martes, 31 de diciembre de 2013

Resumen de seguridad de 2013 (y IV)

Termina el año y desde Hispasec un año más echamos la vista atrás para recordar y analizar con perspectiva (al más puro estilo periodístico) lo que ha sido 2013 en cuestión de seguridad informática. En cuatro entregas (tres meses por entrega) destacaremos muy brevemente lo que hemos considerado las noticias más importantes de cada mes publicadas en nuestro boletín diario.

Octubre 2013:



Noviembre2013:



Diciembre 2013:
  



Más información:

una-al-dia (02/10/2013) Google anuncia nueva versión de Chrome y corrige 50 vulnerabilidades

una-al-dia (09/10/2013) Boletines de seguridad de Microsoft en octubre solucionan dos 0-day

una-al-dia (10/10/2013) Boletines de seguridad de Adobe

una-al-dia (11/10/2013) Google gratificará por mejoras de seguridad en proyectos de código abierto

una-al-dia (16/10/2013) Oracle corrige 129 vulnerabilidades en su actualización de seguridad de octubre

una-al-dia (25/10/2013) Comprometen el sitio oficial de PHP para alojar malware

una-al-dia (25/10/2013) Comprometen el sitio oficial de PHP para alojar malware

una-al-dia (31/10/2013) Intrusión en la red del fabricante de MongoDB

una-al-dia (06/11/2013) Microsoft alerta de un 0-day en Office

una-al-dia (10/11/2013) Nuevo 0-day en Internet Explorer

una-al-dia (15/11/2013) El Mobile Pwn2Own 2013 revela vulnerabilidades en iPhone 5, Galaxy S4, Nexus 4 y Surface RT

una-al-dia (21/11/2013) OWASP: Los diez riesgos más críticos en aplicaciones web (2013)

una-al-dia (27/11/2013) Microsoft publica una alerta por una vulnerabilidad 0-day en el Kernel de Windows

una-al-dia (10/12/2013) Nuevos certificados fraudulentos para dominios de Google

una-al-dia (11/12/2013) Microsoft cierra el año con 11 boletines de seguridad

una-al-dia (12/12/2013) Mozilla pública 14 boletines de seguridad

una-al-dia (14/12/2013) Boletines de seguridad de Adobe




Antonio Ropero
Twitter: @aropero


lunes, 30 de diciembre de 2013

Resumen de seguridad de 2013 (III)

Termina el año y desde Hispasec un año más echamos la vista atrás para recordar y analizar con perspectiva (al más puro estilo periodístico) lo que ha sido 2013 en cuestión de seguridad informática. En cuatro entregas (tres meses por entrega) destacaremos muy brevemente lo que hemos considerado las noticias más importantes de cada mes publicadas en nuestro boletín diario.

Julio 2013:



Agosto 2013:



Septiembre 2013:



Más información:

una-al-dia (02/07/2013) Comprometen un servidor de Ubisoft con datos de usuarios

una-al-dia (08/07/2013) Un fallo en la verificación de firmas de Android permite modificar las aplicaciones certificadas

una-al-dia (10/07/2013) Boletines de seguridad de Microsoft en julio

una-al-dia (12/07/2013) Boletines de seguridad de Adobe

una-al-dia (16/07/2013) Oracle corrige 89 vulnerabilidades en su actualización de seguridad de julio

una-al-dia (27/07/2013) Algunos apuntes sobre la intrusión en los servidores de Apple

una-al-dia (07/08/2013) Ataque BREACH, la seguridad HTTPS comprometida en 30 segundos

una-al-dia (08/08/2013) Boletines de seguridad de Mozilla

una-al-dia (14/08/2013) Boletines de seguridad de Microsoft en agosto

una-al-dia (22/08/2013) Nueva versión de Google Chrome

una-al-dia (11/09/2013) Boletines de seguridad de Microsoft en septiembre

una-al-dia (10/09/2013) Boletines de seguridad de Adobe

una-al-dia (19/09/2013) Microsoft publica actualización de urgencia para Internet Explorer

una-al-dia (21/09/2013) iO7 corrige 80 vulnerabilidades en los dispositivos móviles de Apple

una-al-dia (22/09/2013) El grupo Chaos Computer Club consigue saltar el sistema TouchID del iPhone 5s

una-al-dia (28/09/2013) Apple corrige dos saltos de restricciones en iOS 7

una-al-dia (27/09/2013) Hispasec publica un parche para dar soporte a la rama 4 de Android en DroidBox



Antonio Ropero
Twitter: @aropero


domingo, 29 de diciembre de 2013

Resumen de seguridad de 2013 (II)

Termina el año y desde Hispasec un año más echamos la vista atrás para recordar y analizar con perspectiva (al más puro estilo periodístico) lo que ha sido 2013 en cuestión de seguridad informática. En cuatro entregas (tres meses por entrega) destacaremos muy brevemente lo que hemos considerado las noticias más importantes de cada mes publicadas en nuestro boletín diario.

