lunes, 31 de mayo de 2010

Actualización del kernel 2.6 para Debian Linux 5.x

Debian ha publicado una actualización del kernel 2.6 que corrige un total de 13 vulnerabilidades de seguridad que podrían causar denegaciones de servicio, elevación de privilegios o pérdidas de información sensible.

Entre otros se han corregido problemas de denegación de servicio en el driver r8169, en los sistemas de archivos GFS2 y NFS, en el subsistema Bluetooth, en el subsistema DVB para adaptadores de TV Digital y en los subsistemas tty, SCTP y keyring.

Otros problemas con diverso impacto se han encontrado en el subsistema USB, en enlaces simbólicos a automount, en kgdb para arquitectura PowerPC y una última vulnerabilidad en aquitectura SPARC.

Se recomienda actualizar a través de las herramientas automáticas
apt-get.


Antonio Ropero
antonior@hispasec.com


Más información:

New Linux 2.6.26 packages fix several issues
http://lists.debian.org/debian-security-announce/2010/msg00096.html

domingo, 30 de mayo de 2010

Actualización de GNU tar y GNU cpio para Solaris

Se ha anunciado una vulnerabilidad en Cpio y Tar de Solaris 9, 10 y OpenSolaris. Un atacante podría utilizar este problema para lograr comprometer los sistemas afectados.

El error reside en un desbordamiento de memoria basado en heap en la función "rmt_read__" de "lib/rtapelib.c" de la funcionalidad rmt del cliente. Un atacante remoto podría ejecutar código arbitrario a través del envío de un flujo de datos mayor al solicitado.

Se han publicado las siguientes actualizaciones:

Para Opensolaris:
Solucionado en los sistemas basados en snv_137 o posterior.

Para Solaris se han publicado actualizaciones disponibles desde:
http://sunsolve.sun.com/patchfinder/?bugId=6930214&state=AVAILABLE&max=20&uiForm=N&osRelease=9


Antonio Ropero
antonior@hispasec.com


Más información:

Heap-based overflow in rmt client of GNU tar and GNU cpio may lead to DoS or arbitrary code execution
http://blogs.sun.com/security/entry/cve_2010_0624_heap_based

sábado, 29 de mayo de 2010

Vulnerabilidades de ejecución de código en Adobe Photoshop CS

Se han anunciado diversas vulnerabilidades en Adobe Photoshop CS4 (versiones 11.01 y anteriores), el popular software de retoque fotográfico, que podrían permitir a un atacante lograr el compromiso de los sistemas afectados.

Los problemas se deben a errores en el tratamiento de archivos ".ASL", ".ABR" o ".GRD" específicamente construidos. Un atacante podría emplear esto para lograr la ejecución de código arbitrario si consigue que el usuario abra un archivo malicioso.

Se recomienda actualizar a Adobe Photoshop CS4 versión 11.0.2.
Para Windows:
http://www.adobe.com/support/downloads/detail.jsp?ftpID=4713
Para Macintosh :
http://www.adobe.com/support/downloads/detail.jsp?ftpID=4712


Antonio Ropero
antonior@hispasec.com


Más información:

Security update available for Adobe Photoshop CS4
http://www.adobe.com/support/security/bulletins/apsb10-13.html

viernes, 28 de mayo de 2010

Diversas vulnerabilidades en Cisco Network Building Mediator

Cisco ha confirmado la existencia de cuatro vulnerabilidades en Cisco Network Building Mediator (NBM), que podrían permitir a un atacante evitar restricciones de seguridad, conseguir acceso no autorizado u obtener información sensible.

Se ven afectados: Cisco Network Building Mediator NBM-2400 y NBM-4800; Richards-Zeta Mediator 2500 y Cisco Mediator Framework versiones anteriores a 1.5.1.build.14-eng, a 2.2.1.dev.1 y a la 3.0.9.release.1.

El primero de los problemas está provocado por la asignación de credenciales por defecto para diversas cuentas de usuario administrativas. Esto podría permitir a un usuario acceder al dispositivo y autenticarse como administrador y tomar el control total.

Un segundo problema reside en un error no especificado que podría permitir a usuarios autenticados leer o modificar la configuración del dispositivo a través de http o https.

Otra vulnerabilidad no detallada podría permitir a usuarios autenticados leer o modificar la configuración del dispositivo, o reiniciarlo, a través de XML RPC.

Por último, las sesiones entre la estación de trabajo de un operador y el dispositivo no están protegidas contra intercepciones no autorizadas. Esto podría permitir a un atacante interceptar una sesión http o XML RPC para acceder a las credenciales del administrador.

Cisco recomienda actualizar a Cisco Mediator Framework versión 3.1.1 o 3.0.9.release.1, 2.2.1.dev.1, o 1.5.1.build.14-eng disponibles desde:
http://www.cisco.com/cisco/psn/web/download/index.html


Antonio Ropero
antonior@hispasec.com


Más información:

Cisco Security Advisory: Multiple Vulnerabilities in Cisco Network Building Mediator
http://www.cisco.com/warp/public/707/cisco-sa-20100526-mediator.shtml

jueves, 27 de mayo de 2010

Actualización para el navegador Google Chrome

Google ha publicado una actualización de su navegador Chrome para Linux, Mac y Windows. Esta nueva versión está destinada a corregir seis vulnerabilidades que podrían permitir a un atacante evitar restricciones de seguridad, falsear URLs o comprometer los sistemas afectados.

El primer problema reside en la canonización de URLs. Otro problema podría permitir falsificar la dirección URL a través de manejadores de eventos no cargados. Un tercer problema estaría relacionado con la navegación segura mientras que otra vulnerabilidad permitiría evitar el bloqueo a través de lista blanca. Los últimos fallos residen en un error de memoria con la funcionalidad arrastrar y soltar y una ejecución incorrecta de JavaScript.

Para evitar estos problemas, Google ha publicado la versión Chrome 5.0.375.55 para sistemas Linux, Mac y Windows. Esta actualización se instalará de forma automática en las últimas versiones del navegador; o de forma manual desde la opción "Acerca de Google Chrome".
También está disponible para descarga desde http://www.google.com/chrome


Antonio Ropero
antonior@hispasec.com


Más información:

Stable Channel Update
http://googlechromereleases.blogspot.com/2010/05/stable-channel-update.html

miércoles, 26 de mayo de 2010

Denegación de servicio en TeamViewer 5.x

Se ha hecho pública una vulnerabilidad en TeamViewer 5.x por la que un atacante podría causar una denegación de servicio. Se trata de un fallo sin solución y con exploit público disponible, lo que lo convierte en un "0 day".

TeamViewer es un software gratuito muy modular que permite tener acceso remoto a un equipo con Windows, Mac o Linux. Se usa principalmente para el mantenimiento remoto de sistemas así como soporte técnico a distancia.

El problema reside en un error en la forma en que son tratadas las conexiones. Un atacante podría aprovecharlo para provocar una denegación de servicio a través de un paquete de datos especialmente manipulado dirigido al puerto 5938 (TCP), donde escucha la aplicación.

Luigi Auriemma, el descubridor, es un activo cazador de bugs que ya encontró un fallo similar en este software en febrero de 2009. En este caso ha publicado el exploit necesario para aprovechar la vulnerabilidad sin que al parecer exista parche disponible.

