miércoles, 31 de agosto de 2016

Dropbox ¿hackeado?

Durante esta semana un número no concreto de usuarios de Dropbox han recibido una notificación del servicio indicando que deberán cambiar su contraseña. Una medida que la compañía ha establecido como "medida preventiva".

¿Ha sido Dropbox hackeado?

Esta noticia y la suspicacia han hecho que se dé la voz de alarma de manera prematura, alertando de una posible brecha en Dropbox. La razón de este alboroto, al margen de las notificaciones recibidas por los usuarios, ha sido la publicación en ciertos sitios de los detalles de más de 60 millones de cuentas.

La causa probable es que los detalles de esas cuentas son el resultado de un filtrado del incidente ocurrido a mediados de 2012 y del que trascendieron pocos detalles.

De manera oficial, según el blog de Dropbox, la versión de lo ocurrido entonces se basa en tres hechos:

  • Algunos usuarios de Dropbox notificaron a la empresa que estaban recibiendo spam en cuentas de correo que usaban exclusivamente para operar con Dropbox.
          
  • Que de una investigación interna, Dropbox, encontró que en un "número reducido" de cuentas se había producido un inicio de sesión y que las credenciales usadas habrían sido "robadas de otros sitios web" y reutilizadas para abrir sesiones en Dropbox.
         
  • Admitieron que las credenciales de un empleado de Dropbox habían sido comprometidas y usadas. En dicha cuenta los atacantes pudieron obtener un documento de un proyecto que contenía cuentas de correo de usuarios de Dropbox.

A la luz del gran número de cuentas (recordemos, más de 60 millones) y de las explicaciones recibidas entonces hay detalles que como poco resultan curiosos de contrastar.

El más notable sin duda es que 60 millones de cuentas no es un número reducido, incluso para un servicio que pueda tener varios órdenes más de usuarios. Otro detalle llamativo es que no solo es información de la cuenta, correo electrónico, etc. Los archivos contienen hashes, incluso pueden derivarse dos tipos de hashes, los producidos por bcrypt y SHA-1, lo que hace pensar que hubo un cambio en la forma en que almacenaban los hashes anterior a la extracción.

Admitir que Dropbox ha sido hackeada no es posible, pero que la filtración fue muchísimo más grave que la admitida entonces es evidente.


¿Qué hacemos?

En la entrada del blog de Dropbox indican que si el usuario no ha cambiado de contraseña desde el 2012 (que ya de por sí es una mala práctica) ha de hacerlo.

Adicionalmente avisan de otro mal conocido dentro de las malas prácticas: reutilizar esa misma contraseña en sitios diferentes. Justo a la inversa de la declaración que hicieron en 2012, en la que se referían a que ciertas cuentas habían experimentado un inicio de sesión no legítimo usando credenciales "robadas de otros sitios".

Por supuesto otro consejo que dan, y secundamos desde aquí, es la activación del segundo factor de autenticación, algo que debería ser un opt-out en vez de lo contrario en todo servicio que implemente este mecanismo.

Si necesitas saber si tu cuenta de Dropbox estaba incluida en la filtración puedes consultarlo en sitios como: https://haveibeenpwned.com/

Más información:

Security update and new features

Resetting passwords to keep your files safe

Dropbox Forces Password Resets After User Credentials Exposed

Hackers Stole Account Details for Over 60 Million Dropbox Users



David García
Twitter: @dgn1729

martes, 30 de agosto de 2016

Vulnerabilidades en Kaspersky Internet Security Suite

El equipo de seguridad de Cisco Talos ha anunciado cuatro vulnerabilidades en Internet Security Suite de Kaspersky que podrían permitir a un atacante provocar denegaciones de servicio o fugas de memoria.

Los dos primeros problemas residen en la forma en que el driver KLIF intercepta las llamadas NtUserCreateWindowEx y NtAdjustTokenPrivileges a la Windows API. En ambos casos una aplicación maliciosa podrá efectuar llamadas maliciosas a la API con parámetros incorrectos. Lo que podría provocar que el controlador intente acceder a memoria no accesible lo que causaría una caída del sistema. Se han asignado los identificadores CVE-2016-4304 y CVE-2016-4305.

Otra denegación de servicio, con CVE-2016-4307, reside en el controlador KL1 de Kaspersky. Un usuario malicioso puede enviar una llamada IOCTL especialmente creada a driver KL1, que en determinadas condiciones esto provoca una lectura de memoria fuera de la asignación del búfer. Esto provoca una violación de acceso a memoria y la consiguiente caída del sistema.

Por último, con CVE-2016-4306, una llamada IOCTL específicamente creada se puede utilizar para filtrar el contenido de la memoria del kernel al entorno de usuario a través de una implementación débil del servicio KlDiskCtl del controlador kldisk.sys.