Abril 2013:



Mayo 2013:



Junio  2013:


Más información:

una-al-dia (02/04/2013) Mozilla publica 11 boletines de seguridad para Firefox

una-al-dia (09/04/2013) Microsoft publica 9 boletines de seguridad

una-al-dia (11/04/2013) Boletines de seguridad de Adobe

una-al-dia (16/04/2013) Java corrige 42 vulnerabilidades y mejora un poco sus opciones de seguridad

una-al-dia (28/04/2013) Últimas versiones del virus de la policía y más ideas para protegerse

una-al-dia (04/05/2013) Se pone en marcha en España el Centro de Ciberseguridad Industrial (CCI)

una-al-dia (05/05/2013) Microsoft publica aviso de seguridad sobre nuevo 0-day en Internet Explorer 8

una-al-dia (14/05/2013) Boletines de seguridad de Microsoft en mayo

una-al-dia (16/05/2013) Boletines de seguridad de Adobe para mayo

una-al-dia (17/05/2013) Boletines de seguridad de productos Mozilla corrigen 15 vulnerabilidades

una-al-dia (07/06/2013) Oracle desvela el futuro de la seguridad de Java en el navegador

una-al-dia (08/06/2013) Microsoft publicará cinco boletines de seguridad el próximo martes

una-al-dia (13/06/2013) Microsoft desactiva 1.462 botnets Citadel

una-al-dia (15/06/2013) Ejecución de código arbitrario a través de Adobe Flash Player y AIR

una-al-dia (21/06/2013) Microsoft pagará hasta 150.000 dólares por nuevas vulnerabilidades

una-al-dia (27/06/2013) Roban un certificado a Opera y publican una actualización maliciosa para su navegador


Antonio Ropero
Twitter: @aropero


sábado, 28 de diciembre de 2013

Resumen de seguridad de 2013 (I)

Termina el año y desde Hispasec un año más echamos la vista atrás para recordar y analizar con perspectiva (al más puro estilo periodístico) lo que ha sido 2013 en cuestión de seguridad informática. En cuatro entregas (tres meses por entrega) destacaremos muy brevemente lo que hemos considerado las noticias más importantes de cada mes publicadas en nuestro boletín diario.

Enero 2013:



Febrero 2013:



Marzo 2013:



Más información:

una-al-dia (08/01/2013) Boletines de seguridad de Microsoft en enero

una-al-dia (15/01/2013) Microsoft publica boletín fuera de ciclo para el último 0-day de Internet Explorer

una-al-dia (16/01/2013) Oracle corrige 86 vulnerabilidades en su actualización de seguridad de enero

una-al-dia (17/01/2013) Operación octubre rojo: un malware muy "personal" (I)

una-al-dia (18/01/2013) Operación octubre rojo: un malware muy "personal" (y II)

una-al-dia (19/01/2013) Adobe corrige varias vulnerabilidades en Cold Fusion 10 y 9

una-al-dia (04/02/2013) Boletín de seguridad de Oracle soluciona 50 vulnerabilidades en Java

una-al-dia (12/02/2013) Microsoft corrige 57 vulnerabilidades en 12 boletines de seguridad

una-al-dia (17/02/2013) Salto de restricciones en Apple iOS 6 (o cómo realizar llamadas desde un iPhone bloqueado)

una-al-dia (19/02/2013) Java detrás de los ataques a Apple, Facebook y Twitter

una-al-dia (20/02/2013) Boletines de seguridad para productos Mozilla

una-al-dia (26/02/2013) 10 años de phishing: la eficacia de lo simple (I)

una-al-dia (26/02/2013) 10 años de phishing: la eficacia de lo simple (y II)

una-al-dia (07/03/2013) SPF contra el phishing: mejor en la banca española que en el mundo

una-al-dia (12/03/2013) Microsoft corrige 20 vulnerabilidades en 7 boletines de seguridad

una-al-dia (13/03/2013) Nueva actualización para Adobe Flash Player

una-al-dia (10/03/2013) Apple implementa por defecto HTTPS en App Store y soluciona así varias vulnerabilidades


Antonio Ropero
Twitter: @aropero


viernes, 27 de diciembre de 2013

Vulnerabilidades en Cisco IOS XE

Se han anunciado dos vulnerabilidades que podrían causar denegación de servicio y salto de restricciones de seguridad en dispositivos Cisco IOS XE.