Se recomienda limitar el acceso al puerto vulnerable del programa a través de otros métodos.


Borja Luaces
bluaces@hispasec.com


Más información:
TeamViewer 5.0.8232 Remote BOF PoC (0day)
http://www.exploit-db.com/exploits/12649

martes, 25 de mayo de 2010

Tabnabbing: phishing a través de las pestañas del navegador

Aza Raskin ha desvelado un nuevo método de modificación de páginas en pestañas del navegador (afecta a casi todos) que puede ser utilizado para realizar ataques de phishing un poco más sofisticados. Está basado en una técnica que permite modificar el aspecto de una página cuando no tiene el "foco" de la pestaña del navegador. El ataque es ingenioso, aunque tiene sus limitaciones.

Cómo funciona

Un usuario navega hacia la página del atacante, que no tiene por qué simular ningún banco o página de login. Simplemente es una página más equipada con un código JavaScript que hará el "truco". La víctima cambia de pestaña (o de programa, lo importante es que pierda el foco) y sigue con sus visitas cotidianas a otras páginas. Mientras, la web del atacante cambia por completo gracias al JavaScript: el favicon, el título, el cuerpo... todo excepto el dominio, lógicamente. La página ahora podría parecerse a (por ejemplo) la web de login de Gmail. La víctima, vuelve a la pestaña más tarde y piensa que ha caducado su sesión. Introduce su contraseña y ésta viaja hacia el atacante.

Se supone que el usuario bajará la guardia puesto que, hasta ahora, se supone que una pestaña no "muta" a nuestras espaldas y por tanto, si aparece como "Gmail", por ejemplo, es que lo hemos visitado previamente. Los usuarios que mantengan habitualmente muchas pestañas abiertas, saben que es fácil olvidar qué se está visitando exactamente en cada momento.

Mejoras al ataque

Según el propio descubridor, se podría investigar en el historial de CSS del navegador para averiguar qué páginas visita el usuario y mostrarse como una de ellas dinámicamente, para hacer más efectivo el ataque. Existen otros métodos para incluso averiguar en qué sitios está realmente autenticado el usuario, con lo que la técnica resultaría más efectiva.

Si el atacante consigue incrustar JavaScript en la web real que se quiere falsificar (por ejemplo a través de publicidad contratada a terceros) entonces la página cambiaría sobre el dominio real... y entonces sí supondría un ataque "casi perfecto".

En directo

El descubridor, en su entrada http://www.azarask.in/blog/post/a-new-type-of-phishing-attack/
ha colgado una prueba de concepto. Si se visita esa web, se pasa a otra pestaña durante 5 segundos (tiempo arbitrario impuesto por el descubridor), y se vuelve, mostrará una imagen de Gmail que toma de http://img.skitch.com/20100524-b639xgwegpdej3cepch2387ene.png superpuesta sobre la página. Cambiará el favicon y el título. Obviamente, el ataque en este ejemplo está específicamente diseñado para que sea "visible".

Qué aporta el ataque

Supone un método ingenioso y nuevo de intentar suplantar una página. Funciona en Firefox, Opera y (de forma un poco irregular) en Internet Explorer 8. Parece que Chrome no es vulnerable, aunque es posible que aparezcan métodos para que sí lo sea.

Limitaciones

El ataque sigue confiando en que el usuario no tenga en cuenta la URL, por tanto, cuando la víctima vuelve a la pestaña, estaría ante un caso de phishing "tradicional" sino fuera porque la pestaña cambió "a sus espaldas". Realmente pensamos que no será un ataque puesto en práctica de forma masiva por los atacantes, aunque obviamente puede ser utilizado selectivamente. La razón es que el phishing tradicional, burdo y sin trucos, sigue funcionando y reportando importantes beneficios a quienes lo ponen en práctica sin mayores complicaciones técnicas. Y ambos se basan en que el usuario medio no aprovecha los beneficios de los certificados ni se fija en las URLs donde introduce las contraseñas.

Un ataque "parecido" basado en la superposición de páginas en una web conocida, fue descrito por Hispasec en mayo de 2005. En esa ocasión se escribió "Nueva generación de phishing rompe todos los esquemas" porque en estos casos, la URL del sitio falso (y el certificado) coincidía con la real, esto es: realmente se estaba visitando la web real, y la falsificada se "ponía" encima. Obviamente, este ataque necesitaba de una vulnerabilidad de Cross Site Scripting en la web original. Por desgracia el XSS es el tipo de error más común en estos días, tanto en bancos como en otras páginas importantes que trabajan con credenciales. A pesar de lo efectivo del ataque, no se observaron ataques masivos basados en esa técnica.

Mitigación

Para no sufrir el "tabnabbing", es necesario fijarse en las URLs antes de introducir contraseñas, como siempre. Desactivar JavaScript para las páginas en las que no se confíe, ya sea a través de la Zonas para Internet Explorer o No-Script para Firefox.


Sergio de los Santos
ssantos@hispasec.com


Más información:

A New Type of Phishing Attack
http://www.azarask.in/blog/post/a-new-type-of-phishing-attack/

Nueva generación de phishing rompe todos los esquemas
www.hispasec.com/unaaldia/2406

lunes, 24 de mayo de 2010

Denegación de servicio a través de archivos PDF y ejecutables en ClamAV 0.x

ClamAV ha publicado una actualización que corrige dos vulnerabilidades en su motor antivirus ClamAV 0.x que permiten a un atacante hacer que motor deje de responder si se envían ciertos ficheros especialmente manipulados.

ClamAV es un motor antivirus de código abierto muy popular en el mundo del software libre, empleado con frecuencia en servidores de correo derivados de UNIX a modo de defensa perimetral primaria. En el verano de 2007 el proyecto fue comprado por la compañía Sourcefire, aunque el programa no ha sufrido sustanciales cambios desde entonces.

De forma resumida las vulnerabilidades son las siguientes:

* Un fallo en la función cli_pdf de la librería libclamav/pdf.c podría permitir a un atacante hacer que el programa deje de responder si se envía un fichero PDF especialmente manipulado.

* Un error en la función parseicon de la librería libclamav/pe_icons.c al procesar iconos PE (portables ejecutable). Si un atacante envía un fichero ejecutable con un icono especialmente manipulado, el escáner podría dejar de responder.

Se recomienda actualizar a la última versión 0.96.1. disponible desde
http://www.clamav.net/download/.


Laboratorio Hispasec
laboratorio@hispasec.com


Más información:

Bug 2016 - pdf crash
https://wwws.clamav.net/bugzilla/show_bug.cgi?id=2016

Bug 2031 - icon: invalid read
https://wwws.clamav.net/bugzilla/show_bug.cgi?id=2031

domingo, 23 de mayo de 2010

NewSID, una herramienta de seguridad incuestionable durante 12 años, no servía para nada (y II)

Es casi seguro que todos los usuarios y empresas que han clonado Windows en alguna ocasión han usado NewSID, con la esperanza de eliminar problemas de seguridad potenciales que se supone podían surgir por existir máquinas con el mismo SID en una red. Eso decía todo el mundo y nadie lo cuestionaba. Pero... ¿era necesario? En realidad, "todo el mundo asumió que otra persona sabría exactamente cuál era el problema".

