sábado, 31 de marzo de 2007

Múltiples denegaciones de servicio en Cisco Unified CallManager (CUCM) y Cisco Unified Presence Server (CUPS)

Cisco Unified CallManager (CUCM) y Cisco Unified Presence Server (CUPS) contienen múltiples vulnerabilidades que pueden permitir a un atacante provocar una condición de denegación de servicio.

Las vulnerabilidades son:

* Denegación de servicio a través de escaneo de puertos en SCCP/SCCPS. Si se envían paquetes especialmente manipulados al puerto SCCP, se podría provocar una denegación de servicio. CUPS no se ve afectado por este problema.

* Denegación de servicio a través de ICMP Echo Request. Se puede provocar una denegación de servicio en CUCM o CUPS si se envían una gran cantidad de pings a estos servicios. Sólo se ve afectada CUCM versión 5.0.

* Denegación de servicio en IPSec Manager. Si se envía un paquete UDP especialmente manipulado al servicio IPSec Manager en el puerto 8500, se podría provocar que el servicio dejase de responder. Sólo se ve afectada CUCM versión 5.0.

Cisco, a través de los canales habituales, ha puesto a disposición de sus clientes software para solucionar el problema.

Se aconseja consultar la tabla de versiones vulnerables y
contramedidas en:
http://www.cisco.com/warp/public/707/cisco-sa-20070328-voip.shtml


Laboratorio Hispasec
laboratorio@hispasec.com


Más información:

Cisco Security Advisory: Multiple Cisco Unified CallManager and
Presence Server Denial of Service Vulnerabilities
http://www.cisco.com/warp/public/707/cisco-sa-20070328-voip.shtml

viernes, 30 de marzo de 2007

Vulnerabilidad en tratamiento de cursores animados de Windows

Microsoft ha confirmado la existencia de una vulnerabilidad en el tratamiento de archivos ANI que afectaría a diversas versiones de Windows (2000 SP4, XP, XP 64 bits, Server 2003, Server 2003 64 bits y Vista).

Un atacante remoto puede crear un documento HTML que referenciase a un archivo ANI especialmente construido que al ser cargado por el navegador ejecutaría de forma silenciosa código arbitrario en el sistema afectado.

Microsoft informa de que los usuarios de Internet Explorer 7 en Windows Vista no se verán afectados debido al modo protegido de dicho navegador.

A falta de un parche oficial que solvente el problema, Microsoft recomienda visualizar los correos en formato de texto plano para mitigar el riesgo por correo electrónico. No se han dado contramedidas para el vector de ataque por web. El filtrado de archivos .ani no es suficiente ya que puede presentarse con otras extensiones.


Laboratorio Hispasec
laboratorio@hispasec.com


Más información:

Microsoft Security Advisory (935423)
Vulnerability in Windows Animated Cursor Handling
http://www.microsoft.com/technet/security/advisory/935423.mspx

jueves, 29 de marzo de 2007

Múltiples vulnerabilidades en IBM Lotus Domino 6 y 7

Se han encontrado varios problemas de seguridad in IBM Lotus Domino y Lotus Domino Web Access que pueden ser aprovechados por atacantes para perpetrar ataques de cross site scripting o provocar una denegación de servicio.

* Un error no especificado dentro del servicio IMAP puede ser aprovechado para provocar un desbordamiento de memoria intermedia y hacer que el servidor deje de responder.

* Un error no especificado en el servidor LDAP a la hora de manejar ciertas peticiones puede ser aprovechado para provocar un desbordamiento de memoria intermedia y hacer que el servidor deje de responder.

* Ciertas entradas en Lotus Domino Web Access no son debidamente tratadas antes de ser devueltas al usuario, lo que puede permitir ejecutar código HTML y script en el navegador del usuario bajo el contexto de seguridad del sitio afectado.

Se recomienda actualizar a la versión 6.5.6 o 7.0.2 Fix Pack 1.


Laboratorio Hispasec
laboratorio@hispasec.com


Más información:

IBM Lotus Domino IMAP Server CRAM-MD5 Authentication Buffer Overflow Vulnerability
http://www.zerodayinitiative.com/advisories/ZDI-07-011.html

IBM Lotus Domino Web Access Cross Site Scripting Vulnerability
http://labs.idefense.com/intelligence/vulnerabilities/display.php?id=493

IBM Lotus Domino Server LDAP Request Invalid DN Message Heap Overflow Vulnerability
http://labs.idefense.com/intelligence/vulnerabilities/display.php?id=494

Lotus Domino Web Access Cross-Site Scripting Vulnerability
http://www-1.ibm.com/support/docview.wss?uid=swg21257026

IBM Lotus Domino IMAP Server Buffer Overflow Vulnerability
http://www-1.ibm.com/support/docview.wss?uid=swg21257028

IBM Lotus Domino Buffer Overflow Vulnerability in LDAP Server Task
http://www-1.ibm.com/support/docview.wss?uid=swg21257248

miércoles, 28 de marzo de 2007

El mes de los fallos en PHP ha desvelado ya 18 vulnerabilidades sin parche

El mes de los fallos en PHP ha publicado ya 35 vulnerabilidades en 28 días. 30 de ellos han sido encontrados en PHP, tres en la plataforma Zend y una en el módulo mod_security de Apache (los que el propio autor llama "bonus"). Afortunadamente, la mayoría son problemas que no pueden ser aprovechados de forma remota.

Stefan Esser es el creador de este proyecto, fundador de Hardened-PHP e impulsor del PHP Security Response Team. Durante años ha contribuido al desarrollo de PHP y considera que el núcleo de programadores de este lenguaje no está concienciado con respecto a la seguridad. Por ello decidió crear el mes de los fallos en PHP y ubicarlo en marzo de este año.

Con 35 vulnerabilidades publicadas, se pueden extraer las primeras conclusiones. El hecho de que la mayoría de los fallos no puedan ser aprovechados de forma remota puede aliviar en gran media a los usuarios que ofrezcan páginas basadas en PHP al exterior, pero supone un gran problema para los proveedores de hosting. Muchos de los fallos descritos requieren que un hipotético atacante tenga acceso al servidor web, y pueda ejecutar ahí código PHP. Por tanto, las compañías que ofrecen espacio web compartido y permitan la ejecución de PHP arbitrario se llevan la peor parte. Sus usuarios podrían de forma sencilla acceder a una shell en el sistema (a través de programas PHP prefabricados) si son capaces de aprovechar las funciones inseguras descubiertas o aplican las pruebas de concepto publicadas.

También durante el mes se han publicado problemas aprovechables de forma remota, al menos dos de ellos pueden servir para modificar las variables de sesión. Además se ha identificado un fallo que permite habilitar la funcionalidad register_globals, considerada muy insegura.

Al menos la publicación de estos problemas no ha causado hasta ahora una epidemia entre las millones de páginas PHP expuestas al exterior en el mundo. La revelación de un grave fallo aprovechable de forma remota y que tuvieran en común las centenas de plataformas creadas en PHP, hubiese supuesto un fuerte impacto en todo Internet.

En cualquier caso, el problema real es que para 18 agujeros encontrados no existe parche aún, y algunos, según sus propios descubridores, serán realmente complicados de solucionar.


Sergio de los Santos
ssantos@hispasec.com


Más información:

the Month of PHP Bugs:
www.php-security.org

Month of PHP Bugs: 18 holes that need patching
http://www.heise-security.co.uk/news/87476

martes, 27 de marzo de 2007

Denegación de servicio en Sun Java System Directory Server 5.x

Se ha encontrado una vulnerabilidad en Sun Java System Directory Server que puede ser aprovechada por atacantes remotos para provocar condiciones de denegación de servicio.

Sun Java System Directory Server es un servidor LDAP distribuido por Sun con múltiples productos. El fallo se debe al tratamiento de consultas especialmente creadas. Esto puede ser aprovechado por un atacante remoto para provocar la caída del servicio ns-slapd.

Aunque no está confirmado, en algunas situaciones el atacante podría situar información en el rango de memoria a la que accederá, lo que podría llegar a permitir la ejecución de código.

Sun ha corregido esta vulnerabilidad en Sun Java System Directory Server 5.2 Patch 5.


Laboratorio Hispasec
laboratorio@hispasec.com


Más información:

The Directory Server ("ns-slapd") May Exit Unexpectedly When Handling Certain Queries
http://sunsolve.sun.com/search/document.do?assetkey=1-26-102853-1

Sun Java System Directory Server 5.2 Uninitialized Pointer Cleanup Design Error Vulnerability
http://labs.idefense.com/intelligence/vulnerabilities/display.php?id=491

lunes, 26 de marzo de 2007

El número de máquinas "zombie" se multiplica por tres en marzo

Según la fundación Shadowserver, el número de máquinas reclutadas por botnet se ha triplicado en menos de un mes. Los botnets (asociaciones en red de máquinas "secuestradas") también aumentan, pero más aún el número de equipos "zombie" que las componen.

