Corrigieron dos vulnerabilidades en Asterisk, en sus versiones 1.8.x y 10.x, que permiten a atacantes remotos provocar denegaciones de servicio.
Asterisk es una implementación de una central telefónica (PBX) de código abierto. Se pueden conectar un número determinado de teléfonos para hacer llamadas entre sí e incluso conectarlos a un proveedor de VoIP para realizar comunicaciones con el exterior. Asterisk es ampliamente utilizado e incluye un gran número de características: buzón de voz, conferencias, IVR, distribución automática de llamadas, etc. Además el software creado por Digium está disponible para plataformas Linux, BSD, MacOS X, Solaris y Microsoft Windows.
La primera de las vulnerabilidades, con identificador AST-2012-007 (CVE-2012-2947), está basada en el controlador de canal "IAX2". Un atacante remoto puede forzar a la aplicación a intentar usar un puntero no válido pudiendo hacer que dejase de funcionar. Esta vulnerabilidad fue reportada en marzo de 2012.
La segunda (CVE-2012-2948), trata de un error de referencia a puntero nulo en el controlador de canal "SCCP" que, usado por un atacante remoto, causaría que el servicio dejase de estar disponible para los usuarios legítimos. Esta fue reportada el 22 de mayo.
Las vulnerabilidades se corrigen en las versiones 1.8.12.1 y 10.4.1 publicadas en los boletines AST-2012-007 y AST-2012-008.
Si quieren más información pueden visitar: http://unaaldia.hispasec.com/2012/05/solucionadas-dos-vulnerabilidades-en.html
Wireshark publicó tres boletines de seguridad informando de múltiples vulnerabilidades que afectan a las ramas 1.4.x y 1.6.x.
Wireshark es una aplicación de auditoría orientada al análisis de tráfico en redes. Su popularidad es muy alta, debido a que soporta una gran cantidad de protocolos y es de fácil manejo. Además Wireshark es software libre y se ejecuta sobre la mayoría de sistemas operativos Unix y compatibles, así como en Microsoft Windows.
Las tres vulnerabilidades publicadas tienen denegación de servicio y como vector el uso de un paquete de trazas especialmente manipulado:
* wnpa-sec-2012-08: Varios disectores ('ANSI MAP', 'ASF', 'BACapp', 'Bluetooth' 'HCI', 'IEEE 802.11', 'IEEE 802.3', 'HTP' y 'R3') pueden provocar que la aplicación entre en un bucle infinito o lo suficientemente largo como para afectar a la disponibilidad de la aplicación.
* wnpa-sec-2012-09: La aplicación se puede cerrar de forma inesperada debido a un error en la asignación de memoria en el disector "DIAMETER".
* wnpa-sec-2012-10: Debido a un error en el manejo de memoria en los procesos "SPARC" y "Itanium" la aplicación dejaría de funcionar.
Estas vulnerabilidades se han solucionado en las versiones 1.4.13 y 1.6.8. Ambas pueden ser descargadas desde: http://www.wireshark.org/download.html
Si quieren más información pueden visitar: http://unaaldia.hispasec.com/2012/05/multiples-vulnerabilidades-en-wireshark.html
Dmitry Tarakanov de Kaspersky descubrió un nuevo plugin para SpyEye (una de las familias de troyanos bancarios más utilizados) que permite grabar a través de la cámara de la computadora imágenes del usuario mientras
está siendo robado por el troyano.
Existen alrededor de 40 plugins diferentes para la rama 1.3 de SpyEye, que es la más utilizada. Uno de los últimos detectados se denomina "flashcamcontrol.dll". Esta librería modifica los permisos de FlashPlayer para permitir a los documentos flash descargados desde cualquier página web, la grabación con la cámara y el micrófono sin pedir permiso al usuario.
Una vez infectado, cuando la víctima visita la página de su banco, descarga un archivo swf (flash) desde un punto controlado por el atacante y se inyecta en la web legítima del banco. Este archivo comenzará la grabación, enviándola a un servidor remoto a través del protocolo Real Time Messaging Protocol (rmpt). En realidad el atacante se asegura de que puede grabar con la cámara con otro archivo adicional llamado "camara_test.sfw", que pregunta al usuario por otra cámara cuando no puede grabar a través de la definida por defecto.
¿Por qué grabar al usuario?