La pista

Windows Vista empezó a fallar en alguna ocasión tras usar NewSID. Russinovich comenzó a depurar el programa y replantearse su funcionamiento. ¿De verdad mantener el mismo SID en diferentes máquinas era un problema? Este hecho no era cuestionado por nadie, mucho menos por el autor del programa. Pero cuanto más lo pensaba, más convencido estaba de que se había usado una herramienta inútil cambiar el SID no ofrece ventajas ni de seguridad ni de ningún tipo) durante más de 12 años.

Mark pensó que la única forma de que efectivamente supusiera un problema, es que el SID realmente fuera referenciado por alguna máquina externa en alguna ocasión. Sólo así cabría la posibilidad de "usarlo ilegítimamente" de alguna forma en una red y que el hecho de compartir el SID fuera peligroso (permitiese a personas acceder a recursos que no le corresponden). Si el SID "viajara" hacia la otra máquina al compartir una unidad, por ejemplo, podría emplearse de forma insegura al comprobar los permisos.

La clave

Pero lo cierto es que Windows solo permite autenticarse en otro ordenador a través de un usuario válido para ese otro sistema (ya sea local o del dominio al que ambos pertenezcan). Una vez que se le ofrece ese usuario para autenticarse, la máquina remota toma el SID de su propia SAM, y si es el dominio, es el controlador el que lo toma de su base de datos. Ese Windows nunca hace referencia al SID de la máquina que quiere conectarse. Por tanto concluyó que el SID realmente no tiene un papel relevante a la hora de acceder a un sistema remoto y autenticarse sino que, lo que realmente cuenta, es un nombre de usuario y una contraseña. Aunque se comparta el SID, no se permitiría el acceso a nada.

De hecho, realmente era obvio. Desde siempre, existen SIDs "universales" como el del grupo "Todos", la cuenta SYSTEM... ¿Ha supuesto alguna vez esto un problema de seguridad en una red?

Sin embargo, se dan un par de excepciones en las que el SID sí que permitiría acceso a recursos ajenos: una de ellas es en el caso de discos duros externos formateados con NTFS. Dos máquinas con mismo SID podrían acceder a los archivos… pero la verdad es que existen otras maneras mucho más sencillas de acceder a un disco duro externo NTFS sin cifrar que la de "compartir" SIDs…

Mark lo habló con los desarrolladores de Microsoft y el equipo de seguridad y, tras discutirlo ampliamente, retiraron NewSID en noviembre de 2009. Mantienen Sysprep porque realiza otras acciones necesarias para los Windows a la hora de clonar sistemas.

¿Y ahora qué?

El propio Mark se sorprende de que el mito de la duplicación de SIDs no haya sido cuestionado hasta ahora. Como él mismo escribe "todo el mundo asumió que otra persona sabría exactamente cuál era el problema". Pero nadie lo sabía. De hecho, no había problema alguno. Mark programó, con la mejor de las intenciones y de una manera técnicamente brillante, una herramienta que solucionaba un problema que no existía. Ni siquiera para Microsoft estaba claro el asunto, y la herramienta no fue cuestionada en ningún momento. Tuvieron que pasar más de 12 años para descubrir que el esfuerzo realmente no hacía ningún bien (aunque afortunadamente, tampoco causaba ningún mal).

Resulta una historia realmente curiosa. Particularmente, hace que reflexionemos sobre una cuestión que nos parece relevante y, desgraciadamente, más común de lo que parece: ¿Qué otros mitos damos por sentado, pensando que "cualquier otro sabrá exactamente cuál es el problema"? ¿Con qué otros hábitos "incuestionables" convivimos?


Sergio de los Santos
ssantos@hispasec.com


Más información:

The Machine SID Duplication Myth
http://blogs.technet.com/markrussinovich/archive/2009/11/03/3291024.aspx

sábado, 22 de mayo de 2010

NewSID, una herramienta de seguridad “incuestionable” durante 12 años, no servía para nada (I)

La noticia no es nueva, realmente se hizo oficial y público en noviembre de 2009. Sin embargo, queremos recordar y ofrecer ahora esta información a nuestros lectores porque pensamos que no ha tenido la repercusión que merece. Es la historia de cómo un una herramienta de seguridad programada por el reputado Mark Russinovich ha sido utilizada durante 12 años... y no servía para nada.

Sysinternals (liderada por Russinovich y comprada por Microsoft en 2006) jubiló para siempre NewSID en noviembre de 2009, después de ser creada y usada intensamente por muchos administradores desde 1997. Simplemente, no servía para nada, declaró el propio creador. ¿Cómo es posible que alguien con tan extensa y demostrada experiencia creara una herramienta "inútil"? Repasemos la secuencia de hechos e intentemos extraer algunas conclusiones:

Detalles técnicos previos

De forma breve, el SID (Security Identifier) es una variable numérica en Windows que define internamente a sistemas y usuarios. El sistema trabaja con SIDs y no con los nombres de usuario que nos muestra, por ejemplo, a la hora de acceder a NTFS y comprobar los permisos.

Se entenderá con ejemplos:

* SID S-1-1-0 es el SID universal del grupo "Todos" en todos los Windows, así este grupo es reconocido por igual en cualquier máquina, por ejemplo. Los SID son siempre los mismos para los grupos por defecto que existen en los Windows (Administradores, Usuarios, "Administradores de dominio", etc.)

* S-1-5-21-1390034357-113127714-1060454298 es un ejemplo de SID de una máquina (y no de un usuario).

* S-1-5-21-1390067357-113007714-1060284298-500, sería el SID del administrador de esa máquina. La parte final, el RID, siempre es 500 para los administradores y 1000 para el invitado; 1001, para el primer usuario y así sucesivamente. Un usuario borrado y vuelto a crear, aunque sea con el mismo nombre, no será realmente el mismo usuario porque su RID será distinto.

Cuando un usuario se autentica en Windows, la Local Security Authority Subsystem (Lsass.exe) crea una sesión de logon y un token. Este token es una estructura numérica que contiene el SID de la cuenta y de los grupos a los que pertenece ese usuario además de todos los privilegios asignados a ese usuario y grupos. Se trata del "salvoconducto" que comprobará Windows cada vez que este usuario quiera realizar algo en el sistema tanto en cuestión de permisos (acceso a archivos en NTFS) como de privilegios.

Al presentarse en sesiones remotas (por ejemplo al acceder a unidades compartidas), es necesario autenticarse en el Windows remoto con una cuenta conocida para él (ya sea local o de dominio). En ese momento, el sistema hace uso de ese token para comprobar si realmente un usuario "en remoto" puede acceder.

Cuándo y por qué se usaba NewSID

En entornos corporativos es común instalar un Windows y clonarlo a otras máquinas. En 1997, Microsoft ya disponía de Sysprep, que es una herramienta que cambia el SID y además "generaliza" un sistema (lo prepara para que sea clonado "sin problemas"). Pero está muy limitado y (entre otros cambios) solo modifica el SID en Windows "vírgenes", si existen aplicaciones de terceros, no permite hacerlo. NewSID fue programado entonces para modificar consistentemente el SID de una máquina, aunque tuviese otras aplicaciones instaladas. Así, supuestamente, se garantizaba su estabilidad y además se evitaban problemas de seguridad por convivir con otras con el mismo SID.

Es casi seguro que todas las empresas que han clonado Windows en alguna ocasión, han usado NewSID con la esperanza de eliminar problemas de seguridad potenciales que se supone podían surgir por existir máquinas con el mismo SID en una red. Eso decía todo el mundo, y nadie lo cuestionaba. Pero... ¿era necesario?

