.worldses.org/conferences/2005/tenerife/iscoco/index.html

* Abril de 2006: Segunda Escuela Venezolana de Seguridad de Cómputo
(Mérida - Venezuela)
http://www.saber.ula.ve/eventos/evscm/

* Abril 19 al 21 de 2006: CFP 7th Smart Card Research and Advanced
Application IFIP Conference CARDIS 2006 (Tarragona - España)
http://www.cardis.org/

* Mayo 23 al 24 de 2006: Fourth International Workshop on Security in
Information Systems WOSIS 2006 (Paphos - Chipre)
http://www.iceis.org/

Puedes encontrar más información en:
http://www.criptored.upm.es/paginas/eventos.htm#Congresos

3. CURSOS DE POSTGRADO, ESPECIALIDAD Y FORMACIÓN

Puedes encontrar los enlaces en:
http://www.criptored.upm.es/paginas/eventos.htm#Cursos

4. NOTICIAS SELECCIONADAS DEL MES DE SEPTIEMBRE DE 2005

* Versión 2 de Magerit: Metodología de Análisis y Gestión de Riesgos
para la Seguridad de los SI
http://www.csi.map.es/csi/pg5m20.htm

* CFP Fourth International Workshop on Security in Information Systems
WOSIS 2006 (Paphos - Chipre)
http://www.iceis.org/

* CFP 7th Smart Card Research and Advanced Application IFIP CARDIS 2006
(Tarragona - España)
http://www.cardis.org/

* CFP Special Session Trust Access, Privacy And Security ISCOCO 2005
(Tenerife - España)
http://www.worldses.org/conferences/2005/tenerife/iscoco/index.html

* Creado Equipo de Investigación de Seguridad Informática en la
Universidad de Mondragón
http://www.eps.mondragon.edu/investigacion/secgroup/

* Creada Página Web sobre Voto Telemático bajo Licencia Creative
Commons (España)
http://vototelematico.org/

* 57 Trabajos Recibidos para ser Evaluados por el Comité de Programa
de CIBSI '05
Envío de Resultados de la Revisión de Miembros del Comité de Programa:
03/10/05
http://cibsi05.inf.utfsm.cl/

* Netfilter Workshop NFWS Gratuito en la Universidad de Sevilla, España,
del 3 al 6 de Octubre 2005
http://workshop.netfilter.org/

* CriptoRed Supera los 20.000 Enlaces en el Buscador Google
http://www.google.es/search?hl=es&q=CriptoRed&meta=

5. OTROS DATOS DE INTERES EN LA RED

* Número actual de miembros en la red: 538
(150 universidades; 187 empresas)
http://www.criptored.upm.es/paginas/particulares.htm

* 39.816 visitas, 112.426 páginas y 44,83 GBytes servidos en septiembre
de 2005
Las estadísticas del mes (AWStats) se muestran en páginas estáticas
actualizadas cada día a las 00:05 horas
http://www.criptored.upm.es/estadisticas/awstats.www.criptored.upm.es.html

6. CIBSI: CONGRESO IBEROAMERICANO DE SEGURIDAD INFORMÁTICA

* Tercer Congreso Iberoamericano de Seguridad Informática CIBSI '05
Universidad Técnica Federico Santa María
Del 21 al 25 de noviembre de 2005 (Valparaíso, Chile)
http://cibsi05.inf.utfsm.cl/


Jorge Ramió Aguirre
Coordinador de CriptoRed


Más información:

Septiembre de 2005
http://www.criptored.upm.es/paginas/historico2005.htm#sep05

lunes, 3 de octubre de 2005

Exposición de información sensible en Bugzilla 2.x

Se ha anunciado la existencia de dos problemas de seguridad en Bugzilla
que pueden emplearse para descubrir información sensible.

Bugzilla es un sistema de base de datos para comunicar bugs y asignarlos
a desarrolladores, lo que permite obtener una gran simplificación
administrativa respecto a la gestión manual de bugs. Bugzilla se
utiliza en numerosos proyectos, sobre todo del tipo "Open Source".

El primero de los problemas reside en la posibilidad de acceder al
script "config.cgi" sin la debida autenticación, incluso cuando el
parámetro de configuración "requirelogin" esté activo. Esto puede
explotarse para descubrir determinada información del producto.
Este problema se ha confirmado en las versiones 2.18rc1 hasta 2.18.3,
2.19 hasta 2.20rc2 y 2.21.