Tarakanov se plantea la utilidad de grabar al cliente mientras está siendo robado. La mayoría de los bancos piden al usuario un dato adicional de autenticación cuando realizan una transacción, ya sea un código de una tarjeta de coordenadas o el código devuelto en forma de SMS por el banco. Los troyanos han solucionado este "problema" bien modificando la página web que la víctima "ve" en su navegador para que requiera todas las coordenadas de la tarjeta, bien infectando también el celular. La última modalidad, la "transferencia ficticia" implica que al usuario se le indica que debe hacer una transferencia de prueba usando el código que el banco le enviará al teléfono. En este esquema, es en realidad la víctima la que está realizando una transferencia al atacante sin que lo sepa, a través de una interfaz simulada. Por tanto, Tarakanov afirma que se desea estudiar cómo reacciona el usuario ante este esquema de ingeniería social.
Lo interesante es que SpyEye sigue activo, desarrollándose y buscando nuevas vías con las que eludir los avances técnicos de autenticación de la banca electrónica. Ante la mejora de los dos factores de autenticación, a los atacantes les queda sobre todo trabajar en la ingeniería social, y este módulo puede que vaya encaminado hacia ese objetivo.
Si quieren más información pueden visitar: http://unaaldia.hispasec.com/2012/05/nuevas-versiones-de-spyeye-graban.html
Red Hat publicó dos actualizaciones, con importancia moderada, de los paquetes de "postgresql" y "postgresql84" para las versiones 5 y 6 de su producto Enterprise Linux Server.
La primera, con código RHSA-2012:0677-1, afecta al paquete "postgresql" de la versión 5 de Red Hat Enterprise Linux Server y contiene la corrección de las siguientes vulnerabilidades:
* CVE-2012-0868: Un error de filtrado al generar un archivo con 'pg_dump' que puede ser aprovechado por un atacante remoto para ejecutar código SQL arbitrario y conseguir escalar privilegios.
* CVE-2012-0866: Debido a una falta de comprobación de permisos en los disparadores (triggers) en 'PostgreSQL' un atacante remoto ejecutaría funciones para las que no tiene permisos usando un disparador especialmente manipulado para ello.
La actualización siguiente, con código RHSA-2012:0678-1, afecta a los paquetes "postgresql84", para la versión 5, y "postgresql", para la versión 6 de Red Hat Enterprise Linux Server. En esta se corrigen también las vulnerabilidades anteriores:
* CVE-2012-0867: A causa de un error de validación del campo "Common Name" un atacante remoto puede llegar a suplantar la identidad de una entidad legítima usando un certificado especialmente manipulado. Red Hat recomienda actualizar los sistemas afectados vía Red Hat Network: http://rhn.redhat.com/
Si quieren más información pueden visitar: http://unaaldia.hispasec.com/2012/05/actualizacion-de-postgresql-para-red.html
Publicaron dos vulnerabilidades para los routers Belkin N150 Wireless Router y Netgear Wireless Extreme (WNDRMAC) N600 que pueden ser utilizadas para revelar información sensible.
La primera vulnerabilidad en el router inalámbrico Belkin N150, permite revelar información sensible. La falla se debe a que el script 'login.stm' puede mostar el hash MD5 de la contraseña del administrador en la interfaz web del router.
Esta vulnerabilidad fue descubierta por Avinash Tangirala, y afecta a la versión F7D1301 v1 (01A), aunque también pueden verse afectadas otras versiones y modelos.
Por otra parte, Nathaniel Carew descubrió otra vulnerabilidad en el router Netgear Wireless Extreme (WNDRMAC) N600 que también podría ser utilizada para revelar información sensible.
La vulnerabilidad está causada por la divulgación de las preguntas y respuestas utilizadas por la funcionalidad de restablecimiento de contraseñas, en el código fuente HTML devuelto por 'unauth.cgi' cuando esta funcionalidad se encuentra activada.
https://blogger.googleusercontent.com/img/b/R29vZ2xl/AVvXsEhd6LJGCEFVCKwKvoOIl6z6gDkP-NNDigBdNgKsBRSZ2oWyJ2j-ryMeuo9gUSH0XPETyPUj68p0ZefgqUj-eG5zJ3x9QM2gZNlU6RsQZUhBqwWGBWHGIsu8YzBNPZsE96KyRVhbnqIlRj4/s1600/passwd_routers_html
Como solución se recomienda desactivar la funcionalidad de restablecimiento de contraseñas.
Ninguna de estas vulnerabilidades tiene asignado identificador CVE, ni existe solución oficial por parte de los fabricantes.
Si quieren más información pueden visitar: http://unaaldia.hispasec.com/2012/05/revelacion-de-informacion-en-los.html
Han descubierto una vulnerabilidad en sudo que permite a un atacante local eludir determinadas restricciones de seguridad. La falla afecta a casi todas las distribuciones basadas en el kernel Linux.