Continuará...


Sergio de los Santos
ssantos@hispasec.com


Más información:

The Machine SID Duplication Myth
http://blogs.technet.com/markrussinovich/archive/2009/11/03/3291024.aspx

viernes, 21 de mayo de 2010

Acceso a información sensible en IBM WebSphere Application Server

Se ha anunciado una vulnerabilidad en IBM WebSphere Application Server (versiones 6.x y 7.0), que podría permitir a un atacante la obtención de información sensible.

IBM WebSphere Application Server (WAS) es el servidor de aplicaciones de software de la familia WebSphere de IBM. WAS puede funcionar con diferentes servidores web y sistemas operativos incluyendo Apache HTTP Server, Netscape Enterprise Server, Microsoft Internet Information Services (IIS), IBM HTTP Server en sistemas operativos AIX, Linux, Microsoft, Windows y Solaris.

El problema reside en el Web Container cuando maneja nombres de más de 20 caracteres. Un atacante podría aprovechar esto para provocar que el servidor devuelva un archivo erróneo y conseguir acceder a archivos arbitrarios.

Para IBM WebSphere Application Server 7.0.x se recomienda instalar el Fix Pack 7.0.0.11 o APAR PM06111
Para IBM WebSphere Application Server 6.1.x se recomienda instalar el Fix Pack 6.1.0.31 o APAR PM06111
Para IBM WebSphere Application Server 6.0.x se recomienda instalar el Fix Pack 6.0.2.43 o APAR PM06111


Antonio Ropero
antonior@hispasec.com


Más información:

Recommended fixes for WebSphere Application Server
http://www-01.ibm.com/support/docview.wss?rs=180&uid=swg27004980

WebSphere Application Server Web Container information disclosure
was-webcontainer-info-disclosure (58557)
http://xforce.iss.net/xforce/xfdb/58557

jueves, 20 de mayo de 2010

Diversas vulnerabilidades en 3Com Intelligent Management Center (IMC)

Se han anunciado cuatro vulnerabilidades en 3Com Intelligent Management Center (IMC) versiones anteriores a la 3.3 SP2 (R2606P13), que podrían permitir a unatacante conseguir información sensible o evitar restricciones de seguridad.

El primero de los problemas se debe a errores de validación de entrada en el script "imc/report/DownloadReportSource" al procesar los parámetros "fileDir" y "fileName". Un atacante podría emplear esto para descargar cualquier archivo mediante ataques de escalada de directorios.

La segunda vulnerabilidad se debe a errores al procesar los parámetros "javax.faces.ViewState" y "callCount", o URLs introducidas por el usuario. Un atacante podría aprovechar este problema para construir ataques de cross-site scripting.

Un tercer fallo reside en la validación de accesos en los archivos "/imc/reportscript/sqlserver/deploypara.properties", "/rpt/reportscript/sqlserver/deploypara.properties" y "/imc/reportscript/oracle/deploypara.properties". Un atacante podría llegar a descubrir la contraseña de la cuenta "sa" de SQL a través de esta vulnerabilidad.

Por último, errores en la consola Axis2, podrían permitir a un atacante conseguir acceso administrativo no autorizado a la consola o conseguir información sensible.

Se recomienda actualizar a 3Com Intelligent Management Center (IMC) version 3.3 SP2 (R2606P13).


Antonio Ropero
antonior@hispasec.com


Más información:

Intelligent Management Center v3.3 SP2 (R2606P13)
http://support.3com.com/documents/netmgr/imc/3Com_IMC_readme_plat_3.30-SP2.html

PR10-01 Unauthenticated File Retrieval (traversal) within 3Com* iMC (Intelligent Management Center)
http://www.procheckup.com/vulnerability_manager/vulnerabilities/pr10-01

PR10-02 Various XSS and information disclosure flaws within 3Com* iMC (Intelligent Management Center)
http://www.procheckup.com/vulnerability_manager/vulnerabilities/pr10-02

miércoles, 19 de mayo de 2010

Actualizaciones de seguridad de Java para Apple Mac OS X

Apple ha lanzado nuevas actualizaciones de seguridad de Java para su sistema operativo Mac OS X versiones 10.5 y 10.6 que solventan un gran número de vulnerabilidades que podrían ser aprovechadas con diversos efectos.

Esta es la séptima actualización de Java para Mac OS X 10.5 (Java para Mac OS X 10.5 Update 7) y la segunda para MAC OS X 10.6 (Java para Mac OS X 10.6 Update 2). Se han corregido un gran número de problemas en Java, que podrían llegar a permitir a un atacante evitar restricciones de seguridad, obtener información sensible, provocar denegaciones de servicio o comprometer los sistemas afectados.

Las actualizaciones pueden ser instaladas a través de la funcionalidad de actualización (Software Update) de Mac OS X o, según versión y plataforma, descargándolas directamente desde:
http://support.apple.com/downloads/


Antonio Ropero
antonior@hispasec.com


Más información:

About the security content of Java for Mac OS X 10.6 Update 2
http://support.apple.com/kb/HT4171

About the security content of Java for Mac OS X 10.5 Update 7
http://support.apple.com/kb/HT4170

martes, 18 de mayo de 2010

Vulnerabilidad a través de Aero en Windows 7 y 2008 R2 (versiones de 64 bits)

Microsoft ha advertido sobre una vulnerabilidad que en realidad se hizo pública hace meses, y que afecta a Windows 7 y 2008 R2 en sus versiones de 64 bits. El fallo se puede aprovechar solo si el componente Aero está activo. La vulnerabilidad se ha descubierto a través del popular visor gratuito de imágenes Irfanview.

El fallo se encuentra en el renderizado de imágenes con la API GDI, en concreto en el componente Canonical Display Driver (cdd.dll). CDD emula una interfaz de Windows XP para que las aplicaciones accedan al motor de gráficos GDI. El fallo podría ser aprovechado por un atacante para causar una denegación de servicio y potencialmente ejecutar código arbitrario a través de una imagen especialmente manipulada que sea visitada con el navegador o vista con el visor por defecto. Aunque los vectores de ataque siguen siendo discutidos.

La ejecución de código es, en principio, teórica. Se trata de un problema de acceso desde la memoria del usuario a la memoria del kernel, lo que garantiza la posibilidad para un atacante de, al menos, provocar una denegación de servicio a través de un BSOD (Blue Screen Of Death o "pantallazo azul"). A partir de ahí, conseguir controlar el flujo de los registros de sistema para ejecutar código en el espacio del kernel (el más privilegiado) puede resultar complejo, en gran medida, por los nuevos sistemas de seguridad ASLR (Address Space Layout Randomisation) que incluyen los Windows desde su versión Vista. Existen fórmulas para eludir esta medida de seguridad (demostradas en el último concurso Pwn2Own), pero su explotación se hace mucho más compleja.

Además, el fallo solo funciona en las versiones de 64 bits (e Itanium) y, como hemos mencionado, Aero debe estar activo. Ni siquiera viene instalado por defecto en 2008. En Windows 7, por el contrario, aparece instalado y activo.