El primer fallo identificado como CVE-2013-6981 se encuentra en la función de fragmentación IP MPLS y podría causar el cuelgue del procesador de paquetes Cisco.

El segundo error (CVE-2013-6979) reside en la autenticación vty y se debe a un fallo de comprobación de la interfaz de red interna Linux-IOS. Un atacante que se encuentre en la subred 192.168.x.2 podría obtener acceso al dispositivo sin tener que autenticarse.

Cisco ofrece actualizaciones para corregir estos problemas, se recomienda consultar los boletines publicados.

Más información:

Cisco IOS XE Crafted MPLS IP Fragmentation Denial of Service Vulnerability

Cisco IOS XE Software Telnet Authentication Bypass Vulnerability


Fernando Castillo

jueves, 26 de diciembre de 2013

Salto de restricciones en VMWare ESX/ESXi

VMWare ha publicado el boletín de seguridad VMSA-2013-0016 donde soluciona una vulnerabilidad en los productos VMWare ESX y ESXi que podría permitir el salto de restricciones y potencialmente la ejecución de código arbitrario.

VMware es un software que permite ejecutar diferentes sistemas operativos en un mismo PC de forma virtual. Entre otras aplicaciones, VMware es muy utilizado en seguridad informática por la versatilidad que ofrece. VMWare ESX permite asignar recursos de procesador, memoria, almacenamiento de información y redes en múltiples máquinas virtuales.

El error, identificado con CVE-2013-5973 se debe al manejo incorrecto de archivos de descripción de máquinas virtuales. Un usuario sin privilegios de vCenter Server podría obtener acceso de lectura y escritura a archivos arbitrarios del sistema, según que archivos modifique podría incluso lograr ejecutar código después de un reinicio del equipo.

Solo los usuarios de vCenter Server con el privilegio “Add Existing Disk” podrían aprovechar este fallo, decir que usuarios o grupos que tengan el rol "Virtual Machine Power User" o "Resource Pool Administrator" tienen este privilegio.

En https://www.vmware.com/patchmgr/download.portal se encuentran disponibles los parches para su descarga.

Más información:

VMSA-2013-0016



Fernando Castillo

miércoles, 25 de diciembre de 2013

Denegación de servicio en Nagios

Se ha solucionado un error en el núcleo de Nagios que podría ser aprovechado por un atacante remoto para causar una denegación de servicio.

Nagios es un sistema de monitorización redes, que mantiene una vigilancia tanto del hardware de los equipos como del software instalado en ellos, avisando ante cualquier cambio, intrusión, escasez de recursos, etc. a través de diferentes medios como pueden ser el email y los SMS.

La vulnerabilidad, identificada con CVE-2013-7108, está causada por un error de tipo off-by-one (OBOE) en la función process_cgivars(). En algunos CGIs al encontrar un valor de clave largo se incrementaba un contador por el doble lo que podría causar lectura una fuera de límites en la lista de variables CGI.

Se puede encontrar el parche que soluciona la vulnerabilidad en el repositorio de código oficial de Nagios.

Más información:

CGIs: Fixed minor vulnerability where a custom query could crash the CGI.


Fernando Castillo

martes, 24 de diciembre de 2013

Actualización del kernel para Red Hat Enterprise Linux 6

Red Hat ha publicado una actualización del kernel para toda la familia Red Hat EnterpriseLinux 6 que solventa cuatro nuevas vulnerabilidades que podrían ser aprovechadas por un atacante para provocar denegaciones de servicio, elevar sus privilegios en el sistema o acceder a información sensible. 

Los problemas corregidos se deben a errores en la implementación del protocolo TCP/IP (CVE-2013-4470) al tratar determinados paquetes UDP cuando está activa la característica UDP Fragmentation Offload (UFO), un fallo (CVE-2013-6367) de división por cero en la función apic_get_tmcct() en la implementación de Local Advanced Programmable Interrupt Controller (LAPIC) de KVM. Por último dos fallos de corrupción de memoria (CVE-2013-6368 y CVE-2013-2141).