La fundación Shadowserver está formada por un grupo de voluntarios, profesionales de la seguridad informática que monitorizan la actividad de los botnets en el mundo, además de vigilar la actividad del malware en general y el fraude electrónico. Su misión es mejorar la seguridad en Internet y elevar la concienciación sobre la presencia de sistemas comprometidos, atacantes organizados y la evolución del malware.

Los botnets concentran un gran número de máquinas "zombie" que se coordinan para gestionar el envío de correo basura, distribución de malware, alojamiento de páginas fraudulentas... pero, sobre todo, suelen ser las culpables de los ataques de denegación de servicio distribuido (DDoS).

Según esta fundación, el número de sistemas controlados por botnets (máquinas "zombie") se ha triplicado en menos de un mes. Desde aproximadamente el día 8 de marzo, se ha observado una subida espectacular en el número de sistemas infectados, sin estabilizarse desde entonces y siguiendo al alza.

No se ha observado un aumento tan significativo en el número de botnets en sí, sino en el total de máquinas que agrupan. Según los llama la propia fundación los Command and Control servers (C&C) han subido un 20%, mientras que el número de máquinas que estos controlan se ha multiplicado por tres (de 400.000 a 1.200.000). En otras palabras, sólo unos pocos servidores más controlan muchas más máquinas cada uno.

Según sus estadísticas, existen unos 1.400 C&C actualmente, mientras que a principios de marzo se contabilizaron poco más de 1.100. El tope se alcanzó en diciembre de 2006 con 1.700 controladores.

Estas cifras pueden ser muy aproximadas (las gráficas de Shadowserver tienden a mostrar cambios bruscos), pero teniendo en cuenta la especialización actual de las mafias informáticas y la masiva presencia de sofisticados troyanos, no deben alejarse mucho de la realidad.

La mayor concentración de máquinas infectadas se encuentra en China, Brasil y Argentina, mientras que los controladores (C&C) suelen alojarse en Nueva York, California y el centro de Europa.

Como ya anunciábamos hace poco más de un año, siguen siendo muchas más las máquinas que tienen clientes instalados clandestina e involuntariamente que de forma consciente, y mayores los recursos invertidos para fines ilegales y prohibidos que para proyectos interesantes y altruistas basados también en la informática distribuida. Todo un desperdicio.


Sergio de los Santos
ssantos@hispasec.com



domingo, 25 de marzo de 2007

Denegación de servicio y ejecución de código en CA ARCserve Backup

Se han encontrado cuatro vulnerabilidades en CA BrightStor ARCserve Backup que pueden ser aprovechadas por atacantes remotos para provocar denegaciones de servicio o ejecutar código arbitrario en el sistema afectado.

BrightStor ARCserve Backup de Computer Associates, es una completa suite de respaldo y recuperación de datos muy usada en el mundo empresarial. Funciona bajo multitud de plataformas y permite el respaldo en varios sistemas distintos: cintas, discos duros remotos...

El primer fallo se debe a una corrupción de memoria en el Tape Engine a la hora de procesar ciertos argumentos de procedimientos RPC. Esto puede ser aprovechado para ejecutar código arbitrario de forma remota.

Una segunda vulnerabilidad se debe a la presencia de una función RPC que cuando es llamada, deshabilita la interfaz del Tape Engine. Esto puede ser aprovechado por atacantes para hacer que la funcionalidad deje de responder (denegación de servicio).

Existe otro problema en Tape Engine que puede dar lugar a un desbordamiento de búfer y la consiguiente ejecución de código. Y por último, una vulnerabilidad en el tratamiento de parámetros no válidos en el servicio portmapper (catirpc.dll), que permitirá a un atacante remoto provocar una denegación de servicio.

Los productos afectados son:
CA BrightStor ARCserve Backup r11.5
CA BrightStor ARCserve Backup r11.1
CA BrightStor ARCserve Backup r11 para Windows
CA BrightStor Enterprise Backup r10.5
CA BrightStor ARCserve Backup v9.01
CA Server Protection Suite r2
CA Business Protection Suite r2
CA Business Protection Suite for Microsoft Small Business Server
Standard Edition r2
CA Business Protection Suite for Microsoft Small Business Server
Premium Edition r2

Según versión y plataforma, se recomienda actualizar desde:
CA BrightStor ARCserve Backup r11.5 - Instalar QO86255 :
http://supportconnect.ca.com/sc/redir.jsp?reqPage=search&searchID=QO86255

CA BrightStor ARCserve Backup r11.1 - Instalar QO86258 :
http://supportconnect.ca.com/sc/redir.jsp?reqPage=search&searchID=QO86258

CA BrightStor ARCserve Backup r11.0 - Instalar QI82917 :
http://supportconnect.ca.com/sc/redir.jsp?reqPage=search&searchID=QI82917

CA BrightStor Enterprise Backup r10.5 - Instalar QO86259 :
http://supportconnect.ca.com/sc/redir.jsp?reqPage=search&searchID=QO86259

CA BrightStor ARCserve Backup v9.01 - Instalar QO86260 :
http://supportconnect.ca.com/sc/redir.jsp?reqPage=search&searchID=QO86260


Laboratorio Hispasec
laboratorio@hispasec.com


Más información:

Security Notice for BrightStor ARCserve Backup Tape Engine and Portmapper
http://supportconnectw.ca.com/public/storage/infodocs/babtapeng-securitynotice.asp

sábado, 24 de marzo de 2007

Cross site scripting en Oracle Server 10g

Se ha encontrado una vulnerabilidad en Oracle Application Server que puede ser aprovechada por atacantes para ejecutar código script arbitrairo.

El fallo se debe a un error de validación en la entrada del DMS (Dynamic Monitoring Service) a la hora de procesar el parámetro "table". Esto puede ser aprovechado por atacantes para que se ejecute código script arbitrario en el navegador del usuario bajo el contexto de la página afectada.

Se ven afectados los Oracle Application Server 10g Release 2 (10.1.2), no existe parche oficial.


Laboratorio Hispasec
laboratorio@hispasec.com


Más información:

Oracle Application Server "table" Parameter Handling Cross Site Scripting Vulnerability
http://www.frsirt.com/english/advisories/2007/1078

viernes, 23 de marzo de 2007

Inseguridad en los servidores DNS de Microsoft

Se ha publicado una vulnerabilidad que afecta al servidor de DNS de Microsoft, en sus configuraciones por defecto, que permite que cualquier usuario modifique los registros DNS de la organización, sin necesidad de proporcionar ninguna credencial de acceso.

Los servidores DNS, son los sistemas encargados de la resolución de nombres en Internet. Por ello son uno de los pilares fundamentales para el correcto funcionamiento de una red y de la seguridad en la misma.

El fallo de seguridad detectado se debe a que el servidor DNS en infraestructuras con Windows 2000 permite por defecto "Actualizaciones dinámicas no seguras". A través de este modo, cada vez que un equipo se conecta a la red, el servicio cliente dns de Windows se encarga de notificar al servidor de DNS que el equipo se encuentra en la red y que actualice su registro. Aprovechando esta funcionalidad, un usuario puede modificar cualquier registro dns y suplantar cualquier servicio interno o externo.

Los impactos mas directos son la suplantación de proxys de acceso a Internet, causar una denegación de servicio o realizar ataques de pharming y phishing suplantando sitios de banca.

Se recomienda que la configuración de los servidores DNS se establezca para que solo se permitan las "actualizaciones dinámicas seguras". Con este modo, solo el propietario de un registro DNS será capaz de modificarlo.




Más información:

Explotando actualizaciones dinámicas en Microsoft DNS Server
http://www.514.es/2007/03/explotando_actualizaciones_din.html

Cómo configurar actualizaciones dinámicas de DNS en Windows Server 2003
http://support.microsoft.com/kb/816592

jueves, 22 de marzo de 2007

Diversas vulnerabilidades en OpenOffice.org

Se han descubierto diversas vulnerabilidades en la suite OpenOffice que pueden ser explotadas por usuarios maliciosos para provocar la ejecución de código arbitrario en las máquinas víctima del ataque.

* Varios desbordamientos de memoria intermedia en libwpd. A través de un fichero WordPerfect especialmente manipulado, un atacante podría tener la posibilidad de ejecutar código arbitrario.

* El intérprete de StarCalc sufre de un desbordamiento de pila que puede ser usado para ejecutar código arbitrario.