Por último, según el CVE (CVE-2009-3678) que le ha otorgado Microsoft a la vulnerabilidad, se deduce que fue encontrada en 2009. El popular visor gratuito Irfanview es el que aportó la pista. Sin estar todavía oficialmente programado para funcionar en Windows, se observó que al visualizar muchas miniaturas, el programa provocaba un BSOD en Windows 7 de 64 bits. Se pensó que el fallo era exclusivamente de la aplicación y no del sistema operativo hasta que, varios meses después, parece que Microsoft reconoce el problema como propio.


Sergio de los Santos
ssantos@hispasec.com


Más información:

V4.25: bluescreen with Windows 7, cdd.dll / win32k.sys
http://en.irfanview-forum.de/vb/showthread.php?5647-V4-25-bluescreen-with-Windows-7-cdd-dll-win32k-sys

Vulnerability in Canonical Display Driver Could Allow Remote Code Execution
http://www.microsoft.com/technet/security/advisory/2028859.mspx

lunes, 17 de mayo de 2010

Se celebra en Valencia el próximo Asegúr@IT 8

El próximo viernes 9 de julio se celebra en Valencia el evento Asegúr@IT en su octava edición. Cuenta con la partición de ponentes de empresas como Microsoft, Wintercore, Informatica64, Taddong e Hispasec además de representantes del blog Security By Default.

Los ponentes serán Rubén Santamarta, Chema Alonso, Sergio de los Santos, Alejandro Ramosm David Pérez y José Picó y tendrá lugar en las instalaciones de la Bolsa de Valencia. Este evento es gratuito y está limitado a 100 plazas

09:00 - 09:15 Registro
09:15 - 09:45 La Foquetta: FOCA Reporting Tool (Chema Alonso)
09:45 - 10:30 Malware Families (Sergio de los Santos)
10:30 - 11:15 Frenando el malware con escaneos multimotor
11:15 - 11:45 Café
11:45 - 12:30 CSI: Siempre quisiste ser forense (Alejandor Ramos)
12:30 - 13:15 Nuevas amenazas en dispositivos móviles (David Pérez y José Picó)
13:15 - 14:00 Bindiffing Patches (Rubén Santamarta)
14:00 - 14:15 Ruegos y preguntas

Es necesario registrarse desde:
https://msevents.microsoft.com/CUI/EventDetail.aspx?EventID=1032453167&Culture=es-ES

Opina sobre esta noticia:
http://www.hispasec.com/unaaldia/4223/comentar




domingo, 16 de mayo de 2010

Vulnerabilidades de ejecución de código en PostgreSQL

Se han anunciado diversos problemas en PostgreSQL (versiones 8.x y 7.4), que podrían permitir a un atacante evitar restricciones de seguridad o ejecutar código arbitrario.

PostgreSQL es una base de datos relacional "Open Source", bastante popular en el mundo UNIX, junto a MySQL.

El primer problema se debe a errores en "Safe.pm" y "PL/Perl"; un atacante autenticado podría emplearlos para ejecutar código Perl en el servidor de base de datos si PL/Perl está instalado y activo.

La segunda vulnerabilidad reside en la asignación incorrecta de permisos en la tabla "pltcl_modules", un usuario autenticado podría emplear este fallo para ejecutar código Tcl en el servidor si PL/Tcl está instalado y activo.

Se recomienda actualizar PostgreSQL a la versión 8.4.4, 8.3.11, 8.2.17, 8.1.21, 8.0.25 o 7.4.29 desde:
http://www.postgresql.org/download


Antonio Ropero
antonior@hispasec.com


Más información:

2010-05-17 PostgreSQL Security Update
http://www.postgresql.org/about/news.1203

Security Information
http://www.postgresql.org/support/security

sábado, 15 de mayo de 2010

Anunciadas dos vulnerabilidades en Ghostscript

Se han identificado dos vulnerabilidades en Ghostscript 8.70 y anteriores, que podrían permitir a atacantes lograr el compromiso de los sistemas afectados.

Ghostscript es un conocido (y extendido) programa para interpretar documentos en formato Postscrip (PS) y PDF.

Los problemas están causados por errores de desbordamiento de búfer y de corrupción de memoria al procesar documentos PostScript que incluyan identificadores muy largos o llamadas a procedimientos recursivos. Un atacante podría aprovechar estos problemas para provocar la ejecución de código arbitrario.

Se recomienda tener precaución al abrir o interpretar archivos de los tipos afectados con Ghostscript.


Antonio Ropero
antonior@hispasec.com


Más información:

Buscar Multiple memory corruption vulnerabilities in Ghostscript
http://seclists.org/fulldisclosure/2010/May/134

viernes, 14 de mayo de 2010

Vulnerabilidades de denegación de servicio en Cisco PGW 2200 Softswitch

Cisco ha confirmado la existencia de diversas vulnerabilidades de denegación de servicio en la serie de productos Cisco PGW 2200 Softswitch.

Cisco PGW 2200 es un agente de llamadas empleado por proveedores de servicio para el rutado de llamadas de voz y datos; realiza funciones como análisis de dígitos, rutado o selección de circuitos.

Las nueve vulnerabilidades anunciadas residen en errores en el tratamiento de paquetes SIP (Session Initiation Protocol), MGCP (Media Gateway Control Protocol) o TCP específicamente construidos. Un atacante podría emplear estos problemas para impedir el establecimiento de nuevas sesiones HTTP, SSH o Telnet, lo que llevaría a la condición de denegación de servicio.

Cisco recomienda actualizar a Cisco PGW 2200 Softswitch versión 9.7(3)S11 o 9.8(1)S5, desde :
http://www.cisco.com/public/sw-center/sw-usingswc.shtml


Antonio Ropero
antonior@hispasec.com


Más información:

Cisco Security Advisory: Multiple Vulnerabilities in Cisco PGW Softswitch
http://www.cisco.com/warp/public/707/cisco-sa-20100512-pgw.shtml

jueves, 13 de mayo de 2010

Nuevos contenidos en la Red Temática CriptoRed (marzo de 2010)

Breve resumen de las novedades producidas durante el mes de abril de 2010 en CriptoRed, la Red Temática Iberoamericana de Criptografía y Seguridad de la Información.

1. NUEVOS DOCUMENTOS PARA DESCARGA LIBRE DESDE CRIPTORED EN EL MES DE ABRIL DE 2010
* Practical Considerations When Migrating an Enterprise Public Key Infrastructure (Paul Mantilla, PDF, 14 páginas, Ecuador)
http://www.criptored.upm.es/guiateoria/gt_m591b.htm

2. DOCUMENTOS RECOMENDADOS PARA DESCARGA LIBRE DESDE OTROS SERVIDORES EN ABRIL DE 2010
* Informe de la Red de Sensores de INTECO del Mes de Marzo de 2010 (España)
https://ersi.inteco.es/informes/informe_mensual_201003.pdf
* Signos y señales de la Inseguridad de la información: Pérdida y/o fuga de la información en el Blog IT-Insecurity (Jeimy Cano, Colombia)
http://insecurityit.blogspot.com/2010/04/signos-y-senales-de-la-inseguridad-de.html
* Practical steps to ensure GCSX Code of Connection compliance and beyond (White paper Infosecurity Elsevier)
http://www.infosecurity-magazine.com/download/264
* Data Handling Procedures in UK Government (White paper Infosecurity Elsevier)
http://www.infosecurity-magazine.com/download/168
* Demystifying IT Risk to Achieve Greater Security and Compliance (White paper Infosecurity Elsevier)
http://www.infosecurity-magazine.com/download/169