Un atacante podría aprovechar esto para obtener información de seguridad relevante y combinar este conocimiento con otras vulnerabilidades para explotar el sistema local. Por ejemplo, para evitar la funcionalidad de seguridad ASLR ("Address Space Layout Randomization").

Las vulnerabilidades afectan a las versiones 2016 de Kaspersky Internet Security, Kaspersky Anti-Virus y Kaspersky Total Security (16.0.0.614), versión del driver KLIF 10.0.0.1532. Se han corregido en las versiones Kaspersky Internet Security 2017, Kaspersky Anti-Virus 2017 y Kaspersky Total Security 2017 (17.0.0.611). Los usuarios deben actualizar a las nuevas versiones de los respectivos productos a través del procedimiento de actualización de cada producto.

Más información:

Vulnerability Spotlight: Kernel Information Leak & Multiple DOS Issues Within Kaspersky Internet Security Suite

Advisory issued on 25th August, 2016

TALOS-2016-0166 / CVE-2016-4304
Kaspersky Internet Security KLIF Driver NtUserCreateWindowEx_HANDLER Denial of Service

TALOS-2016-0167 / CVE-2016-4305
Kaspersky Internet Security KLIF Driver NtAdjustTokenPrivileges_HANDLER Denial of Service

TALOS-2016-0168 / CVE-2016-4306
Kaspersky Internet Security KLDISK Driver Multiple Kernel Memory Disclosure Vulnerabilities

TALOS-2016-0169 / CVE-2016-4307
Kaspersky Internet Security KL1 Driver Signal Handler Denial of Service



Antonio Ropero
Twitter: @aropero


lunes, 29 de agosto de 2016

Actualización para productos VMware

VMware ha publicado actualizaciones de seguridad para corregir dos vulnerabilidades en VMware Identity Manager y vRealize Automation, que podrían permitir a un usuario local elevar sus privilegios y la ejecución de código arbitrario.

VMware Identity Manager es una solución IDaaS, o Identity as a Service, que ofrece un sistema de control de acceso que permite a los administradores establecer políticas sobre dispositivos y de gestión de información especialmente en entornos cloud. VMware vRealize Automation automatiza el despliegue y gestión de servicios, aplicaciones e infraestructuras en entornos de cloud

El primer problema, con CVE-2016-5335, reside en una vulnerabilidad de elevación de privilegios en VMware Identity Manager y vRealize Automation. Un atacante local con permisos reducidos podría conseguir permisos de root. Por otra parte, con CVE-2016-5336, una vulnerabilidad de ejecución remota de código en vRealize Automation.

Se ven afectadas las versiones VMware Identity Manager 2.x y vRealize Automation 7.0.x.

VMware ha publicado las siguientes actualizaciones:
VMware Identity Manager 2.7 disponible desde:
vRealize Automation 7.1 disponible desde:

Más información:

VMSA-2016-0013
VMware Identity Manager and vRealize Automation updates address multiple security issues
  


Antonio Ropero
Twitter: @aropero




domingo, 28 de agosto de 2016

Nuevas versiones de MediaWiki corrigen diversas vulnerabilidades

Se han publicado nuevas versiones de MediaWiki para las ramas 1.27, 1.26 y 1.23 que corrigen diferentes fallos de seguridad, que podrían permitir a un atacante realizar ataques de cross-site scripting y eludir restricciones de seguridad.

MediaWiki es un software de código abierto de creación de sitios de edición colaborativa de páginas web, comúnmente conocidos como wikis. Entre este tipo de software, MediaWiki es popular por ser el utilizado para alojar y editar los artículos de Wikipedia.

Un problema corregido reside en cross-site scriptings por la codificación del carácter "%" dentro de enlaces internos y en la previsualización de CSS. Otro problema por un error en la API relacionado con la generación de elementos de las cabeceras. Usuarios con permisos de recuperación pueden borrar el estado de una revisión de archivo (incluso si el archivo está eliminado), cuando realmente no tienen permisos para ello. Las cuentas eliminadas no cerraban adecuadamente la sesión, de forma que un usuario autenticado podía seguir accediendo aun  con una cuenta ya cerrada o inexistente. Por último la API podía emplearse para eludir  completamente la extensión Lockdown.

Las nuevas versiones 1.27.1, 1.26.4 y 1.23.15 solucionan estas vulnerabilidades. Pueden descargarse desde:

Más información:

MediaWiki Release notes 1.27

MediaWiki Release notes 1.26

MediaWiki Release notes 1.23





Antonio Ropero
Twitter: @aropero

sábado, 27 de agosto de 2016

Nueva versión de OpenSSL

Se ha publicado una nueva versión de OpenSSL, la 1.1.0, con importantes novedades y solución a múltiples problemas y vulnerabilidades.