Además se han solucionado múltiples fallos de menor importancia y se incluyen dos mejoras. Esta actualización está disponible desde Red Hat Network.

Más información:

Important: kernel security, bug fix, and enhancement update




Antonio Ropero
Twitter: @aropero


lunes, 23 de diciembre de 2013

Boletines de seguridad para Asterisk

Asterisk ha publicado los boletines AST-2013-006 y AST-2013-007 que solucionan dos vulnerabilidades que podrían permitir a atacantes remotos provocar denegaciones de servicio o elevar sus privilegios.

Asterisk es una implementación de una central telefónica (PBX) de código abierto. Como cualquier PBX, se pueden conectar un número determinado de teléfonos para hacer llamadas entre sí e incluso conectarlos a un proveedor de VoIP para realizar comunicaciones con el exterior. Asterisk es ampliamente usado e incluye un gran número de interesantes características: buzón de voz, conferencias, IVR, distribución automática de llamadas, etc. Además el software creado por Digium está disponible para plataformas Linux, BSD, MacOS X, Solaris y Microsoft Windows.

El primero de los problemas (AST-2013-006) reside en un desbordamiento de búfer en el tratamiento de mensajes SMS de 16 bits con un valor de longitud específicamente manipulado. Por otra parte (AST-2013-007) un usuario remoto autenticado podría acceder a funciones dialplan a través de protocolos de control externos y provocar que determinadas funciones dialplan modifiquen archivos arbitrarios o ejecutar comandos arbitrarios en los sistemas afectados.

Ambos problemas afectan a Asterisk Open Source 1.8.x en adelante y las ramas 10.x y 11.x, Certified Asterisk 1.8.x y 11.x.

Se han publicado las versiones Asterisk Open Source 1.8.24.1, 10.12.4, 11.6.1; Certified Asterisk 1.8.15-cert4, 11.2-cert3 y Asterisk with Digiumphones 10.12.4-digiumphones que solucionan dichos problemas.

Más información:

Asterisk Manager User Dialplan Permission Escalation

Buffer Overflow when receiving odd length 16 bit SMS message



Antonio Ropero
Twitter: @aropero


domingo, 22 de diciembre de 2013

Vulnerabilidades de Cross-Site Scripting en IBM Lotus iNotes

Se han confirmado tres vulnerabilidades en IBM Lotus iNotes 8.5.x y 9.0 que podrían permitir a atacantes remotos la realización de ataques de cross-site scripting.

IBM iNotes (anteriormente conocido como IBM Lotus iNotes) es una versión basada en web del cliente de Notes, incluyendo todas sus funciones. iNotes proporciona acceso desde el navegador al correo electrónico, el calendario y los contactos de Notes, así como el acceso a las aplicaciones y herramientas empresariales.

El primero de los problemas (con CVE-2013-4063) reside en el tratamiento del contenido activo en mensajes email. Un segundo fallo (con CVE-2013-4064) en el modo ultra-light de iNotes y podría permitir la realización de ataques de cross-site scripting persistente. Por ultimo, con  CVE-2013-4065, también en el modo ultra-light de iNotes podría permitir la realización de ataques de cross-site scripting reflejado. En todos los casos los problemas podrían permitir a un atacante remoto dejar al descubierto los datos personales del usuario

IBM ha publicado las actualizaciones necesarias en IBM Domino 9.0.1:
Y en IBM Domino 8.5.3 Fix Pack 6, disponible desde:

Más información:

IBM iNotes Cross-Site Scripting Vulnerabilities (CVE-2013-4063, CVE-2013-4064, CVE-2013-4065)




Antonio Ropero
Twitter: @aropero


sábado, 21 de diciembre de 2013

Actualización de seguridad para Apple Motion

Apple ha publicado una actualización para Motion 5 destinada a corregir una vulnerabilidad que podría permitir a un atacante remoto tomar el control de los sistemas afectados.

Motion 5 es una aplicación de Apple destinada a la creación de animaciones en 2D o 3D, transiciones y efectos para las ediciones de vídeo.

Se ha publicado la versión Motion 5.1 destinada a solucionar una vulnerabilidad (con CVE-2013-6114) de desbordamiento de entero en el tratamiento de archivos .motn que podría permitir a un atacante remoto lograr ejecutar código arbitrario en los sistemas afectados.