3. SOFTWARE RECOMENDADO PARA DESCARGA LIBRE DESDE OTROS SERVIDORES EN ABRIL DE 2010
* ConAn, Configuración y Análisis, para informes del nivel de seguridad del PC (INTECO-CERT, España)
https://conan.cert.inteco.es/
* SAFE Free para evaluar el nivel de seguridad de entornos SAP (CYBSEC, Argentina)
http://www.cybsec.com/ES/investigacion/safe.php

4. RELACION DE CONGRESOS POR ORDEN CRONOLOGICO DE CELEBRACION
* Junio 15 al 16 de 2010: European Workshop on Smart Objects: Systems, Technologies and Applications RFID-SysTech 2010 (Ciudad Real - España)
* Junio 16 al 18 de 2010: X Jornada Nacional de Seguridad Informática ACIS 2010 (Bogotá - Colombia)
* Junio 16 al 19 de 2010: V Conferencia Ibérica de Sistemas y Tecnologías de Información CISTI 2010 (Santiago de Compostela - España)
* Junio 20 al 23 de 2010: Mexican Meeting on Informatics Security M2IS 2010 (Guadalajara - México)
* Julio 22 al 24 de 2010: International Conference on the Business and Digital Enterprises ICBDE 2010 (Bangalore - India)
* Julio 26 al 28 de 2010: International Conference on Security and Cryptography SECRYPT (Atenas - Grecia)
* Agosto 8 al 11 de 2010: First International Conference on Cryptology and Information Security LatinCrypt 2010 (Puebla - México)
* Agosto 30 a septiembre 3 de 2010: 7th International Conference on Trust, Privacy an Security in Digital Business TrustBus '10 (Bilbao - España)
* Agosto 30 a septiembre 3 de 2010: Workshop de Seguridad Informática 2010 en 39 edición de JAIIO (Buenos Aires - Argentina)
* Septiembre 8 al 10 de 2010: XI Reunión Española sobre Criptología y Seguridad de la Información RECSI 2010 (Tarragona - España)
* Septiembre 22 al 24 de 2010: Privacy in Statistical Databases PSD 2010 de la UNESCO Chair in Data Privacy (Corfú - Grecia)
* Septiembre 22 al 24 de 2010: 5ta Conferencia de la Asociación EATIS 2010 en la UTP (Ciudad de Panamá - Panamá)
* Septiembre 23 de 2010: Fifth International Workshop on Data Privacy Management DPM 2010 (Atenas - Grecia)
* Noviembre 29 a Diciembre 3 de 2010: VI Congreso Internacional de Telemática y Telecomunicaciones (La Habana - Cuba)
Más información en:
http://www.criptored.upm.es/paginas/eventos.htm#Congresos

5. FUE NOTICIA EN LA RED TEMÁTICA DURANTE EL MES DE ABRIL DE 2010
* Panel Desestabilización, Agresión y Defensa Cibernética en II Jornadas de Estudios de Seguridad, 18 al 20 de mayo (Madrid, España)
* II Encuesta Latinoamericana de Seguridad de la Información liderada por ACIS Colombia (varios países)
* El Data Privacy Institute publica bases certificación Certified Data Privacy Professional CDPP (España)
* CFP VI Congreso Internacional de Telemática y Telecomunicaciones CITTEL 2010 (La Habana, Cuba)
* Curso Web App Penetration Testing and Ethical Hacking de SANS, del 20 al 25 de septiembre de 2010 (Madrid, España)
* INTECO-CERT hace pública la herramienta gratuita de Configuración y Análisis ConAn (España)
* XIV Edición de los Premios Protección de Datos Personales de la AEPD (España)
* Nueva Sección de Bibliografía Actualizada en el Servidor de la Red Temática.
* VII Jornada Internacional Inseguridad de la Información de ISMS Forum Spain, 25 de mayo de 2010 (Madrid, España)
* CFP Fifth International Workshop on Data Privacy Management DPM 2010 (Atenas, Grecia)
Para acceder al contenido de estas noticias:
http://www.criptored.upm.es/paginas/historico2010.htm#abr10

6. OTROS DATOS DE INTERES EN LA RED TEMATICA
* Número actual de miembros en la red: 821 (217 universidades y 305 empresas)
http://www.criptored.upm.es/paginas/particulares.htm
* Estadísticas: 37.096 visitas, con 114.318 páginas solicitadas y 42,60 GigaBytes servidos en abril de 2010
http://www.criptored.upm.es/estadisticas/awstats.www.criptored.upm.es.html


Jorge Ramió Aguirre
Coordinador Red Temática Iberoamericana CriptoRed


Más información:

Abril 2010
http://www.criptored.upm.es/paginas/historico2010.htm#abr10

miércoles, 12 de mayo de 2010

Actualizaciones de seguridad de Adobe Shockwave Player y ColdFusion

En su ciclo, ya habitual, de boletines de seguridad Adobe ha publicado dos actualizaciones; una corrige 18 vulnerabilidades en Shockwave Player, y otra para evitar 3 fallos en ColdFusion.

El boletín APSB10-12 resuelve 18 vulnerabilidades, muchas de ellas críticas, en Adobe Shockwave Player 11.5.6.606 y versiones anteriores en sistemas Windows y Macintosh. Las vulnerabilidades podrían permitir a un atacante lograr la ejecución de código arbitrario en los sistemas afectados.

Adobe recomienda actualizar a la versión 11.5.7.609 de Shockwave Player, disponible desde: http://get.adobe.com/shockwave/.

El boletín APSB10-11, resuelve tres problemas de carácter importante, en ColdFusion 8.0, 8.0.1, 9.0 y versiones anteriores para Windows, Macintosh y UNIX. Los problemas podrían permitir la realización de ataques de cross-site scripting y de obtención de información sensible.

Se recomienda a los usuarios de ColdFusion actualicen las instalaciones mediante las instrucciones ofrecidas en: http://kb2.adobe.com/cps/841/cpsid_84102.html


Antonio Ropero
antonior@hispasec.com


Más información:

Security update available for Shockwave Player
http://www.adobe.com/support/security/bulletins/apsb10-12.html

Security update: Hotfixes available for ColdFusion
http://www.adobe.com/support/security/bulletins/apsb10-11.html

ColdFusion : Security Bulletin APSB10-11
http://kb2.adobe.com/cps/841/cpsid_84102.html

martes, 11 de mayo de 2010

Boletines de seguridad de Microsoft en mayo

Tal y como adelantamos, este martes Microsoft ha publicado dos boletines de seguridad (el MS10-030 y el MS10-31) correspondientes a su ciclo habitual de actualizaciones. Según la propia clasificación de Microsoft los boletines presentan un nivel de gravedad "crítico".

El boletín MS10-030 ofrece una actualización para corregir una vulnerabilidad en Outlook Express, Windows Mail y Windows Live Mail, que podría permitir la ejecución remota de código si un usuario accede a un servidor de correo malicioso.

Por otra parte, el boletín MS10-031 presenta una actualización para corregir una vulnerabilidad en Microsoft Visual Basic para Aplicaciones. Este problema podría permitir la ejecución remota de código si una aplicación host abre y pasa un archivo especialmente creado al módulo de tiempo de ejecución de VBA.