* OpenOffice.org no escapa metacaracteres de shell y por tanto es vulnerable a ejecución de comandos shell si una víctima pulsa en un enlace especialmente manipulado.

Las principales distribuciones has publicado los paquetes para evitar estos problemas.


Laboratorio Hispasec
laboratorio@hispasec.com


Más información:


OpenOffice.org StarCalc Parser and Link Processing Command Execution Vulnerabilities
http://www.frsirt.com/english/advisories/2007/1032

DSA-1270-1 openoffice.org -- several vulnerabilities
http://www.debian.org/security/2007/dsa-1270

[suse-security-announce] SUSE Security Announcement: OpenOffice,libwpd security problems (SUSE-SA:2007:023)
http://lists.suse.com/archive/suse-security-announce/2007-Mar/0007.html

Multiple Vendor libwpd Multiple Buffer Overflow Vulnerabilities
http://labs.idefense.com/intelligence/vulnerabilities/display.php?id=490

Important: openoffice.org security update
http://rhn.redhat.com/errata/RHSA-2007-0033.html

miércoles, 21 de marzo de 2007

Dos fallos de seguridad remotos en diez años

OpenBSD, el sistema operativo derivado de Unix (perteneciente a la familia *BSD, como NetBSD o FreeBSD) se ha visto obligado a cambiar su eslogan "bandera" por segunda vez desde que orgullosos, lo colgaron bien visible en su página como símbolo de un sistema pensado para la seguridad.

OpenBSD es un sistema abierto, gratuito y de una gran calidad. Implementa por defecto todas las medidas de seguridad imaginables, aquellas que casi todos los otros sistemas ofrecen como complementos o de forma opcional. Esto convierte a OpenBSD en una verdadera roca que, nada más ser instalado, puede mantenerse más que razonablemente seguro sin necesidad de bastionado. Además, los servicios que ofrece al exterior en primera instancia son mínimos, manteniendo deshabilitadas una gran cantidad de funcionalidades por defecto. Por último, sus creadores someten al código a continuas auditorías, con la seguridad siempre como objetivo primordial.

Al poco de observar tan buenos resultados con respecto a la seguridad, los orgullosos desarrolladores establecieron como lema de su página el logro que estaban consiguiendo, y a mediados de 2000, se podían leer las frases: "Tres años sin un agujero remoto en la instalación por defecto" y "Dos años sin agujero local en la instalación por defecto" junto con el pez globo que representa este sistema operativo. Esta última afirmación sobre la seguridad en local (siempre más compleja) duró poco, y para finales de ese mismo año 2000 ya había sido retirada.

En junio de 2002, cuando la frase ya hablaba de "seis años sin agujeros remotos", el eslogan tuvo que ser modificado de nuevo. Se encontró un grave fallo de seguridad en OpenSSH que permitía a un atacante remoto obtener total control del sistema. Desde entonces hasta el pasado día 17 de marzo, se podía leer "sólo un agujero de seguridad en la instalación por defecto en más de 10 años".

El problema ha surgido, no sin polémica, cuando se ha descubierto una nueva vulnerabilidad en la pila Ipv6 de OpenBSD. Este sistema activa la nueva versión del protocolo por defecto, de forma que era vulnerable de forma remota. El fallo se debía a un desbordamiento de memoria intermedia cuando se manejaban paquetes Ipv6 fragmentados. En un principio se pensó que sólo podría provocar una denegación de servicio, pero poco después se desarrolló una prueba de concepto que acreditaba la posibilidad de que fuese aprovechada para ejecutar código. Al tratarse de una versión del protocolo todavía no muy extendida, la gravedad del problema podría verse suavizada. Un atacante debería encontrarse en una red Ipv6 y enviar el paquete a la víctima. Muchos administradores de OpenBSD también, muy concienciados con la seguridad, deshabilitaban este protocolo si no iba a ser utilizado. Los descubridores del problema hablaban de vulnerabilidad desde un principio, mientras que OpenBSD prefirió llamarla "bug" (fallo) y más tarde "problema de estabilidad".

Aun así, con ciertas reservas, OpenBSD se ha visto obligado a modificar su eslogan, donde ahora se puede leer "sólo dos agujeros de seguridad remotos en la instalación por defecto en más de diez años", algo que no todos los proyectos pueden permitirse afirmar y de lo que siguen pudiendo sentirse orgullosos. La actual versión OpenBSD 4.0 seguirá presentándose como uno de los sistemas más seguros para servidores, donde la seguridad y estabilidad como objetivo primen por encima de todo.


Sergio de los Santos
ssantos@hispasec.com


Más información:

OpenBSD:
http://en.wikipedia.org/wiki/OpenBSD

Report states that OpenBSD developers played down critical vulnerability
http://www.heise-security.co.uk/news/86757

martes, 20 de marzo de 2007

Denegación de servicio en Cisco IP Phone 7900 Series

Se ha encontrado una vulnerabilidad en Cisco IP Phone 7940 y 7960 que puede ser aprovechada por atacantes para provocar una denegación de servicio.

El fallo se debe a un error en el manejo de ciertos mensajes INVITE del protocolo SIP. Esto puede ser aprovechado para hacer que el dispositivo se reinicie si se envía un mensaje especialmente manipulado con el campo sipURI mal formado.

La vulnerabilidad se ha confirmado en el firmware POS3-07-4-00.

Se recomienda actualizar el firmware a la versión POS8-6-0 o posterior desde: http://www.cisco.com/pcgi-bin/tablebuild.pl/sip-ip-phone7960


Laboratorio Hispasec
laboratorio@hispasec.com


Más información:

Cisco IP Phone 7940 and 7960 SIP "INVITE" Request Denial of Service Vulnerability
http://www.frsirt.com/english/advisories/2007/1023

lunes, 19 de marzo de 2007

Cross site scripting a través de PHP_SELF en WordPress

Se ha anunciado una vulnerabilidad en WordPress, que puede ser empleada por usuarios maliciosos para construir ataques de cross-site scripting.

WordPress es un sistema de gestión de blogs, que opera en lenguaje PHP y con soporte de base de datos MySQL, y ofrecido a la comunidad bajo licencia GPL. WordPress es uno de los gestores de blogs más extendido en la blogosfera.

Las entradas pasadas a la variable "PHP_SELF" no se limpian de forma adecuada antes de mostrarse al usuario. Esto puede emplearse para ejecutar HTML arbitrario y código script en el navegador del usuario.

El problema se ha corregido en las versiones 2.0.10-RC2 y 2.1.3-RC2 disponibles desde:
http://wordpress.org/download/


Laboratorio Hispasec
laboratorio@hispasec.com


Más información:

WordPress PHP_SELF Variable Handling XSS Vulnerability
http://www.buayacorp.com/files/wordpress/wordpress-advisory.txt

domingo, 18 de marzo de 2007

Salto de restricciones en PHP 4.x y 5.x

Se ha encontrado una vulnerabilidad en PHP que puede ser aprovechada por atacantes para elevar privilegios.

El fallo se debe a un error en la función array_user_key_compare donde las claves de referencia son destruidas incorrectamente. Esto puede ser aprovechado para provocar corrupción en memoria y permitir la
ejecución de código arbitrario, lo que llevaría a eludir restricciones de seguridad tales como disable_functions.

Se aconseja permitir sólo ejecución de código PHP a usuarios confiables.


Laboratorio Hispasec
laboratorio@hispasec.com


Más información:

MOPB-24-2007:PHP array_user_key_compare() Double DTOR Vulnerability
http://www.php-security.org/MOPB/MOPB-24-2007.html

sábado, 17 de marzo de 2007

Denegación de servicio y ejecución de código en CA BrightStor ARCserve Backup

Se han encontrado dos vulnerabilidades en CA BrightStor ARCserve Backup que pueden ser aprovechadas por atacantes remotos para provocar una denegación de servicio o ejecutar código arbitrario en el sistema afectado.

BrightStor ARCserve Backup de Computer Associates, es una completa suite de respaldo y recuperación de datos muy usada en el mundo empresarial. Funciona bajo multitud de plataformas y permite el respaldo en varios sistemas distintos: cintas, discos duros remotos...

El primer fallo se debe a una corrupción de memoria en el Tape Engine a la hora de procesar ciertos argumentos de procedimientos RPC. Esto puede ser aprovechado para ejecutar código arbitrario de forma remota.

La segunda vulnerabilidad se debe a la presencia de una función RPC que cuando es llamada, deshabilita la interfaz del Tape Engine. Esto puede ser aprovechado por atacantes para hacer que la funcionalidad deje de responder (denegación de servicio).