Una vez más podemos ver como los problemas de seguridad pueden surgir en cualquier punto o aplicación, más allá de las clásicamente consideradas más sensibles, como el sistema operativo, el navegador, Java o Acrobar Reader. Cualquier aplicación sin actualizar puede significar el punto de entrada en un sistema o red.

La actualización está disponible a través de "Actualización de Software" o desde el sitio web de descargas de Apple:

Más información:

About the security content of Motion 5.1


Antonio Ropero
Twitter: @aropero



viernes, 20 de diciembre de 2013

Ejecución remota de código en RealPlayer

Se ha anunciado una nueva vulnerabilidad en RealPlayer que podría permitir a un atacante remoto comprometer los sistemas afectados.

El problema (con CVE-2013-6877) reside en un desbordamiento de búfer en el tratamiento de archivos RMP (RealPlayer Metadata Package). Esta vulnerabilidad podría permitir a un atacante remoto lograr la ejecución de código arbitrario si un usuario abre un archivo específicamente creado.

Se ven afectadas las versiones RealPlayer v16.0.2.32 y RealPlayer v16.0.3.51. El equipo de Real Player ha anunciado la inminente publicación de una nueva versión en la que se solucionará el problema de la forma más sencilla posible, eliminando el soporte de archivos RMP.

Más información:

RealPlayer Heap-based Buffer Overflow Vulnerability




Antonio Ropero
Twitter: @aropero


jueves, 19 de diciembre de 2013

Nuevos Boletines de seguridad para Wireshark

Wireshark Foundation ha publicado boletines de seguridad que solucionan tres vulnerabilidades en Wireshark. Afectan a las ramas 1.10 y 1.8.

Wireshark es una aplicación de auditoría orientada al análisis de tráfico en redes muy popular que soporta una gran cantidad de protocolos y es de fácil manejo. Además Wireshark es software libre (sujeto a licencia GPL) y se encuentra disponible para la mayoría de sistemas operativos Unix y compatibles, así como Microsoft Windows.

Los boletines publicados corrigen errores relacionados con diversos disectores, que podrían ser aprovechados para provocar una denegación de servicio. Esto podría ser llevado a cabo por un atacante que podría inyectar paquetes maliciosos en la red o engañando a un usuario para que lea ficheros de captura de tráfico de red maliciosos.

Se presentan a continuación los boletines, los disectores afectados y el identificador CVE asignado a cada uno de los fallos de seguridad:

wnpa-sec-2013-66: Error en el disector SIP, el cual podría entrar en un bucle infinito. Descubierto por Alain Botti (CVE-2013-7112). Versiones afectadas: 1.10.0 hasta 1.10.3, 1.8.0 hasta 1.8.11

wnpa-sec-2013-67: Error en el disector BSSGP, el cual podría quedar bloqueado. Descubierto por Laurent Butti (CVE-2013-7113). Versiones afectadas: 1.10.0 hasta 1.10.3

wnpa-sec-2013-68: Error en el disector NTLMSSP v2, el cual podría quedar bloqueado. Descubierto por Garming Sam (CVE-2013-7114). Versiones afectadas: 1.10.0 hasta 1.10.3, 1.8.0 hasta 1.8.11

Se recomienda actualizar a versiones 1.8.12 o 1.10.4

Más información:

wnpa-sec-2013-66 · SIP dissector infinite loop

wnpa-sec-2013-67 · BSSGP dissector crash

wnpa-sec-2013-68 · NTLMSSP v2 dissector crash



Juan Sánchez

miércoles, 18 de diciembre de 2013

El proyecto NEMESYS

Dentro del marco de la Unión Europea se ha creado un grupo de trabajo, formado por varias empresas e instituciones públicas, en el cual Hispasec tiene el honor de participar.

El proyecto que nos une se denomina NEMESYS, nombre en clave de "Enhaced Network Security for Seamless Service Provisioning in the Smart Mobile Ecosystem". Tiene como objetivo el análisis de las amenazas sobre redes móviles, desde su infraestructura hasta el usuario final. Para ello se está creando una arquitectura que ayude a estudiar y analizar las diversas amenazas actuales y futuras de cara a dar una respuesta adecuada optimizando las defensas actuales, mejorándolas o implementando nuevas tecnologías fruto de la investigación.

El consorcio de empresas e instituciones está compuesto por el Imperial College de Londres, Telecom Italia, TUB Berlín, Cosmote Grecia, el instituto de tecnologías de la información de Grecia e Hispasec.