OpenSSL es un desarrollo "Open Source" que implementa los protocolos SSL y TLS, y que es utilizada por multitud de programas, tanto para implementar dichos protocolos (por ejemplo, HTTPS) como para emplear sus componentes criptográficos individuales (funciones de cifrado y "hash", generadores de claves, generadores pseudoaleatorios, etc).

La nueva versión 1.1.0 de OpenSSL, se considera una actualización mayor y abre una nueva rama de desarrollo, de ahí su importancia. Como es de esperar incorpora importantes novedades y la solución a diversas vulnerabilidades. Cabe señalar la eliminación de protocolos y algoritmos ya obsoletos e inseguros y el soporte de nuevos algoritmos  criptográficos.

  • Se ha incluido soporte para los nuevos algoritmos ChaCha20 (para cifrado simétrico) y Poly1305 (para autenticación).
         
  • La mayoría de las estructuras públicas de libcrypto y libssl se han hecho opacas incluyendo: BIGNUM y tipos asociados, EC_KEY y EC_KEY_METHOD, DH y DH_METHOD, DSA y DSA_METHOD, RSA y RSA_METHOD, BIO y BIO_METHOD, EVP_MD_CTX, EVP_MD, EVP_CIPHER_CTX, EVP_CIPHER, EVP_PKEY y tipos asociados, HMAC_CTX, X509, X509_CRL, X509_OBJECT, X509_STORE_CTX, X509_STORE, X509_LOOKUP, X509_LOOKUP_METHOD.
         
  • Igualmente las estructuras internas de libssl también se han hecho opacas.
         
  • Se elimina el soporte a SSLv2 y al conjunto de cifrado Kerberos.
         
  • RC4 también se ha eliminado de los conjuntos de cifrado por defecto en libssl.
         
  • Se ha retirado el soporte de cifrado de 40 y 56 bits de libssl.
         
  • Todos los archivos de cabecera públicos se han movido a include/openssl, para evitar los enlaces simbólicos.
         
  • Se ha añadido en libcrypto el soporte para modo OCB (Offset Codebook Mode).
         
  • También se ha añadido a las librerías libcrypto y libssl el sopote para operaciones criptográficas asíncronas.
         
  • Nuevos niveles de seguridad.
         
  • Se ha incluido soporte de los algoritmos scrypt y KDF (implementando TLS PRF como un KDF). Igualmente se soporta X25519, Certificate Transparency, HKDF y la autenticación entre pares RFC6698/RFC7671 DANE TLSA.
        
  • Ahora se pueden desactivar las interfaces obsoletas en tiempo de compilación, ya sea con respecto a la versión más reciente a través del argumento de configuración "no-deprecated", o a través de la opción "--api=1.1.0|1.0.0|0.9.8".

Entre las vulnerabilidades corregidas, cabe señalar que se mitigan los ataques Sweet32 (CVE-2016-2183). Este ataque podría permitir a un atacante remoto que monitorice y capture una gran cantidad de tráfico de una sesión cifrada 3DES en modo CBC del que se conozca algo de texto plano podrá llegar a descifrar algún texto. Este ataque afecta a cifrados en bloque de 64 bits como 3DES o Blowfish. En la nueva versión los conjuntos de cifrado 3DES y RC4 no se incluyen por defecto.

Se soluciona una fuga de memoria por un uso inadecuado en el método SRP_VBASE_get_by_user (CVE-2016-0798). Y un fallo en la comprobación de límites en el tratamiento de la extensión hearbeat TLS puede permitir la revelación de hasta 64k de memoria a un cliente conectado o un servidor (CVE-2014-0160).

La versión OpenSSL 1.1.0 está disponible desde

Más Información:

OpenSSL

OpenSSL 1.1.0 Series Release Notes

Changes between 1.0.2h and 1.1.0  [xx XXX xxxx]

On the Practical (In-)Security of 64-bit Block Ciphers

Sweet32: Birthday attacks on 64-bit block ciphers in TLS and OpenVPN



Antonio Ropero
Twitter: @aropero



viernes, 26 de agosto de 2016

Vulnerabilidades en vBulletin exponen más de 27 millones de cuentas

Más de 27 millones de cuentas de usuarios, la mayoría del dominio mail.ru, se han visto expuestas debido a vulnerabilidades no parcheadas en foros con software vBulletin.

vBulletin es un software desarrollado por vBulletin Solutions, para la creación y mantenimiento de foros en Internet. Está basado en PHP y MySQL y según la propia compañía más de 100.000 sitios funcionan bajo este sistema, incluyendo compañías como Electronic Arts, Sony, NASA o Steam.