Los productos afectados son:
CA BrightStor ARCserve Backup r11.5
CA BrightStor ARCserve Backup r11.1
CA BrightStor ARCserve Backup r11 para Windows
CA BrightStor Enterprise Backup r10.5
CA BrightStor ARCserve Backup v9.01
CA Server Protection Suite r2
CA Business Protection Suite r2
CA Business Protection Suite for Microsoft Small Business Server
Standard Edition r2
CA Business Protection Suite for Microsoft Small Business Server Premium
Edition r2

Según versión y plataforma, se recomienda actualizar desde:
CA BrightStor ARCserve Backup r11.5 - Instalar QO86255 :
http://supportconnect.ca.com/sc/redir.jsp?reqPage=search&searchID=QO86255

CA BrightStor ARCserve Backup r11.1 - Instalar QO86258 :
http://supportconnect.ca.com/sc/redir.jsp?reqPage=search&searchID=QO86258

CA BrightStor ARCserve Backup r11.0 - Instalar QI82917 :
http://supportconnect.ca.com/sc/redir.jsp?reqPage=search&searchID=QI82917

CA BrightStor Enterprise Backup r10.5 - Instalar QO86259 :
http://supportconnect.ca.com/sc/redir.jsp?reqPage=search&searchID=QO86259

CA BrightStor ARCserve Backup v9.01 - Instalar QO86260 :
http://supportconnect.ca.com/sc/redir.jsp?reqPage=search&searchID=QO86260


Laboratorio Hispasec
laboratorio@hispasec.com


Más información:

Security Notice for BrightStor ARCserve Backup Tape Engine and Portmapper
http://supportconnectw.ca.com/public/storage/infodocs/babtapeng-securitynotice.asp

viernes, 16 de marzo de 2007

Revelación de código fuente en IBM WebSphere Application Server

Se ha anunciado una vulnerabilidad en WebSphere Application Server, que puede ser explotadas por usuarios maliciosos para descubrir información sensible.

La vulnerabilidad está provocada por un error cuando se sirve una página JSP desde un Application WAR o desde un Extended Document Root, y bajo estos escenarios opcionalmente con cacheo de servlets habilitado, y podrá ser explotada para descubrir el código fuente JSP mediante el uso de determinados caracteres en la URL.

IBM ha publicado los parches y actualizaciones necesarios para evitar este problema, dada la diversidad de versiones y plataformas afectadas, se recomienda consultar la lista en la alerta disponible en:
http://www-1.ibm.com/support/docview.wss?uid=swg21243541


Laboratorio Hispasec
laboratorio@hispasec.com


Más información:

Possible security exposure with JavaServer Page (JSP) and IBM WebSphere Application Server
http://www-1.ibm.com/support/docview.wss?uid=swg21243541

jueves, 15 de marzo de 2007

Última actualización del kernel de Linux corrige dos problemas de seguridad

La nueva versión del kernel de Linux, la 2.6.20.3, corrige dos problemas de seguridad que pueden ser potencialmente aprovechadas por atacantes para eludir ciertas restricciones de seguridad o provocar una denegación de servicio.

El primer fallo se da en el manejo de un puntero a null en net/netfilter/nfnetlink_log.c que puede ser aprovechado para provocar un kernel panic si se envían paquetes especialmente manipulados a un sistema vulnerable.

Se ha corregido también un error en conntrack a la hora de ensamblar paquetes IPv6 fragmentados. Se podría hacer que los paquetes fragmentados apareciesen como pertenecientes a una conexión ESTABLISHED (en la que ya se "confía") y por tanto, ser aprovechado para eludir ciertos conjuntos de reglas de cortafuegos.

Hace apenas unos días, el 12 de marzo, aparecía la versión 2.6.20.2 del kernel para solventar un fallo también relacionado con el tráfico IPv6, en la función Ipv6_getsockopt_sticky, que permitía la revelación de información y denegación de servicio.

Los problemas han sido solucionados en la versión 2.6.20.3 disponible desde www.kernel.org. Si no se utiliza, se recomienda deshabilitar la funcionalidad IPv6 del sistema.


Sergio de los Santos
ssantos@hispasec.com


Más información:

Kernel Changelog
http://kernel.org/pub/linux/kernel/v2.6/ChangeLog-2.6.20.2

miércoles, 14 de marzo de 2007

Apple publica un parche de seguridad que soluciona 45 vulnerabilidades

Apple ha publicado un superparche de seguridad que corrige hasta 45 errores distintos en su sistema operativo Mac OS X. Muchos de ellos, dados a conocer durante el "mes de los fallos en Apple" que tuvo lugar el pasado mes de enero.

El superparche ha aparecido el martes día 13 de marzo y soluciona fallos del propio sistema operativo y software de terceros integrado, tal como OpenSSH (dos errores), MySQL (siete errores) y Flash Player. Algunos de los componentes actualizados son ColorSync, CoreGraphics, Crash Reporter, CUPS, Disk Images, DS Plug-Ins, HFS, ImageIO, QuickDraw Manager, servermgrd, sudo, WebLog... La actualización solventa además el grave fallo encontrado en enero en la propia funcionalidad de actualización Software Update.

16 de las vulnerabilidades corregidas han sido descubiertas a través de las iniciativas "month of Apple bugs" y "month of kernel bugs" celebradas en enero de 2007 y noviembre de 2006 respectivamente. Hasta ahora, sólo habían sido corregidos apenas media docena de los fallos descubiertos durante ese mes de enero, los más graves que afectaban por ejemplo a Quicktime.

El "mes de los fallos en el núcleo" se ensañó especialmente con Apple, aunque no estuviese en principio dedicado a este producto. Ocho de las actualizaciones que acaban de ser publicadas se centran en corregir errores de montaje de imágenes, dados a conocer todos ellos durante ese mes.

La gravedad de los fallos solventados varía, desde problemas de ejecución de código hasta denegaciones de servicio locales. En cualquier caso, no se tiene constancia de que las vulnerabilidades estén siendo usadas para realizar ataques a gran escala o aprovechadas por malware.

Las actualizaciones pueden ser instaladas a través de la funcionalidad de actualización (Software Update) de Mac OS X o descargándolas directamente desde http://www.apple.com/support/downloads/


Sergio de los Santos
ssantos@hispasec.com


Más información:

Apple megapatch plugs 45 security holes
http://news.com.com/2100-1002_3-6166971.html

Apple Releases a Bushel of Software Patches
http://blog.washingtonpost.com/securityfix/2007/03/apple_patches_nearly_four_doze.html

AppleCare
http://docs.info.apple.com/article.html?artnum=305214

martes, 13 de marzo de 2007

Desbordamiento de memoria intermedia en MPlayer

Se han anunciado diversas vulnerbailidades en MPlayer, que pueden ser empleadas por atacantes para comprometer los sistemas afectados.

MPlayer es un reproductor multimedia con capacidad para reproducir un gran número de formatos. Está liberado bajo la licencia GPL, tiene soporte para la mayoría de las plataformas, incluyendo Linux, derivados de Unix, Mac OS X y Windows.

Las vulnerabilidades residen en desbordamientos de búfer en la función "DMO_VideoDecoder_Open()"en loader/dmo/DMO_VideoDecoder.c y en la función "DS_VideoDecoder_Open()" de loader/dshow/DS_VideoDecoder.c. Estos desbordamientos podrían permitir a un atacante la ejecución de código arbitrario a través de un archivo específicamente manipulado.

Las vulnerabilidades afectan a la versión 1.0rc1 e inferiores. La corrección está disponible a través del repositorio SVN.


Laboratorio Hispasec
laboratorio@hispasec.com


Más información:

[Full-disclosure] MPlayer DMO buffer overflow
http://lists.grok.org.uk/pipermail/full-disclosure/2007-March/052738.html

MPlayer
http://www.mplayerhq.hu/

lunes, 12 de marzo de 2007

Microsoft no publicará parches de seguridad el próximo martes

En su ciclo habitual de actualizaciones los segundos martes de cada mes, Microsoft ha anunciado que en esta ocasión no se esperan boletines de seguridad, circunstancia que no se daba desde septiembre de 2005. Sí que se publicarán otras actualizaciones de alta prioridad no relacionadas con la seguridad.

Si en febrero fueron doce los boletines de seguridad, este mes Microsoft no prevé publicar actualizaciones el día 13 de marzo. Si bien esto no significa que no existan problemas de seguridad todavía sin solucionar o que no se hayan descubierto nuevos errores en este periodo de tiempo.

De hecho, existen varios problemas en Visual Studio y Microsoft Help Workshop conocidos desde finales de enero que no han sido solucionados. Hace poco se ha dado a conocer un nuevo error en Ole32.dll que quizás permita la ejecución de código disparada a través de un fichero Word. El día 15 de febrero, se hizo pública la existencia de un error crítico en Word que permitía la ejecución de código y que estaba siendo aprovechado de forma activa. También hay constancia de un fallo en Publisher por corregir. Existen además otros problemas de elevación de privilegios locales y revelación de información sensible sin solución.