Las actualizaciones publicadas pueden descargarse a través de Windows Update o consultando los boletines de Microsoft donde se incluyen las direcciones de descarga directa de cada parche. Dada la gravedad de las vulnerabilidades se recomienda la actualización de los sistemas con la mayor brevedad posible.


Antonio Ropero
antonior@hispasec.com


Más información:

Resumen del boletín de seguridad de Microsoft de mayo de 2010
http://www.microsoft.com/spain/technet/security/bulletin/ms10-may.mspx

Microsoft Security Bulletin MS10-030 - Critical
Vulnerability in Outlook Express and Windows Mail Could Allow Remote Code Execution (978542)
http://www.microsoft.com/spain/technet/security/Bulletin/MS10-030.mspx

Microsoft Security Bulletin MS10-031 - Critical
Vulnerability in Microsoft Visual Basic for Applications Could Allow Remote Code Execution (978213)
http://www.microsoft.com/spain/technet/security/Bulletin/MS10-031.mspx

lunes, 10 de mayo de 2010

Denegación de servicio a través del disector DOCSIS en Wireshark

Se han anunciado una vulnerabilidades de denegación de servicio en Wireshark versiones 0.9.6 hasta 1.0.12 y en la 1.2.0 a la 1.2.7.

Wireshark (aún conocido en algunos entornos como Ethereal, su nombre anterior) es una aplicación de auditoría orientada al análisis de tráfico en redes. Su popularidad es muy elevada, puesto que soporta una gran cantidad de protocolos y es de fácil manejo. Además Wireshark es software libre (sujeto a licencia GPL) y se ejecuta sobre la mayoría de sistemas operativos Unix y compatibles, así como en Microsoft Windows.

El problema, reside en el disector DOCSIS (Data Over Cable Service Interface Specification) que podría permitir a un atacante remoto causar una denegación de servicio a través de un fichero de traza de paquetes especialmente manipulado.

Se recomienda actualizar a la versión 1.2.8 o 1.0.13 de Whireshark desde:
http://www.wireshark.org/download.html


Antonio Ropero
antonior@hispasec.com


Más información:

DOCSIS vulnerabilities in Wireshark® version 1.2.0 to 1.2.7
http://www.wireshark.org/security/wnpa-sec-2010-04.html

DOCSIS vulnerabilities in Wireshark® version 0.9.6 to 1.0.12
http://www.wireshark.org/security/wnpa-sec-2010-03.html

domingo, 9 de mayo de 2010

Denegación de servicio en switches 3Com

Se ha confirmado la existencia de una vulnerabilidad de denegación de servicio en switches 3Com de las familias 4200 y 4500 y en la serie H3C S3100.

El problema reside en el tratamiento de paquetes SSH específicamente construidos mientras actúa como servidor SSH. Un atacante podría emplear este fallo para provocar el reinicio del dispositivo vulnerable, lo que crea la condición de denegación de servicio.

Se recomienda actualizar el software de los dispositivos afectados, con las ultimas versiones publicadas: Switch 4500 V3.03.02p09, Switch 4200G V3.02.04 y H3C S3100-52P-CMW310-R1702P13.


Antonio Ropero
antonior@hispasec.com


Más información:

Switch 4500 V3.03.02p09 Release Notes
http://support.3com.com/documents/switches/4500/Switch_4500_V3.03.02p09_Release_Notes.pdf

Switch 4200G V3.02.04 Release Notes
http://support.3com.com/documents/switches/4200G/Switch_4200G_V3.02.04_Release_Notes.pdf

H3C S3100-52P-CMW310-R1702P13 Release Notes
http://support.3com.com/documents/H3C/switches/3100/H3C_S3100-52P_CMW3.10.R1702P13_Release_Notes.pdf

sábado, 8 de mayo de 2010

Denegación de servicio en impresoras Lexmark

Se ha anunciado una vulnerabilidad de denegación de servicio que afecta a decenas de modelos de impresoras Lexmark.

El problema reside en el servidor HTTP embebido en las impresoras láser y de inyección y en los dispositivos MarkNet de Lexmark, al procesar cabeceras de autorización HTTP enviadas a los puertos 80, 443, 8000 o 631. Un atacante podría emplear esto para provocar la caída del servidor lo que conlleva la parada del sistema operativo. Esto afecta a todos los servicios TCP de la impresora que usen el protocolo http.

Dada la cantidad de dispositivos e impresoras afectadas se recomienda consultar el aviso de Lexmark e instalar la actualización correspondiente:
http://support.lexmark.com/index?page=content&id=TE87


Antonio Ropero
antonior@hispasec.com


Más información:

HTTP Denial of Service Vulnerability Table of Contents
http://support.lexmark.com/index?page=content&id=TE87

viernes, 7 de mayo de 2010

Denegación de servicio IBM WebSphere MQ

Se ha anunciado la existencia de una vulnerabilidad de denegación de servicio en IBM WebSphere MQ en las versiones anteriores a la 7.0.1.2.

El problema reside en un error al procesar datos de control de canal incorrectos recibidos desde un cliente. Un atacante autenticado podría emplear este problema para provocar la caída del servidor de canales MQ, lo que provocaría la condición de denegación de servicio.

Se recomienda la actualización a la versión 7.0.1.2 o instalar el IZ68621.


Antonio Ropero
antonior@hispasec.com


Más información:

IBM WebSphere MQ channel control data denial of service
http://xforce.iss.net/xforce/xfdb/58039

jueves, 6 de mayo de 2010

Microsoft publicará dos boletines de seguridad el próximo martes

En su ciclo habitual de actualizaciones los segundos martes de cada mes, Microsoft ha anunciado que en esta ocasión se esperan dos boletines de seguridad. Afectan a toda la gama del sistema operativo Windows y Office además de Microsoft Visual Basic for Applications. Pueden contener un número indeterminado de vulnerabilidades.

Si en abril se publicaron 11 boletines de seguridad dentro del ciclo habitual, este mes Microsoft prevé publicar sólo dos el próximo 11 de mayo. Se confirma la tendencia que últimamente sigue Microsoft, en la que un mes se publican entre más de diez boletines y al siguiente ciclo suelen hacerse públicos apenas 2 ó 4. Se consideran críticos los dos, (aunque como viene siendo habitual, en Windows Vista, 7 y 2008, el impacto es menor que en el resto de sistemas operativos). Recalcar también que 2008 y 7, no son vulnerables por defecto. Entre las mejoras de seguridad introducidas en estas versiones, la nueva política de "seguridad por defecto" que tan mal aplicó Microsoft desde sus inicios (o que directamente, obvió), está dando resultados.

Adicionalmente, y como viene siendo habitual, Microsoft publicará una actualización para Microsoft Windows Malicious Software Removal Tool. Además, se publicarán actualizaciones de alta prioridad no relacionadas con la seguridad.

Parece que Microsoft no dará solución en esta tanda al problema de seguridad encontrado en SharePoint Server 2007 y Windows SharePoint Services 3.0. Hace pocas semanas, la empresa "High-Tech Bridge" publicó un fallo que afectaba a estos productos. Se trata e un cross-site scripting no persistente. Aunque en un principio no pueda parecer un problema grave, si la víctima visita un enlace enviado por el atacante, éste podría llegar a obtener sus privilegios de acceso al sitio SharePoint.