En total se han visto afectadas más de 27 millones de cuentas de usuario a través de casi una docena de sitios web. La mayoría de las cuentas comprometidas, hasta 25 millones, están vinculadas a los foros de tres juegos (CFire, Parapa y Tanks) alojados bajo el dominio mail.ru. También se han visto expuestas, más de 190.000 cuentas de expertlaw.com y más de 100.000 cuentas en gamesforum.com.

Según el grupo LeakedSource en torno a la mitad de contraseñas han sido fácilmente obtenidas mediante herramientas de cracking, debido a que todos los sitios usan alguna variación de MD5 con o sin salt única. Algo que como ya hemos comentado no es nada recomendable.

"Not a single website used proper password
storage, they all used some variation of
MD5 with or without unique salts.
"

Entre los datos filtrados se encuentran nombres de usuario, direcciones de correo, contraseñas, números de teléfono, direcciones IP y cumpleaños.

Los dominios afectados han sido:
  • cfire.mail.ru
  • parapa.mail.ru
  • parapa.mail.ru (forums)
  • tanks.mail.ru
  • expertlaw.com
  • ageofconan.com
  • anarchy-online.com
  • freeadvice.com
  • gamesforum.com
  • longestjourney.com
  • ppcgeeks.com
  • thesecretworld.com (inglés)
  • thesecretworld.com (francés)
  • thesecretworld.com (alemán)

Todos los sitios comprometidos funcionaban con una versión sin parchear del software vBulletin, que permitía la realización de ataques de inyección SQL a través del complemento (add-on) incluido Forumrunner en versiones anteriores a la 4.2.2 o 4.2.3. La actualización estaba disponible desde mediados de junio. Una vez más, la importancia de mantener actualizado todo el software.

La compañía Funcom ha reconocido la intrusión y el compromiso de los datos de los usuarios de los foros TheSecretWorld.com, AgeofConan.com, Anarchy-Online.com y LongestJourney.com. Aunque confirman que el software se actualizó el día 19 de agosto no pueden determinar exactamente cuando se produjo la intrusión. Como medida de seguridad temporal Funcon ha reiniciado todas las contraseñas de estos foros.

No es la primera vez que algún tipo de vulnerabilidad en este popular gestor de foros expone las cuentas de los usuarios de un foro. En 2013 se anunció una intrusión en el servidor correspondiente a los foros de la comunidad de Ubuntu (ubuntuforums.org), también se habían sustraído cuentas de correos de los usuarios así como los hashes de las contraseñas de acceso a los foros. Incluso, el propio equipo de vBulletin se vio obligado a reconocer una intrusión en su sitio oficial que comprometió hasta 480.000 cuentas de usuarios en un ataque combinado sobre la propia vBulletin.com y sobre el foro de Foxit Software.

Más información:

Leaked Source. Mail.ru

una-al-dia (02/02/2016) Los sitios web que no amaban a las contraseñas

Security Update for vBulletin 4

una-al-dia (31/07/2013) Crónica del ataque a los foros de Ubuntu

una-al-dia (03/11/2015) Intrusión en los foros de vBulletin y Foxit Software

Data Breach on Funcom Forums




Antonio Ropero
Twitter: @aropero




jueves, 25 de agosto de 2016

Apple publica iOS 9.3.5 tras el descubrimiento de un spyware

Apple acaba de publicar la versión 9.3.5 de iOS, su sistema operativo para dispositivos móviles. Está versión está destinada a solucionar tres vulnerabilidades 0-day empleadas por un software espía.

Los problemas fueron descubiertos hace 10 días, por investigadores de Citizen Lab (Munk School de la Universidad de Toronto) y la compañía Lookout. Se trata de tres vulnerabilidades, bautizadas como Tridente, que forman una cadena de ataques que pueden permitir evitar toda la protección del sistema iOS. Una combinación que canaliza un ataque desde un simple click a un enlace a la elevación de privilegios dentro del dispositivo.

Este "Tridente" de vulnerabilidades se ha empleado en un spyware conocido como Pegasus, desarrollado según sus descubridores por la organización israelí NSO Group, una empresa con productos similares a los ofrecidos por Hacking Team.
Imagen de un folleto de NSO Group. Fuente: Citizen Lab

"Pegasus es altamente avanzado en su
uso de 0-days, ofuscación, cifrado y
explotación a nivel del kernel.
"

La cadena de vulnerabilidades funciona según la siguiente sucesión:

CVE-2016-4657: Un exploit para WebKit, que permite la ejecución del shellcode inicial cuando el usuario pulsa un enlace.
CVE-2016-4655: Un exploit para saltar la protección Kernel Address Space Layout Randomization (KASLR) que permite al atacante calcular la localización del kernel en memoria.
CVE-2016-4656: Vulnerabilidades a nivel del kernel iOS de 32 y 64 bits que permiten la ejecución de código en el kernel, empleadas para realizar un jailbreak del dispositivo y ejecutar software espía sin conocimiento del usuario.