Por tanto, no hay razón aparente para dejar pasar este mes sin actualizaciones, excepto la teoría lanzada desde algunas páginas especializadas. El congreso de Estados Unidos decidió en 2005 que el periodo de ahorro de luz del día se prolongase cuatro semanas a partir de 2007. Por primera vez en 20 años, el famoso cambio horario que se realiza dos veces al año, se adelantaría al segundo domingo de marzo (en vez del primer domingo de abril). Igualmente se retrasaría a noviembre el cambio otoñal. Con esto, Estados Unidos (no todos sus estados) y Canadá (en Europa no se adoptará esta medida) pretenden ahorrar energía prolongando las horas de luz.

Este cambio, implantado en todos los sistemas que modifican su horario de forma automática (desde routers hasta teléfonos móviles) ha provocado un efecto parecido al vivido en el año 2000. Todo el software ha debido ser actualizado y millones de administradores y usuarios han tenido que aplicar los parches correspondientes. Desde el domingo 11 de marzo, a las dos de la mañana, tendrán que comprobar si las actualizaciones han funcionado correctamente. Microsoft, quizás, no ha querido cargar además a los administradores con la responsabilidad (y la dura tarea) de parchear la seguridad de servidores críticos si además deben controlar que la aplicación del parche horario ha funcionado adecuadamente. Ante cualquier eventualidad por lo "traumático" del cambio (ya tuvieron problemas los australianos en 2006 con un cambio parecido), probablemente hayan decidido curarse en salud y facilitar a los administradores el trabajar por partes.

En cualquier caso, si gracias a la decisión de Microsoft el martes no habrá trabajo extra de seguridad para muchos administradores, sí que de todas formas, desde este domingo deben comprobar exhaustivamente que todo ha ido bien y que el cambio horario ha tenido lugar sin mayores contratiempos en todos sus sistemas (con especial atención a las alertas programadas y al trabajo con diferentes husos horarios, por ejemplo).

Se espera además, en consecuencia, un segundo martes de abril bien cargado de boletines de seguridad de Microsoft.


Sergio de los Santos
ssantos@hispasec.com


Más información:

Microsoft Security Bulletin Advance Notification
http://www.microsoft.com/technet/security/bulletin/advance.mspx

Patch Reprieve for March's Black Tuesday
http://blog.washingtonpost.com/securityfix/2007/03/patch_reprieve_for_marchs_blac.html

domingo, 11 de marzo de 2007

Nueva Versión del Cuaderno de Prácticas de Seguridad Informática y Criptografía

Desde el 1 de marzo de 2007 puede descargarse del servidor de CriptoRed la versión 4.0.0 del Cuaderno de Prácticas de Seguridad Informática en html. Desarrollado como tesis de grado de D. Juan Pedro Polvorinos Barrio y bajo la dirección del profesor Jorge Ramió del Departamento de Lenguajes, Proyectos y Sistemas Informáticos de la Universidad Politécnica de Madrid en España, este software sustituye la versión 3.1 de marzo de 2004 que tras tres años ha superado las 15.000 descargas desde Internet.

Al experimentar un cambio total en su formato y funcionalidades, esta edición lleva por nombre Asistente para las Prácticas de Seguridad Informática versión 4.0.0 y en ella se incluyen al momento de su lanzamiento 33 enunciados de prácticas sobre criptografía, que hacen uso de 11 programas desarrollados en la asignatura de Seguridad Informática que el profesor imparte en la Escuela Universitaria de Informática de la UPM.

FUNDAMENTOS TEÓRICOS
Teoría de la Información
* Práctica 1: Entropía de la Información
* Práctica 2: Características del Lenguaje
Matemática Discreta
* Práctica 1: Operaciones Básicas con Matemática Discreta
* Práctica 2: Generadores de un Cuerpo y Problemas NP

CIFRADORES CLÁSICOS
Cifra Monoalfabética por Sustitución Monográmica
* Práctica 1: Cifrado por Desplazamiento Puro
* Práctica 2: Cifrado por Decimación Pura
* Práctica 3: Cifrado por Decimación y Desplazamiento
Cifra Polialfabética por Sustitución Monográmica
* Práctica 1: Cifrado de Vigenère
* Práctica 2: Cifrado de Beaufort
* Práctica 3: Cifrado de Clave Continua
* Práctica 4: Cifrado de Vernam
Cifra por Transposición
* Práctica 1: Cifrado por Filas
* Práctica 2: Cifrado por Columnas
Cifra Monoalfabética por Sustitución Poligrámica
* Práctica 1: Cifrado Playfair
* Práctica 2: Cifrado de Hill Digrámico
* Práctica 3: Cifrado de Hill N-Grámico

CIFRADORES SIMÉTRICOS
Cifrador Data Encryption Standard
* Práctica 1: DES en modo ECB
* Práctica 2: Debilidades y Ataques a DES
Cifrador International Data Encryption Algorithm
* Práctica 1: IDEA modo ECB

CIFRADORES ASIMÉTRICOS
Cifradores de Mochila
* Práctica 1: Mochila de Merkle-Hellman
Intercambio de Claves
* Práctica 1: Intercambio de Clave de Diffie y Hellman
Cifradores Basados en la Factorización
* Práctica 1: Generación de Claves RSA
* Práctica 2: Cifrado RSA con genRSA
* Práctica 3: Cifrado RSA con ExpoCrip
* Práctica 4: Firma Digital RSA
Cifradores Basados en Problema del Logaritmo Discreto
* Práctica 1: Cifrado ElGamal
* Práctica 2: Firma ElGamal
* Práctica 3: Firma DSS

FUNCIONES HASH
Funciones hash
* Práctica 1: Función Hash MD5
* Práctica 2: Función Hash SHA-1

APLICACIONES CRIPTOGRÁFICAS
Pretty Good Privacy MS-DOS
* Práctica 1: PGP Versión 2.6.3i
Pretty Good Privacy Windows
* Práctica 1: Creación de Claves y Cifrado Convencional con PGP 8.0
* Práctica 2: Gestión de Claves y Cifrado Híbrido con PGP 8.0

Como novedades, en esta nueva versión se han optimizado los 15 test de evaluación que permiten la evaluación personal del alumno, se ha incluido ayuda en línea en cada práctica, incluido 12 soluciones de prácticas en formato PDF y la creación y gestión de perfiles de usuario para un mejor desarrollo de las prácticas, en este último caso sólo válido para entornos de Internet Explorer debido al uso de ActiveX.

Además, se podrá actualizar el asistente desde la url de la asignatura como se indica en la página de inicio de la aplicación, en particular añadiendo nuevas soluciones a prácticas ya existentes e incorporando enunciados de nuevas prácticas, por ejemplo sobre el Algoritmo AES, Simulación de una Comunicación SSL, Cifradores de Flujo, Protocolos Criptográficos, Simulación de Ataques a RSA, Cifrado con Esteganografía y el uso de GnuPG y otros programas de libre distribución.

Como en su versión anterior, este freeware y sus actualizaciones son de dominio público y está prohibida su comercialización.


Jorge Ramió Aguirre
Coordinador Red Temática Iberoamericana CriptoRed
Director Cátedra UPM Applus+ Seguridad y Desarrollo S.I.



sábado, 10 de marzo de 2007

CIBSI 2007: Llamado a trabajos para el IV Congreso Iberoamericano de Seguridad Informática

El IV Congreso Iberoamericano de Seguridad Informática CIBSI 2007 se celebrará del 26 al 28 noviembre del 2007 en la ciudad de Mar del Plata, Argentina, en esta ocasión organizado por la Universidad Nacional del Centro de la Provincia de Buenos Aires (Argentina) en conjunto con la Universidad Politécnica de Madrid (España).

El Congreso Iberoamericano de Seguridad Informática CIBSI es una iniciativa de la Red Temática Iberoamericana de Criptografía y Seguridad de la Información CriptoRed, una comunidad virtual que aglutina a expertos de 180 universidades y más de 220 empresas de las Tecnologías de la Información, siendo uno de sus objetivos principales promover y desarrollar el área de la Seguridad Informática en Iberoamérica, creando para ello un espacio tecnológico que facilite el intercambio de conocimiento y la formación de redes de colaboración en el ámbito de la investigación.

El primer congreso CIBSI se celebró en febrero del 2002 en Morelia, México; el segundo en Octubre del 2003 en Ciudad de México y la tercera edición tuvo lugar en noviembre de 2005 en Valparaíso, Chile, siendo su periodicidad de dos años.