La segunda vulnerabilidad permite listar usuarios invisibles cuando
se usa la característica de examinar usuarios cuando el parámetro
"usevisibilitygroups" esté activo. Este problema está confirmado en
las versiones 2.19.1 a 2.20rc2 y 2.21.

Se recomienda la actualización a 2.18.4, 2.20, o 2.21.1.
http://www.bugzilla.org/download/


Antonio Ropero
antonior@hispasec.com


Más información:

2.18.4, 2.20, and 2.21.1 Security Advisory
http://www.bugzilla.org/security/2.18.4/

domingo, 2 de octubre de 2005

Actualización de Sun Solaris 7, 8, 9 y 10 por problemas con Xsun y Xprt

Sun ha publicado paquetes actualizados para Solaris (versiones de la 7
a la 10) debido a que se han detectado problemas con Xsun y Xprt que
pueden ser explotados por usuarios locales maliciosos para realizar
escaladas de privilegios.

La vulnerabilidad se debe a un error sin especificar en los comandos
Xsun y Xprt, y que puede ser explotada por usuarios sin privilegios
para ejecutar código arbitrario con los privilegios de dichos
comandos.

Las direcciones para descargar los parches para el resto de versiones
y plataformas son las siguientes:
Solaris 8 (sparc):
http://sunsolve.sun.com/pub-cgi/pdownload.pl?target=108652-93&method=f
Solaris 8 (x86):
http://sunsolve.sun.com/pub-cgi/pdownload.pl?target=108653-82&method=f
Solaris 9 (sparc):
http://sunsolve.sun.com/pub-cgi/pdownload.pl?target=112785-50&method=f
Solaris 9 (x86):
http://sunsolve.sun.com/pub-cgi/pdownload.pl?target=112786-39&method=f
Solaris 10 (sparc):
http://sunsolve.sun.com/pub-cgi/pdownload.pl?target=119059-05&method=f
Solaris 10 (x86):
http://sunsolve.sun.com/pub-cgi/pdownload.pl?target=119060-05&method=f

La compañía aún no ha publicado parches para Solaris 7.


Julio Canto
jcanto@hispasec.com


Más información:

Security Vulnerability in the Xsun(1) and Xprt(1) Commands
http://sunsolve.sun.com/search/document.do?assetkey=1-26-101800-1

sábado, 1 de octubre de 2005

Ejecución local de código arbitrario en Novell GroupWise 6.5.3

Se ha descubierto una vulnerabilidad en Novell GroupWise 6.5.3 que
puede ser explotada por usuarios locales maliciosos para comprometer
la seguridad del sistema afectado.

Novell GroupWise es un software de colaboración con funcionalidades
para uso de correo electrónico, calendarios, mensajería instantánea,
coordinación de tareas, control de documentación, etc.

El problema se debe a que el software cliente no valida de forma
adecuada la información recibida desde el registro de Windows. Esta
circunstancia puede ser aprovechada por un usuario local (con la
posibilidad de modificar el registro) para cambiar la clave 'IP Port'
(HKEY_CURRENT_USER\Software\Novell\GroupWise\Login Parameters\TCP/IP Port)
a un valor especialmente puesto a tal efecto. Cuando la víctima
del ataque abra posteriormente la aplicación, se provocará un
desbordamiento de entero explotable para la ejecución de código
arbitrario.

Si bien la vulnerabilidad se ha confirmado en la versión 6.5.3, no
se descarta que está presente también en versiones anteriores del
producto.

La compañía ha publicado una versión corregida de GroupWise 6.5,
disponible en la siguiente dirección:
http://support.novell.com/filefinder/16963/beta.html
Esta corrección ha sido añadida al Support Pack 5 (SP5) de GroupWise.

GroupWise 6.5 Cliente SP5 Multi-lenguaje:
http://support.novell.com/servlet/filedownload/pub/gw655cm.exe
GroupWise 6.5 Cliente SP5 LINUX Multi-lenguaje
http://support.novell.com/servlet/filedownload/sec/pub/gw655clnx.tgz
GroupWise 6.5 Admin/Cliente SP5 Multi-lenguaje
http://support.novell.com/servlet/filedownload/sec/pub/gw655m.exe

Se informa además de que la versión 7 de GroupWise no se ve afectada
por este problema.


Julio Canto
jcanto@hispasec.com


Más información:

Novell GroupWise Client Integer Overflow in Processing 'IP Port'
Registry Key May Let Local Users Execute Arbitrary Code
http://securitytracker.com/alerts/2005/Sep/1014977.html