La secuencia de ataque se realizaba mediante un clásico esquema de phishing: enviar un mensaje de texto, abrir el navegador, cargar una página, explotar las vulnerabilidades e instalar el software persistente para recopilar información. Todo ellos, realizado de forma invisible y silenciosa, de manera que las víctimas no llegan a saber que han sido comprometidos.

Según los investigadores de Lookout el software espía es altamente configurable, dependiendo del país de uso y el conjunto de características adquiridas por el usuario, podía permitir acceder a los mensajes, llamadas, correos electrónicos, registros y datos desde aplicaciones como Gmail, Facebook, Skype, WhatsApp, Viber, FaceTime, Calendar, Line, Mail.Ru, WeChat, SS, Tango y otras. El kit parece persistir incluso cuando el software del dispositivo se actualiza y podía actualizarse a sí mismo para reemplazar módulos o funcionalidades obsoletas.

El equipo de Citizen Lab ha rastreado los ataques a varios activistas de derechos humanos y periodistas de diferentes partes del mundo, mientras que Lookout se ha centrado en los detalles técnicos del malware, desde la cadena del exploit hasta su uso. Ambos grupos de investigadores han publicado completos, y muy interesantes, informes con análisis detallados de las vulnerabilidades, de cómo se han llevado a cabo los ataques y del software espía.

Esta nueva versión de iOS está disponible para los dispositivos Apple iPhone 4s y posteriores, iPad 2 y posteriores e iPod touch de 5ª generación. La actualización está disponible a través de iTunes o del propio dispositivo (en Ajustes/General/Actualización de software).

Este hallazgo nos permite comprobar el principio de "no hay sistema seguro". Quizás podemos encontrar más o menos malware orientado a una plataforma concreta. En Koodous, es continuo el crecimiento en volumen de detecciones de malware, algo que experimentamos a diario. Pero los exploits o vulnerabilidades no poseen una "plataforma preferente", todo aquello que ejecuta código es explotable. Ni iOS, ni Android ni lo que esté por llegar se libran.

Más información:

About the security content of iOS 9.3.5

Sophisticated, persistent mobile attack against high-value targets on iOS

The Million Dollar Dissident: NSO Group’s iPhone Zero-Days used against a UAE Human Rights Defender

Technical Analysis of Pegasus Spyware

una-al-dia (08/07/2015) Sombreros verdes y 400 gigas de caramelos



Antonio Ropero
Twitter: @aropero

miércoles, 24 de agosto de 2016

Corregidas vulnerabilidades en WordPress

Se ha publicado la versión 4.6 de WordPress que entre otras mejoras está destinada a solucionar dos vulnerabilidades, que podrían permitir la construcción de ataques cross-site request forgery o provocar condiciones de denegación de servicio.

Wordpress es un sistema de gestión de contenidos enfocado a la creación de blogs desarrollado en PHP y MySQL, ampliamente usado en la comunidad de bloggers debido a su facilidad de uso y sus características como gestor de contenidos.

El primer problema, con CVE-2016-6896, podría permitir a un atacante remoto autenticado aprovechar un fallo de traspaso de rutas en la función "wp_ajax_update_plugin()" de "ajax-actions.php" para leer datos de "/dev/random/" y agotar la fuente de entropía y de esta forma evitar la ejecución de scripts PHP.

Por otra parte, con CVE-2016-6897, una vulnerabilidad de cross-site request forgery; que podría permitir a un atacante remoto sin autenticar realizar acciones como un usuario autenticado, si consigue que la víctima cargue una página html específicamente creada.

Además está versión contiene la corrección de otros fallos y múltiples mejoras no relacionadas directamente con problemas de seguridad.

Se recomienda la actualización de los sistemas a la versión 4.6 disponible desde:

Más información:

Path traversal vulnerability in WordPress Core Ajax handlers

WordPress 4.6 “Pepper”

Version 4.6



Antonio Ropero
Twitter: @aropero

martes, 23 de agosto de 2016

Escalada de directorios en VMware vRealize Log Insight

VMware ha publicado una actualización de seguridad para corregir una vulnerabilidad en VMware vRealize Log Insight, que podría permitir a un atacante acceder a archivos del sistema afectado.