Sudo es una herramienta de administración utilizada en las distribuciones basadas en el kernel Linux. Permite a los usuarios ejecutar comandos con los privilegios de otro de forma controlada y segura. Sudo permite además ejecutar comandos en hosts remotos especificados en el archivo 'sudoers' mediante su nombre de máquina, IP, grupo de red, o dirección de red.
Jan Lieskovsky descubrió esta vulnerabilidad identificada como CVE-2012-2337. Se debe a un error en la manera en que se concede el acceso a un determinado host, cuando existen múltiples máscaras de red en la parte de configuración de 'host' y 'host_list' del archivo 'sudoers'.
La falla se introdujo cuando se agregó el soporte para IPv6 a sudo, y podría producir una coincidencia en direcciones de red IPv4 cuando no debe. Esto permite a usuarios autorizados en el archivo 'sudoers' realizar un salto de restricciones. De esta forma podrían ejecutar comandos sudo en cualquier host, independientemente de la configuración 'host_list', e incluso si la configuración para esa máscara de red impide la ejecución de dichos comandos.
Si en el archivo 'sudoers' no se incluyen redes IP para especificar el host, la vulnerabilidad no tiene ningún efecto. Por tanto este problema no alcanza la gravedad de la reciente falla descubierta a finales de enero que permitía a cualquier atacante local convertirse en root.
Se encuentran afectadas por esta vulnerabilidad las versiones de sudo de la 1.6.9p3 hasta la 1.8.4p4. Desde la página oficial se pueden descargar las versiones de sudo 1.8.4p5 y 1.7.9p1 que corrigen esta falla. Muchas distribuciones han comenzado a distribuir paquetes propios que la solucionan.
Si quieren más información pueden visitar: http://unaaldia.hispasec.com/2012/05/salto-de-restricciones-en-sudo-en.html
Han revelado tres vulnerabilidades en OpenOffice y LibreOffice que permiten llevar a cabo una denegación de servicio y la ejecución de código arbitrario.
OpenOffice y LibreOffice son suites ofimáticas de código abierto. Ambas cuentan con aplicaciones de hojas de cálculo (Calc), procesador de textos (Writer), bases de datos (Base), presentaciones (Impress), gráficos vectorial (Draw), y creación y edición de fórmulas matemáticas (Math).
Tielei Wang descubrió una vulnerabilidad identificada como CVE-2012-1149, que se debe a un error de desbordamiento de enteros en el módulo 'vclmi.dll' al asignar memoria para un objeto de imagen integrado en un documento. Un atacante remoto puede aprovechar esta vulnerabilidad para ejecutar código arbitrario si la víctima abre un documento DOC que incluya un objeto de imagen especialmente manipulado.
Otro problema es una falla en libwpd que podría causar una sobrescritura de memoria. Este error se puede explotar por un atacante a través de un documento WordPerfect (con formato WPD) especialmente manipulado, para lograr ejecutar código arbitrario de forma remota. Esta vulnerabilidad ha sido descubierta por Kestutis Gudinavicius, y tiene asignado el identificador CVE-2012-2149.
Sven Jacobias ha reportado otra vulnerabilidad debida a un error de control en la asignación de memoria en los filtros 'msdffimp.cxx' localizados en 'filter/source/msfilter'. Un atacante remoto puede llevar a cabo una denegación de servicio utilizando un documento PowerPoint con registros especialmente manipulados. Se le ha asignado el identificador CVE-2012-2334.
Estas vulnerabilidades afectan a OpenOffice 3.3 y 3.4 Beta en todas las plataformas y a las versiones de LibreOffice anteriores a la 3.5.3.
Para corregir estas vulnerabilidades, se han publicado OpenOffice 3.4, y LibreOffice 3.5.3. Se encuentran disponibles para su descarga desde las páginas oficiales.
Si quieren más información pueden visitar: http://unaaldia.hispasec.com/2012/05/vulnerabilidades-en-openoffice-y.html
Roee Hay (@roeehay), del equipo de IBM Application Security Research Group, publicó una vulnerabilidad en los sistemas Android que afecta, al menos, a la versión 2.3.7 y permite la revelación de información sensible.
La vulnerabilidad se encuentra en unas incorrectas políticas de seguridad a la hora de gestionar y controlar el acceso a las bases de datos SQLite Journal del sistema.