El Congreso CIBSI 2007 será un marco de alto nivel tecnológico donde expertos y técnicos de más de una docena de países presentarán sus últimos avances de investigación en temas de tanta importancia y actualidad como son la seguridad y protección de redes, fortaleza de algoritmos y protocolos, nuevos avances y desafíos en técnicas acceso e identificación, gestión y auditoría de la seguridad corporativa, planes de contingencia, recuperación y continuidad de negocio, técnicas de hacking y forensia, infraestructuras de clave pública, protección de datos, legislación, negocio y comercio electrónico, por nombrar sólo algunos.

El Call For Papers está enfocado hacia el amplio espectro de la seguridad y protección de la información, en particular: Algoritmos y Protocolos Criptográficos, Arquitecturas y Servicios de Seguridad, Auditoría y Forensia Informática, Control de Acceso e Identidad, Fundamentos de la Seguridad, Implantación y Gestión de la Seguridad, Infraestructuras de Clave Pública, Legislación en Seguridad y Delitos, Negocio y Comercio Electrónico, Normativas y Estándares en Seguridad, Planes de Contingencia y Recuperación, Seguridad en Aplicaciones, Seguridad en Redes y en Sistemas, Técnicas y Sistemas de Autenticación, Vulnerabilidades y Criptoanálisis.

Las de fechas interés son:
Límite para la recepción de trabajos, 31 de Julio de 2007.
Notificación de aceptación de trabajos, 30 de Septiembre de 2007.
Límite para envío de versiones finales, 20 de Octubre de 2007.
Celebración de CIBSI 2007, 26, 27 y 28 de Noviembre de 2007.

En la sección Ponencias del sitio web de CIBSI 2007 encontrará instrucciones y plantillas para los autores. En las actas del evento, que contarán con su correspondiente ISBN, sólo se publicarán los trabajos aceptados que hayan sido presentados por sus autores u otros ponentes en el congreso. Todos los trabajos enviados serán evaluados por un selecto Comité de Programa compuesto por 43 Doctores de 13 países de Iberoamérica con reconocida experiencia internacional.

Antes del envío de trabajos, por favor lea el formato estándar que encontrará en el servidor de CIBSI 2007. Dicho envío y cualquier consulta con respecto a la temática del congreso, debe hacerse a la dirección jramio@eui.upm.es. Para consultas al Comité Organizador Local, por favor ponerse en contacto con jcliporace@arnet.com.ar.

Jorge Ramió Aguirre
Vicepresidente CIBSI 2007


Jorge Ramió Aguirre
Coordinador Red Temática Iberoamericana CriptoRed


Más información:

CIBSI 2007: 26 al 28 de noviembre de 2007, Mar del Plata, Argentina
http://www.cibsi2007.org/

CriptoRed
http://www.criptored.upm.es/

Antecedentes:

CIBSI 2005: 21 al 25 de Noviembre de 2005, Valparaíso, Chile
http://cibsi05.inf.utfsm.cl/

CIBSI 2003: 28 al 31 de Octubre de 2003, México DF, México
http://siberiano.aragon.unam.mx/cibsi/

CIBSI 2002: 18 al 22 de Febrero de 2002, Morelia, México
http://www.ewh.ieee.org/r9/guadalajara/boletin/marzo02/seginf.htm

viernes, 9 de marzo de 2007

Desbordamiento de memoria a través de WebAdmin en Novell NetMail

Se ha identificado una vulnerabilidad en Novell Netmail, que podría ser aprovechada por usuarios maliciosos para comprometer los sistemas afectados.

La vulnerabilidad está provocada por un error en los límites en WEBADMIN.EXE al realizar la autenticación HTTP Básica. Esto puede ser empleado para provocar un desbordamiento de búfer basado stack a través del envío al puerto por defecto 89/TCP de nombres de usuario especialmente construido con un tamaño excesivo (mayor de 213 bytes).

Este problema podría ser aprovechado por atacantes remotos para ejecutar código arbitrario o hacer que la aplicación deje de responder. La vulnerabilidad afecta a la versión 3.5.2 e inferiores.

Se recomienda aplicar la actualización NetMail 3.52E Update, disponible desde:
http://download.novell.com/Download?buildid=sMYRODW09pw


Laboratorio Hispasec
laboratorio@hispasec.com


Más información:

Novell Netmail WebAdmin Buffer Overflow Vulnerability
http://www.zerodayinitiative.com/advisories/ZDI-07-009.html

NetMail 3.52E Update
http://download.novell.com/Download?buildid=sMYRODW09pw

jueves, 8 de marzo de 2007

Un parche de Firefox publicado en diciembre empeora una vulnerabilidad


Mozilla ha publicado, en un anuncio descolgado del resto, que la última versión 2.0.0.2 del navegador Firefox también corrige una vulnerabilidad introducida por un parche anterior. El parche, publicado en diciembre, no sólo no corregía el fallo que pretendía sino que empeoraba la situación permitiendo la ejecución de código arbitrario.

Mozilla publicó el 25 de febrero una nueva versión de Firefox que solucionaba numerosos problemas de seguridad, aunque no todos los conocidos hasta el momento. El día 5 de marzo, hace público un boletín que anuncia que en esa nueva versión aparecida a finales de febrero se ha corregido una grave vulnerabilidad que permitía la ejecución de código. Lo curioso, es que ese fallo había sido introducido en la versión 2.0.0.1 aparecida el 19 de diciembre de 2006, con el parche mfsa2006-72. Este parche solucionaba la inyección JavaScript en el atributo SRC de un elemento IMG cargado en un frame. Al parecer, con la aplicación del parche, no sólo no se solucionaba el problema sino que además se permitía la ejecución de código arbitrario. Por si fuese poco, el tener JavaScript desactivado no evitaba la vulnerabilidad.

Thunderbird no se ve afectado por este problema.

Este incidente recuerda al sufrido por Internet Explorer en agosto de 2006 con su fatídico boletín MS06-042. Lo que en principio se consideró un "efecto colateral" de la aplicación de parche, que emitía un error bajo ciertas circunstancias, se convirtió en una vulnerabilidad crítica que permitía la ejecución de código. Si bien con Internet Explorer se introdujo una vulnerabilidad completamente nueva a través de un parche, con Firefox no ha solucionado por completo el fallo (situación más habitual de lo que se piensa), sino que lo ha empeorado considerablemente.

El hecho de que el boletín aparezca varios días después que el resto, descolgado del grueso de actualizaciones, puede ser interpretado como un intento de pasar de puntillas ante un grave fallo o un simple problema temporal. En cualquier caso, la última versión 2.0.0.2 soluciona el problema, por tanto quien actualizó entonces se supone protegido.

Con Zalewski empeñado en buscar las cosquillas del navegador, importantes retrasos en las actualizaciones (se tardó más de tres meses en corregir el problema de robo de credenciales almacenadas en el administrador de contraseñas) y parches que empeoran la situación, Firefox vuelve a mostrar cierta debilidad en el campo de la seguridad.

Como repetíamos en un boletín anterior, por ahora Firefox no está siendo atacado (por mafias informáticas) como el navegador más usado Internet Explorer. ¿Será capaz de demostrar que puede aguantar "dignamente" una eventual embestida en forma de ataques reales que lo tomen como objetivo?


Sergio de los Santos
ssantos@hispasec.com


Más información:

Privilege escalation by setting img.src to javascript: URI
http://www.mozilla.org/security/announce/2007/mfsa2007-09.html

Mozilla has patched a critical patch bug
http://www.heise-security.co.uk/news/86349

La nueva versión de Mozilla Firefox no corrige todas las
vulnerabilidades conocidas
http://www.hispasec.com/unaaldia/3047/

23/08/2006 El último parche acumulativo para Internet Explorer introduce
una nueva vulnerabilidad
http://www.hispasec.com/unaaldia/2860

miércoles, 7 de marzo de 2007

Actualización de GZIP para HP-UX 11.11 y 11.23

HP ha publicado una actualización para la utilidad GZIP bajo el sistema operativo HP-UX 11.11 y 11.23. La actualización soluciona varios problemas que pueden llevar a un atacante a provocar una denegación de servicio en el sistema e incluso ejecutar código arbitrario.

HP-UX supone la versión de Unix desarrollada por HP (Hewlett-Packard) basada en su mayor parte en System V, incorpora además características BSD. Suele ejecutarse sobre servidores HP-9000.

De forma resumida, los fallos son:

* Un error no especificado en gzip 1.3.5 que permite a un atacante provocar una denegación de servicio a través de un fichero gzip especialmente manipulado.