VMware es un software que permite ejecutar diferentes sistemas operativos en un mismo PC de forma virtual. VMware vRealize Log Insight ofrece una gestión de registros heterogénea y escalable con paneles de gestión y análisis. Especialmente orientado a entornos de cloud con un gran número de registros y datos.

El problema, con CVE-2016-5332, afecta a vRealize Log Insight 2.x y 3.x y reside en un filtrado inadecuado de las entradas del usuario, que podría permitir escalar directorios y acceder a cualquier archivo del sistema afectado. Este tipo de problemas se produce generalmente al no filtrar correctamente cadenas "..\", permitiendo escapar del propio entorno de trabajo del producto y acceder a otros archivos del sistema.

VMware ha publicado la  versión vRealize Log Insight 3.6.0 que soluciona el problema. Disponible desde

Más información:

VMSA-2016-0011
vRealize Log Insight update addresses directory traversal vulnerability.



Antonio Ropero
Twitter: @aropero

lunes, 22 de agosto de 2016

Antiguos dispositivos Fortinet afectados por un exploit de Equation

Al igual que Cisco, Fortinet también ha reconocido que uno de los exploits publicados de Equation Group también afecta a algunos de sus dispositivos anteriores a agosto de 2012.

La compañía ha indicado en un aviso que el firmware FortiGate (FOS) con fecha anterior a agosto de 2012 se ve afectado por un desbordamiento de búfer en el tratamiento de cookies. Lo vulnerabilidad podría permitir a un atacante remoto ejecutar código arbitrario y tomar el control de los dispositivos afectados.

Son vulnerables las versiones de FortiGate (FOS):
4.3.8 (y anteriores)
4.2.12 (y anteriores)
4.1.10 (y anteriores)
El firmware FOS 5.x no se ve afectado.

Se recomienda a los usuarios de dispositivos Fortinet adquiridos con anterioridad a agosto de 2012 comprobar la versión de su firmware y actualizar la versión a la 5.x o a la 4.3.9 (o superior) en modelos no compatibles con FortiOS 5.x.

Fortinet también confirma que continúa la investigación para comprobar que no existen más dispositivos afectados. De momento todas estas informaciones no hacen sino incrementar el interés en torno al resto del material

Más información:

Cookie Parser Buffer Overflow Vulnerability

una-al-dia (19/08/2016) A la venta el arsenal del Equation Group

una-al-dia (20/08/2016) Dispositivos Cisco afectados por el arsenal de Equation Group




Antonio Ropero

Twitter: @aropero

domingo, 21 de agosto de 2016

Nuevas versiones de PHP corrigen múltiples vulnerabilidades

El equipo de desarrollo de PHP ha publicado actualizaciones para las ramas 7.0 y 5.6 de PHP para solucionar múltiples vulnerabilidades que pueden ser aprovechadas para provocar denegaciones de servicio e incluso comprometer los sistemas afectados.

Son múltiples las vulnerabilidades corregidas, aunque ninguna de ellas tiene asignado CVE. Afectan a un gran número de componentes, que además del propio core, incluyen Bz2, Calendar, COM, CURL, DOM, EXIF, Filter, FPM, GD, Intl, mbstring, Mcrypt, Opcache, PCRE, PDO_pgsql, Reflection, SimpleXML, SNMP, SPL, SQLite3, Standard, Streams, XMLRPC, Wddx y Zip.

Entre los problemas corregidos cabe señalar múltiples desbordamientos de entero, inyección de datos en la sesión PHP, fugas de memoria, uso de memoria después de liberarla, desbordamientos de búfer o referencias a puntero nulo.

Se recomienda actualizar a las nuevas versiones 7.0.10 y 5.6.25 desde

Más información:

PHP 7 ChangeLog

Version 5.6.25



Antonio Ropero

Twitter: @aropero

sábado, 20 de agosto de 2016

Dispositivos Cisco afectados por el arsenal de Equation Group

Ya hemos comentado la publicación de un grupo de exploits empleado por Equation Group como una muestra de algo que se supone mucho más grande. Pero esa simple muestra incluía un exploit 0day que permitía la ejecución de código en dispositivos Cisco y que ha obligado a la compañía a actuar con carácter de urgencia.

Realmente entre el material filtrado se incluía código que explotaba dos vulnerabilidades en dispositivos Cisco ASA y firewalls Cisco PIX. Si bien una de ellas ya había sido corregida en 2011, aunque la compañía de San Francisco ha publicado un nuevo aviso para incrementar su visibilidad y asegurar que todos los usuarios con versiones de software afectadas puedan protegerse contra este grupo de exploits.