En este tipo de ataques la persona que lo perpetra realmente no consigue la contraseña de su víctima. En la suplantación de identidad que se lleva a cabo a través de los cross site scriptings no permanentes, normalmente la víctima visita un enlace al sitio SharePoint real, pero con unos parámetros en la URL especialmente manipulados con JavaScript. Al visitarlo, la víctima está enviando inadvertidamente la cookie de sesión al atacante. Éste solo debe visitar la página con la cookie de sesión de su víctima (lo que le permitirá entrar como si fuera él mientras no expire) y a continuación podrá cambiar la contraseña y bloquear el acceso al dueño legítimo.

Los parches anunciados están sujetos a cambios, por tanto, no se garantiza que no se produzcan cambios de última hora.


Sergio de los Santos
ssantos@hispasec.com


Más información:

Microsoft Security Bulletin Advance Notification for May 2010
http://www.microsoft.com/technet/security/bulletin/ms10-may.mspx

miércoles, 5 de mayo de 2010

Un error en Facebook permitía ver el chat de los amigos

Esta tarde se ha dado a conocer un problema en Facebook que permitía a cualquier usuario visualizar el chat de sus amigos en tiempo real.

El fallo, fácilmente reproducible por cualquier usuario, con unas pocas pulsaciones de ratón, permitía visualizar las conversaciones que cualquiera de sus amigos estuviera manteniendo en ese momento. Todo ello sin necesidad de ningún conocimiento técnico ni escribir ninguna línea de código.

El problema residía en la forma en que Facebook permite previsualizar los ajustes de privacidad propios. Muchos lo han considerado como irónico, una característica de privacidad tenía un fallo que afectaba a la privacidad, al permitir a otros visualizar información personal.

De forma similar, también se podía acceder a las invitaciones de amistad pendientes de confirmación de cualquiera de sus amigos y los amigos que compartían en común.

En total, información que ha sido considerada por todos los usuarios como de algo grado de confidencialidad. Lo que se desconoce es desde qué momento el fallo estaba presente, si era algo reciente o esa posibilidad llevaba más tiempo activa.

Tan pronto como Facebook recibió la alerta desactivó la funcionalidad de chat. Si bien ambos problemas fueron corregidos en poco tiempo, y recuperar el funcionamiento habitual de la red social.


Antonio Ropero
antonior@hispasec.com


Más información:

Video: Major Facebook security hole lets you view your friends’ live chats
http://eu.techcrunch.com/2010/05/05/video-major-facebook-security-hole-lets-you-view-your-friends-live-chats/

Facebook flaw exposes private information
http://www.v3.co.uk/v3/news/2262535/facebook-flaw-makes-users

martes, 4 de mayo de 2010

Desbordamiento de búfer en Adobe Photoshop CS4

Se han anunciado diversas vulnerabilidades en Adobe Photoshop CS4 versión 11.0.0 que podrían permitir a un atacante el compromiso de los sistemas afectados.

El problema reside en diversos problemas de desbordamiento de búfer en el tratamiento de archivos de imagen en formato Tiff específicamente manipulados. El fallo afecta tanto a sistemas Windows como Macintosh y podría permitir a un atacante ejecutar código arbitrario si el usuario abre una imagen maliciosa.

Se recomienda instalar las siguientes actualizaciones en función del sistema afectado:
Para Adobe Photoshop CS4 11.0.1 para Windows :
http://www.adobe.com/support/downloads/detail.jsp?ftpID=4292

Para Adobe Photoshop CS4 11.0.1 para Macintosh :
http://www.adobe.com/support/downloads/detail.jsp?ftpID=4291


Antonio Ropero
antonior@hispasec.com


Más información:

Security issues in Adobe Photoshop CS4 11.0.0
http://www.adobe.com/support/security/bulletins/apsb10-10.html

lunes, 3 de mayo de 2010

Denegación de servicio a través de la función "php_dechunk" en PHP 5.3.x

Stefan Esser, conocido investigador de seguridad especializado en vulnerabilidades en el lenguaje de programación PHP, ha descubierto un fallo en la última versión publicada.

Se trata de un error de desbordamiento de entero en la función "php_dechunk" de "ext/standard/filters.c" al procesar ciertas peticiones HTTP. Esta función se usa para decodificar fragmentos (chunks) codificados de un flujo HTTP.

La función efectúa una comparación del tamaño del fragmento a decodificar y el búfer reservado, empleando para ello un entero con signo, "chunk_size", miembro de la estructura "_php_chunked_filter_data".

El uso de un entero positivo interpretado como negativo podría provocar la copia de datos, entre memorias intermedias reservadas en el heap, de tamaño entre 2 y 4 Gb, resultando en una corrupción de memoria y provocando que la aplicación deje de responder.

Esto podría permitir a un atacante remoto causar una denegación de servicio a través de peticiones HTTP especialmente manipuladas.

Según Esser, son vulnerables las versiones inferiores de la 5.3.2 a la 5.3 incluidas. No existe parche para esta vulnerabilidad.


David García
dgarcia@hispasec.com



domingo, 2 de mayo de 2010

Actualización de squidguard para Debian Linux

Debian ha publicado una actualización de squidguard que corrige dos vulnerabilidades que podrían permitir a un atacante evadir restricciones de seguridad y provocar una denegación de servicio.

Squidguard es un plugin para el servidor proxy squid que permite efectuar redirecciones, filtros y listas de control de acceso.

La primera, con CVE-2009-3826, corrige varios errores de desbordamiento de memoria intermedia que podrían permitir a un atacante evadir las restricciones de bloqueo sobre URLs a través de una URL especialmente manipulada.

La segunda, con CVE-2009-3700, corrige un desbordamiento de memoria intermedia en "sgLog.c" que podría permitir a un atacante causar un ataque de denegación de servicio a través de una URL especialmente manipulada.


Laboratorio Hispasec
laboratorio@hispasec.com


Más información:

DSA-2040-1 squidguard -- buffer overflow
http://www.debian.org/security/2010/dsa-2040

sábado, 1 de mayo de 2010

Múltiples vulnerabilidades en OpenTTD

Se han corregido múltiples vulnerabilidades en OpenTTD que podrían permitir a un atacante remoto evadir restricciones de seguridad y causar una denegación de servicio.

OpenTTD es un clon libre del videojuego "Transport Tycoon Deluxe" de Microprose. El juego permite a los jugadores efectuar una simulación en tiempo real de los distintos aspectos que conlleva la gestión de redes de transporte. OpenTTD se encuentra disponible para múltiples plataformas.

La primera vulnerabilidad, con CVE-2010-0401, permite a un atacante remoto evadir el mecanismo de contraseña de un servidor de juego. Adicionalmente también de ha corregido un error que permitía, a través del mismo mecanismo, causar una denegación de servicio en el servidor de juego.

La segunda vulnerabilidad, con CVE-2010-0402, permite a un atacante remoto autenticado causar una denegación de servicio en el servidor de juego a través de comandos del juego especialmente manipulados.

Con CVE-2010-0406, la última vulnerabilidad reside en el agotamiento del número de descriptores de fichero disponibles durante la operación de descarga de mapas. Esto podría ser aprovechado por un atacante remoto para causar una denegación de servicio en el cliente de OpenTTD a través de múltiples cancelaciones de descarga.


David García
dgarcia@hispasec.com