* Un error en la función make_table de unlzh.c que permite provocar una denegación de servicio o incluso ejecutar código.

* Un error de índices de array en the make_table permite provocar una denegación de servicio.

* Un desbordamiento de memoria intermedia en la función build_tree de unpack.z que permite la ejecución de código arbitrario.

* unlzh.c permite provocar una denegación de servicio.

Los fallos se deben a la versión de GZIP que proporciona HP-UX Software Distributor (SD).

Se recomienda instalar, según versión:
Para HP-UX B.11.11, PHCO_35587 o posterior desde http://itrc.hp.com
Para HP-UX B.11.23, actualizar a HP-UX SD B.11.23.0612 o posterior.


Laboratorio Hispasec
laboratorio@hispasec.com


Más información:

HPSBUX02195 SSRT061237:
http://itrc.hp.com/service/cki/docDisplay.do?docId=c00874667

martes, 6 de marzo de 2007

Revelación de información sensible en Adobe Acrobat

Se ha descubierto un problema de seguridad en Adobe Reader y Adobe Acrobat que puede ser aprovechado por atacantes para revelar información sensible.

El fallo se debe a que es posible lanzar URLs del tipo file:// desde dentro de ficheros PDF. Esto puede ser aprovechado para, por ejemplo, leer ficheros arbitrarios del sistema y enviarlos al atacante, acción que será realizada de forma automática sin la intervención del usuario.

Para que el ataque tenga éxito la víctima debe abrir un fichero PDF en local que haya sido enviado por el atacante. No existe parche oficial. Se recomienda no abrir ficheros PDF no confiables.


Laboratorio Hispasec
laboratorio@hispasec.com


Más información:

PDF Strikes Back
http://www.gnucitizen.org/projects/pdf-strikes-back/

Pruebas de concepto
http://www.gnucitizen.org/projects/pdf-strikes-back/poc.htm

lunes, 5 de marzo de 2007

WordPress: de nuevo un servidor de descarga oficial comprometido

Los servidores oficiales desde donde se descarga el popular WordPress
fueron comprometidos en algún momento y el código fuente del programa
modificado para troyanizarlo. No es la primera vez que se troyaniza un
programa muy popular desde la raíz de su distribución.

Toda descarga producida desde el servidor oficial de WordPress desde el
día 25 de febrero hasta el 2 de marzo de 2007 es susceptible de contener
el código que permite acceso al servidor donde esté instalado. Este
problema, debido a la popularidad del software afectado, ha podido dejar
descubierto a una gran cantidad de servidores que lo mantienen
instalado.

Ivan Fratric estaba estudiando la seguridad de WordPress cuando
descubrió que los parámetros "ix" en wp-includes/feed.php e "iz" en
wp-includes/theme.php permitían la ejecución de comandos shell
arbitrarios. Fratric descubrió que se habían creado funciones
específicas para que esos parámetros no fueran comprobados. Se puso en
contacto con WordPress y rápidamente desactivaron las descargas. Uno de
los dos servidores de descarga había sido comprometido y el atacante
había modificado el código (sólo esos dos ficheros) para tener acceso
al sistema donde se instalase ese programa desde entonces.

Si bien no habría evitado este incidente desde su raíz, algunas simples
medidas sí que podrían haber ayudado a una temprana detección. Por
ejemplo, si el código fuente original estuviese firmado con criptografía
asimétrica, o comprobar la integridad a través de cualquier función
hash. Estas medidas no son perfectas, un atacante podría haber
modificado además en el servidor el código hash para que casara con la
copia troyanizada, es cierto, pero suponen una capa más de seguridad y
añadirían confianza al proceso de descarga. Cualquiera de los
(desgraciadamente pocos) usuarios acostumbrados a comprobar la firma
digital y la integridad de las descargas, hubiesen detectado el problema
casi inmediatamente. Hoy por hoy WordPress proporciona un código hash
MD5 oficial de la distribución (incomprensiblemente sólo de la versión
comprimida con tar.gz, no ofrece el MD5 del formato ZIP) pero no las
firma digitalmente.

Esto ya ha ocurrido en muchas ocasiones anteriores. Programas muy
populares y utilizados han sido troyanizados desde su raíz, desde
los repositorios oficiales, propagando una copia vulnerable en toda
descarga. Por ejemplo, ya en 1994 ocurrió en dos ocasiones, en abril
y octubre, con wuarchive ftpd e ircII respectivamente.

OpenSSH, baluarte de las conexiones seguras, sufrió hace años un
incidente parecido. Las versiones 3.4 y 3.2 fueron troyanizadas desde
ftp.openssh.com y ftp.openbsd.org y estuvieron disponibles para su
descarga del 30 al 31 de julio de 2002.

Poco después, el servidor HTTP de Tcpdump, popular analizador de red,
fue comprometido el 11 de noviembre de 2002, y su descarga no fue
deshabilitada hasta el día 13. El código troyanizado ignoraba el tráfico
del puerto 1963, desde donde un atacante podría controlar la máquina en
la que se ejecutase.

Sendmail protagonizó un escándalo mayor cuando comprometieron
ftp.sendmail.org aproximadamente el 28 de septiembre de 2002. No fue
hasta el 6 de octubre de ese año que se deshabilitó la descarga del
programa envenenado, nada más y nada menos que el servidor de correo
más usado en el mundo. El atacante añadió una shell accesible desde
el puerto 6667.

Los usuarios de WordPress deben descargar la nueva versión de WordPress
disponible si creen poder haber sido afectados por este incidente.


Sergio de los Santos
ssantos@hispasec.com


Más información:

Trojan Horse OpenSSH Distribution
http://www.cert.org/advisories/CA-2002-24.html

Trojan Horse tcpdump and libpcap Distributions
http://www.cert.org/advisories/CA-2002-30.html

Trojan Horse Sendmail Distribution
http://www.cert.org/advisories/CA-2002-28.html

wuarchive ftpd Trojan Horse
http://www.cert.org/advisories/CA-1994-07.html

WordPress source code compromised to enable remote code execution
http://ifsec.blogspot.com/2007/03/wordpress-code-compromised-to-enable.html

domingo, 4 de marzo de 2007

Vulnerabilidad en Cisco Catalyst 6000, 6500 y Cisco 7600 con NAM

Cisco ha anunciado la existencia de una vulnerabilidad en Cisco Catalyst series 6000, 6500 y Cisco series 7600 que tengan Network Analysis Module (NAM) instalado que puede permitir a un atacante conseguir el control total de los sistemas afectados.

Los módulos NAM se integran en los Catalyst series 6000, 6500 y Cisco series 7600 para monitorizar y analizar el tráfico de red mediante el uso de Remote Monitoring (RMON), RMON2, y otros MIBs.

Solo están afectado los dispositivos que tengan NAM instalado y afecta a sistemas tanto con IOS o con Catalyst Operating System (CatOS). La vulnerabilidad que se introdujo en las versiones 7.6(15) y 8.5(1), puede permitir a un atacante lograr el control total del dispositivo.

Cisco, a través de los canales habituales, ha puesto a disposición de sus clientes software para solucionar el problema.

Dada la divesidad de versiones afectadas y actualizaciones se aconseja consultar la tabla de versiones vulnerables y contramedidas en:
http://www.cisco.com/warp/public/707/cisco-sa-20070228-nam.shtml


Laboratorio Hispasec
laboratorio@hispasec.com


Más información:

Cisco Security Advisory: Cisco Catalyst 6000, 6500 Series and Cisco 7600 Series NAM (Network Analysis Module) Vulnerability
http://www.cisco.com/warp/public/707/cisco-sa-20070228-nam.shtml

sábado, 3 de marzo de 2007

Actualización del kernel para SuSE Linux 10.x

SuSE ha publicado una actualización para el kernel de linux que soluciona varios problemas de seguridad, además de otros fallos de estabilidad y diferentes mejoras.

Los fallos de seguridad corregidos son:

* El driver ftdi_sio permite a usuarios locales provocar una denegación de servicio escribiendo más datos en el puerto serie que el hardware puede manejar.

* Un punto muerto en mincore que pude se causado por usuarios locales.

* Varios desbordamientos de memoria intermedia en la función cmtp_recv_interopmsg en el driver Bluetooth et/bluetooth/cmtp/capi.c permite a atacantes remotos provocar una denegación de servicio y potencialmente ejecutar código arbitrairo a través de mensajes CAPI.

* La función isdn_ppp_ccp_reset_alloc_state function en drivers/isdn/isdn_ppp.c no llama correctamente a la función init_timer y puede hacer que el sistema deje de responder.

* Una vulnerabilidad no especificada en la llamada de sistema listxattr cuando existe un inode incorrecto presente, permite a usuarios locales provocar una dnegación de servicio y potencialmente, ganar privilegios.