La nueva vulnerabilidad anunciada, considerada 0day, reside en un desbordamiento de búfer en el código del protocolo SNMP (Simple Network Management Protocol) del software Cisco Adaptive Security Appliance (ASA) que podría permitir a atacantes remotos sin autenticar ejecutar código arbitrario en el sistema. Se le ha asignado el CVE-2016-6366.

Afecta a los siguientes productos:
  • Cisco ASA 5500 Series Adaptive Security Appliances
  • Cisco ASA 5500-X Series Next-Generation Firewalls
  • Cisco ASA Services Module para Cisco Catalyst 6500 Series Switches y Cisco 7600 Series Routers
  • Cisco ASA 1000V Cloud Firewall
  • Cisco Adaptive Security Virtual Appliance (ASAv)
  • Cisco Firepower 4100 Series
  • Cisco Firepower 9300 ASA Security Module
  • Cisco Firepower Threat Defense Software
  • Cisco Firewall Services Module (FWSM)*
  • Cisco Industrial Security Appliance 3000
  • Cisco PIX Firewalls

Funcionamiento del exploit
http://blogs.cisco.com/security/shadow-brokers
Se ven afectadas todas las versiones de SNMP. El atacante deberá conocer el nombre de comunidad SNMP para explotar la vulnerabilidad.

En la actualidad Cisco confirma que está trabajando en actualizaciones para las versiones afectadas. Se recomienda a los administradores que solo usuarios de confianza tengan acceso a SNMP y monitorizar los sistemas afectados mediante el comando "snmp-server".
Se debe seguir el capítulo SNMP de la Guía de configuración de Cisco ASA para configurar adecuadamente este protocolo en los dispositivos:
Los nombres de comunidad SNMP son como contraseñas, y deben recibir el mismo tratamiento que cualquier otra contraseña.


Por otra parte, una segunda vulnerabilidad que aunque ya fue corregida en 2011, por su gravedad y repercusión ha merecido su tratamiento como si fuera nueva. El problema, con CVE-2016-6367, reside en una vulnerabilidad en la interfaz de línea de comandos del software Cisco Adaptive Security Appliance (ASA) que a través de determinados comandos no válidos podría permitir a atacantes locales autenticados ejecutar código arbitrario en los sistemas afectados.

Se ven afectadas las versiones de software Cisco Adaptive Security Appliance (ASA) anteriores a la 8.4(3) en los siguientes productos:
  • Cisco ASA 5500 Series Adaptive Security Appliances
  • Cisco ASA 5500-X Series Next-Generation Firewalls
  • Cisco PIX Firewalls
  • Cisco Firewall Services Module (FWSM)
Cisco ha publicado las versiones 8.4(3) y 9.0(1) que corrigen este problema.

Más información:

una-al-dia (19/08/2016) A la venta el arsenal del Equation Group

The Shadow Brokers EPICBANANAS and EXTRABACON Exploits


Cisco Adaptive Security Appliance SNMP Remote Code Execution Vulnerability

Cisco Adaptive Security Appliance CLI Remote Code Execution Vulnerability



Antonio Ropero
Twitter: @aropero

viernes, 19 de agosto de 2016

A la venta el arsenal del Equation Group

El día 13 de agosto una cuenta de twitter anunciaba a varios medios una subasta muy peculiar: todo el arsenal de exploits usado por Equation, grupo vinculado supuestamente a la NSA. Para dar credibilidad, parte de los archivos han sido publicados y hasta ahora los análisis de éstos parecen confirmar la veracidad de la información.

No nos engañemos, todos sabemos que hay una guerra fría entre naciones, hacktivistas y grupos independientes con sus propios intereses en la red. Los ataques son continuos entre unos y otros. No es una guerra visible, de titulares abriendo telediarios o material gráfico que muestre la parte más inhumana de nuestra humanidad. Sólo de vez en cuando la punta del iceberg asoma para recordarnos que el fuego cruzado de esa guerra se debate entre paquetes TCP y se usan armas compuestas de ceros y unos.


¿Quién o quiénes son The ShadowBrokers?

Poco se sabe de momento, no existen referencias en el pasado. El mismo día 13, la información sobre la subasta del material supuestamente extraído apareció simultáneamente en varios sitios de Internet. Nunca antes se ha tenido noticia de un grupo con dicho nombre.

Varias voces relacionan el grupo con Rusia en un imbricado juego político de venganzas y atribuciones.

¿Qué se está subastando?

¿Recordáis la revelación de documentos de Edward Snowden en 2013? Esta es una imagen de uno de los muchos documentos clasificados filtrados, observad la mención al nombre en clave BANANAGLE.

Y aquí el supuesto código de la herramienta usado por Equation Group, parte de la muestra liberada como prueba por Shadow Brokers.