El proyecto dio comienzo hace casi un año y ya hemos publicado diverso material al alcance en la web del consorcio

Nuestra parte, entre otras contribuciones, consiste en el diseño e implementación de un sistema de detección, recolección, análisis automático y almacenamiento de malware y ataques sobre plataformas móviles. Fruto de estos avances se encuentra la actualización que Hispasec liberó el pasado septiembre para el proyecto DroidBox en la cual extiende su compatibilidad dando soporte a la versión 4.1 del sistema operativo Android.

Esperamos poder contribuir aun más con los avances que podamos hacer públicos y contaros los progresos del proyecto NEMESYS.



David García
Twitter: @dgn1729

martes, 17 de diciembre de 2013

Actualización de seguridad de Apple Safari

Apple ha publicado una actualización de seguridad para su navegador Safari (versión 6.1.1 y 7.0.1) que solventa diversas vulnerabilidades que podrían ser aprovechadas por un atacante remoto para obtener información sensible o lograr el compromiso de los sistemas afectados.

Safari es un popular navegador web desarrollado por Apple, incluido en las sucesivas versiones de Mac OS X y del que también existen versiones oficiales para Windows 7, XP y Vista.

Se ha corregido una vulnerabilidad (CVE-2013-5227) relacionada con el autocompletado de nombres de usuarios y contraseñas, que podría permitir a un atacante obtener información de las credenciales de un usuario.

Por otra parte se solucionan ocho vulnerabilidades relacionadas con WebKit que podrían dar lugar a denegaciones de servicio o permitir la ejecución remota de código. Los CVE asociados son CVE-2013-2909, CVE-2013-5195, CVE-2013-5196, CVE-2013-5197, CVE-2013-5198, CVE-2013-5199, CVE-2013-5225 y CVE-2013-5228.

Se recomienda actualizar a las versiones 6.1.1 o 7.0.1 de Safari para Mac OS X disponible a través de las actualizaciones automáticas de Apple, o para su descarga manual desde:

Más información:

About the security content of Safari 6.1.1 and Safari 7.0.1



Antonio Ropero
Twitter: @aropero



lunes, 16 de diciembre de 2013

Actualización de seguridad de MySQL 5.5 en Debian Linux

Debian ha publicado una actualización del paquete correspondiente a la base de datosMySQL en la cual corrige múltiples vulnerabilidades y un par de errores de seguridad limitados a Debian.

Entre los fallos corregidos se encuentran vulnerabilidades que podrían causar denegación de servicio y revelación de información sensible a un atacante autenticado (con cuenta en la base de datos) a través de múltiples vectores.

La lista de identificadores CVE: CVE-2013-1861, CVE-2013-2162, CVE-2013-3783, CVE-2013-3793, CVE-2013-3802, CVE-2013-3804, CVE-2013-3809, CVE-2013-3812,CVE-2013-3839 y CVE-2013-5807.

Cabe destacar que dos de las vulnerabilidades no son inherentes a MySQL, sino que son introducidas por un error en el mecanismo de instalación del paquete y otro de regresión al no contener los parches adecuados y anteriormente publicados para la rama 5.1 de MySQL.

El primero de ellos reside en un script de post-instalación que podría verse afectado por una condición de carrera haciendo que el archivo 'etc/mysql/debían.cnf' pueda ser leído por todos los usuarios del sistema al otorgar los permisos de manera erronea. Dicho archivo contiene información sensible tal como las credenciales del usuario "debian-sys-mant".

El otro error es debido, como se ha comentado, a la falta de aplicación de ciertos parches anteriormente publicados en la rama 5.1 de MySQL. Este parche borra la base de datos "test". Cualquier usuario con una cuenta anónima y sin credenciales podía acceder a estas bases de datos. De igual forma, este usuario anónimo podría acceder a cualquier base de datos que comenzase por la cadena "test_".

Además de las vulnerabilidades mencionadas se han corregido errores de programación, mejoras de rendimiento y nuevas características, algunas de ellas, avisan, podrían causar problemas de compatibilidad.

Los paquetes para la versión estable (wheezy) e inestable (sid) se han publicado en los repositorios correspondientes con la salvedad de que los dos problemas específicos de Debian serán corregidos más adelante para la versión inestable.

Durante el proceso de actualización, según Debian, no se modifican las bases de datos existentes ni sus permisos.

Más información:

DSA-2818-1 mysql-5.5 -- several vulnerabilities


David García
Twitter: @dgn1729