* Una denegación de servicio remota a través del montaje NFSv2 con ACL.

Se recomienda actualizar a través de las herramientas automáticas YoU (Yast Online Update).


Laboratorio Hispasec
laboratorio@hispasec.com


Más información:

[suse-security-announce] SUSE Security Announcement: Linux Kernel (SUSE-SA:2007:018)
http://lists.suse.com/archive/suse-security-announce/2007-Feb/0005.html

viernes, 2 de marzo de 2007

Desbordamiento de contador de referencias en PHP 4

Se ha descubierto una vulnerabilidad en las versiones 4.x de PHP que puede ser explotada por atacantes para saltarse restricciones de seguridad y con ello comprometer un servidor vulnerable.

El problema se debe a un error de diseño en la estructura '_zval_struct'. El contador de referencias es un valor de 16 bits, lo que puede ser explotado por atacantes para desbordarlo con un script PHP que cree una gran cantidad de referencias a una variable específica. Esto podría ser explotado para ejecutar comandos arbitrarios en el sistema saltándose las restricciones 'disable_functions', 'open_basedir' y 'safe_mode'.

No existe parche oficial que solvente el problema. Si es posible, se recomienda actualizar a PHP 5, que utiliza contadores de referencia de 32 bits.


Laboratorio Hispasec
laboratorio@hispasec.com


Más información:

MOPB-01-2007:PHP 4 Userland ZVAL Reference Counter Overflow Vulnerability
http://www.php-security.org/MOPB/MOPB-01-2007.html

jueves, 1 de marzo de 2007

Nuevos contenidos en CriptoRed (febrero de 2007)

Breve resumen de las novedades producidas durante el mes de febrero
de 2007 en CriptoRed, la Red Temática Iberoamericana de Criptografía
y Seguridad de la Información.

1. DOCUMENTOS NUEVOS PARA SU DESCARGA EN DICIEMBRE

* Tesis de Grado: Spam en el Correo Electrónico
http://www.criptored.upm.es/paginas/investigacion.htm#tesis

2. CONGRESOS Y SEMINARIOS POR ORDEN CRONOLOGICO DE CELEBRACION

* Febrero 28 a Marzo 2: II Jornadas de Comercio y Administración
Electrónica en Universidad de Zaragoza (Zaragoza - España)
http://jcel.unizar.es/

* Marzo 30 al 31 de 2007: Primer Congreso Internacional de Seguridad
de la Información (Cartagena de Indias - Colombia)
http://www.tecnoeventos.com.co/

* Abril 18 al 20 de 2007: 3rd International Conference on Global
E-Security ICGeS '07 (Londres - Inglaterra)
http://www.uel.ac.uk/icges

* Mayo 7 al 11 de 2007: First Symposium on Algebraic Geometry and
its Applications en (Tahiti - Polinesia Francesa)
http://iml.univ-mrs.fr/ati/saga2007/welcome.html

* Mayo 8 al 10 de 2007: International Conference on Security of
Information and Networks SIN 2007 (Gazimagusa TRNC - North Cyprus)
http://www.sinconf.org/

* Mayo 14 al 17 de 2007: Euro American Conference on Telematics and
Information Systems (Faro - Portugal)
http://www.deei.fct.ualg.pt/eatis/

* Mayo 20 al 24 de 2007: EUROCRYPT 2007 (Barcelona - España)
http://www.iacr.org/conferences/eurocrypt2007/

* Mayo 25 al 29 de 2007: International Conference on Information
Theoretic Security ICITS (Madrid - España)
http://www.escet.urjc.es/~matemati/maribel/ICITS/ITS07.htm

* Junio 12 al 13 de 2007: 5th International Workshop on Security in
Information Systems WOSIS 07 (Funchal - Portugal)
http://www.iceis.org/workshops/wosis/wosis2007-cfp.html

* Junio 17 al 22 de 2007: 19th Annual FIRST Conference
(Sevilla - España)
http://www.first.org/conference/2007/

* Junio 18 al 20 de 2007: 8th IBIMA Conference on Information
Management in the Networked Economy (Dublin - Irlanda)
http://www.ibima.org/Dublin2007

* Junio 20 al 22 de 2007: VII Jornadas Nacionales de Seguridad
Informática ACIS 2007 (Bogotá - Colombia)
http://www.acis.org.co/index.php?id=840

* Junio 21 al 22 de 2007: Workshop on the Arithmetic of Finite
Fields WAIFI 2007 (Madrid - España)
http://www.waifi.org/

* Junio 28 al 30 de 2007: Fourth European PKI Workshop: Theory
and Practice EuroPKI 07 (Palma de Mallorca - España)
http://dmi.uib.es/europki07

* Julio 11 al 13 de 2007: Conference on RFID Security 07 en
Universidad de Málaga (Málaga - España)
http://rfidsec07.etsit.uma.es/

* Agosto 31 de 2007: 2007 International Workshop on Computational
Forensics (Manchester - Gran Bretaña)
http://www.nislab.no/events/iwcf_2007

* Septiembre 21 al 23 de 2007: 21st International Conference on
Systems for Automation of Engineering and Research (Varna - Bulgaria)
http://www.criptored.upm.es/descarga/Call_for_Paper-IT-2007.zip

* Octubre 9 al 12 de 2007: 10th Information Security Conference
ISC 2007 (Valparaíso - Chile)
http://www.isc07.cl/

* Noviembre 6 al 9 de 2007: V Collaborative Electronic Commerce
Technology and Research CollECTeR 2007 (Córdoba - Argentina)
http://www.collecter.org.ar/

* Noviembre 26 al 28 de 2007: IV Congreso Iberoamericano de Seguridad
Informática CIBSI 2007 (Mar del Plata - Argentina)
http://www.cibsi2007.org/

CONGRESOS ANUNCIADOS EN LA IACR:
International Association for Cryptologic Research IACR Calendar of
Events in Cryptology:
http://www.iacr.org/events/

3. CURSOS DE POSTGRADO, ESPECIALIDAD Y FORMACIÓN

Puedes encontrar los enlaces en:
http://www.criptored.upm.es/paginas/eventos.htm#Cursos

4. NOTICIAS SELECCIONADAS DEL MES DE DICIEMBRE DE 2006
Ampliar la noticia:
http://www.criptored.upm.es/paginas/historico2007.htm#feb07

* Curso de Seguridad y Gestión Puntos de Acceso en Redes WiFi (España)
http://www.iirspain.com/Evento/eventonew.asp?idConvocatoria=3137&idEvento=3177

* Comienzo en Marzo del Curso de Preparación para CISA 2007 en la UAB
Barcelona (España)
http://www.isacabcn.org/

* Seminario Descubriendo el Reverso de Internet: Mensajes Ocultos
y Secretos Aparentes (España)
http://www.institutodeinteligencia.uc3m.es/

* CFP 2007 International Workshop on Computational Forensics
(Gran Bretaña)
http://www.nislab.no/events/iwcf_2007

* International Conference on Information Theoretic Security ICITS
en Madrid (España)
http://www.escet.urjc.es/~matemati/maribel/ICITS/ITS07.htm

* Primer Congreso Internacional de Seguridad de la Información en
Cartagena de Indias (Colombia)
http://www.tecnoeventos.com.co/

* Primer CFP para VII Jornadas Nacionales de Seguridad Informática
ACIS 2007 (Colombia)
http://www.acis.org.co/index.php?id=840

* CFP para International Conference on Security of Information and
Networks SIN 2007 (Chipre)
http://www.sinconf.org/

* Último CFP Fourth European PKI Workshop: Theory and Practice
EuroPKI 07 (España)
http://dmi.uib.es/europki07

* II Jornadas de Comercio y Administración Electrónica en Universidad
de Zaragoza (España)
http://jcel.unizar.es/

* Primer Llamado para Envío de Trabajos al Congreso CIBSI 2007
(Argentina)
http://www.cibsi2007.org/

5. OTROS DATOS DE INTERES EN LA RED

* Número actual de miembros en la red: 625
(178 universidades; 226 empresas)
http://www.criptored.upm.es/paginas/particulares.htm

* Estadísticas: 41.647 visitas, 90.452 páginas solicitadas y 31,96
GigaBytes servidos en febrero de 2007.
Las estadísticas del mes (AWStats) se muestran en páginas estáticas
actualizadas cada día a las 00:05 horas.
http://www.criptored.upm.es/estadisticas/awstats.www.criptored.upm.es.html


Jorge Ramió Aguirre
Coordinador de CriptoRed


Más información:

febrero de 2007
http://www.criptored.upm.es/paginas/historico2007.htm#feb07