Luego si se demuestra que el conjunto de archivos subastados es legítimo y pertenece a Equation Group cerraría un círculo que lleva tiempo esgrimiéndose a base de teorías y confirmaría tanto la existencia del grupo, ya anunciada por Kaspersky en 2015 cómo su enlace con la NSA.

Básicamente y como anunciábamos al comienzo, el grueso de los archivos contiene todo el código fuente y objeto de exploits, puertas traseras y otras muchas herramientas usadas en las operaciones de Equation Group. Sería un filtrado de proporciones gigantescas con un material sin precedentes que ya está empezando a generar parches para tapar los 0days de varios fabricantes. Estos exploits han sido analizados a partir de la muestra de archivos liberada por ShadowBrokers, una pequeña porción del resto que permanece cifrado.

¿Veremos el resto? Es una noticia viva. Actualmente el grupo mantiene una subasta en la que pide un millón de bitcoins a cambio del resto de archivos. No sabemos si es una estrategia geopolítica de cabeza de caballo o van en serio y se conformarán con una cantidad sensiblemente inferior.


¿Hay datos sobre cómo ha sido el supuesto hackeo?

Todo son especulaciones. ShadowBrokers no ha publicado ningún escrito que indique como ha realizado la filtración. Dentro de las hipótesis remarcables que están dejando las redes es la que tiene el propio Snowden 

o el seguidísimo "the grugq". 


Indica Snowden que es habitual el rastreo e infiltración en servidores de control y comando o proxies usados por las infraestructuras del malware que emplean en las operaciones de campo. Práctica común en cualquier bando, que permite extraer inteligencia toda vez que permite reforzar las defensas propias. Lo que sí se parece descartar es un ataque directo a la infraestructura de la NSA sino que habría sido sobre la usada por Equation Group.

En este sentido es una estrategia clásica de inteligencia (lo que hasta hace unas décadas se llamaba sin eufemismos mercantilistas: "espionaje"), dejar al enemigo actuar para aprender sobre sus movimientos, controlar sus pasos y avances e incluso inducirle al engaño aprovechando sus propios medios (ahora cuadra la ‘I’  de integridad de la triada CIA ¿eh? guiño, guiño).

Aun así, todo es teoría e hipótesis, nada hay confirmado, incluso hay quien no descarta una operación de bandera falsa. Lo dicho, todo por escribir.


¿Y ahora?

Posiblemente los nuevos análisis del material filtrado vayan regando de CVEs y parches los días venideros. Nos queda pendiente vigilar si el resto sería publicado de alguna forma o se trata de una desconcertante estrategia. 

Por supuesto ni que decir, si administras alguno de los dispositivos afectados por los exploits publicados toca parchear.

Más información:

The Shadow Brokers EPICBANANAS and EXTRABACON Exploits

Cisco Event Response: Cisco ASA SNMP and CLI Remote Code Execution Vulnerabilities


David García
Twitter: @dgn1729

jueves, 18 de agosto de 2016

Vulnerabilidades en IBM WebSphere Application Server

IBM ha publicado actualizaciones para corregir dos vulnerabilidades en IBM WebSphere Application Server que podrían obtener información sensible o evitar restricciones de seguridad.

IBM WebSphere Application Server (WAS) es el servidor de aplicaciones de software de la familia WebSphere de IBM. WAS puede funcionar con diferentes servidores web y sistemas operativos incluyendo Apache HTTP Server, Netscape Enterprise Server, Microsoft Internet Information Services (IIS), IBM HTTP Server en sistemas operativos AIX, Linux, Microsoft, Windows y Solaris.

El primer problema, con CVE-2016-0377, podría permitir a un atacante obtener información sensible debido a la inadecuada configuración de la cookie CSRFtoken. Afecta a las versiones de IBM WebSphere Application Server 7.0, 8.0, 8.5 y 8.5.5. IBM ha publicado el APAR PI56917 para solucionar esta vulnerabilidad.

Por otra parte, con CVE-2016-0385, un desbordamiento de búfer que podría permitir evitar restricciones de seguridad y visualizar datos a los que no esté autorizado. El problema solo se produce en entornos con la propiedad HttpSessionIdReuse activa. Afecta a las versiones de WebSphere Application Server 7.0, 8.0, 8.5, 8.5.5, 9.0 y Liberty. IBM ha publicado el APAR PI60026 para corregir este fallo.

Más información:

Security Bulletin: Information Disclosure in IBM WebSphere Application Server (CVE-2016-0377)

Security Bulletin: Bypass security restrictions in WebSphere Application Server (CVE-2016-0385)



Antonio Ropero

Twitter: @aropero