Cuando se instala un programa, Android gestiona los datos generados para las aplicaciones que soporten SQLite guardándolos en la ruta:
/data/data/<aplicación>/databases
Al utilizar SQLite, se producen una serie de 'journals' o respaldos que generalmente poseen el nombre del programa más la extensión "–Journal". La falla es que no se limita correctamente el acceso a estos archivos. Se ha comprobado el establecimiento de permisos de acceso totales, tanto de carpeta como de archivo para todos los usuarios. En concreto:
- La carpeta de datos de programa posee permisos de ejecución para todos los usuarios.
- El directorio: '/data/data/<aplicación>/databases' posee permisos de lectura/escritura globales: [rwxrwx--x]
- Y como los 'journals' de la base de datos son creados en la carpeta '/databases' con permisos [-rw-r--r--], éstos pueden ser leídos por cualquier aplicación.
Un atacante puede distribuir una aplicación especialmente manipulada que, utilizando SQLite, tendría acceso a los logs de historiales, chats, mensajes e incluso contraseñas.
Como demuestra la prueba de concepto (con código) y video publicado por el investigador, se comprueba el acceso al historial y la caché del navegador: http://www.youtube.com/watch?v=oCXLHjmH5rY
La vulnerabilidad ya ha sido reportada y corregida por el del Android Security Team en la versión 4.0.1
Si quieren más información pueden visitar: http://unaaldia.hispasec.com/2012/05/sqlite-journal-revelacion-de.html
Apple publicó la versión 5.1.7 de Safari para Mac OS X y Windows. Además de solucionar diferentes vulnerabilidades, esta versión introduce una nueva característica: Deshabilita las versiones no actualizadas del plugin Adobe Flash Player.
Al instalar en Mac OSX el nuevo Safari, éste reconocerá la versión de Adobe Flash Player que se esté ejecutando y, en caso de ser anterior a la 10.1.102.64, el navegador moverá los archivos de esta a un directorio diferente. Además, se mostrará una ventana de diálogo informando del problema e instando a la descarga de una versión actualizada de la aplicación desde el sitio web de Adobe. Los usuarios que por alguna razón necesiten mantener esta versión podrán volver a activar a través del panel Internet Plugins.
Hay que señalar que la versión bloqueada, la 10.1.102.64 del plugin Adobe Flash Player data del 4 de noviembre de 2010. Desde entonces han aparecido unas 20 versiones más, la mayoría para solucionar problemas de seguridad. Por lo tanto, la medida carece de la efectividad que se le podía presuponer en un principio. Se abre una ventana de exposición demasiado amplia para aprovechar otros ataques.
Este es un movimiento parecido al que ha hecho Firefox, bloqueando las versiones no actualizadas de Java. También se emparenta con la excelente filosofía que tomó Chrome hace tiempo, al gestionar él mismo la actualización de los plugins que acompañan al navegador, y que le ha ofrecido muy buenos resultados en seguridad.
Estas nuevas estrategias de los navegadores atestiguan un giro para atacar el punto débil de los navegadores actuales: sus plugins. Si bien los navegadores implementan medidas de seguridad adicionales que en teoría deberían protegerlos, los exploits se ayudan de la inseguridad de este software para conseguir ataques efectivos y eludirlas. Los navegadores están tomando una política en la que intentan liberar al usuario de la gestión de sus plugins, o bien alertarlos de forma más agresiva sobre la inseguridad que supone mantenerlos desactualizados.
Si quieren más información pueden visitar: http://unaaldia.hispasec.com/2012/05/nueva-version-de-safari-bloquea.html
Han reportado dos vulnerabilidades en Hitachi IT Operations Director que permiten llevar a cabo un ataque Cross-Site Scripting y una denegación de servicio.
Hitachi IT Operations Director es un software de gestión de sistemas que permite automatizar tareas relacionadas con el ciclo de vida de las infraestructuras TI, administrar las políticas de seguridad, y auditoría de PCs, gestionar activos de hardware, licencias de software y contratos, realizar instalaciones en un único paso, distribución programada de software, etc.
La primer vulnerabilidad es debida a la falta de comprobación de determinadas entradas antes de devolverlas al usuario. Esto puede ser aprovechado de forma remota para realizar un ataque XSS (Cross-Site Scripting) y lograr ejecutar código HTML y Javascript arbitrario en el navegador de un usuario.
La otra vulnerabilidad se debe a un error no especificado y podría provocar una denegación de servicio.
Las versiones afectadas son desde la 02-50-01 hasta la 02-50-07, y desde la 03-00 hasta la 03-00-07.
Hitachi publicó la versión 03-00-08 de IT Operations Director que corrige ambas vulnerabilidades.
Si quieren más información pueden visitar: http://unaaldia.hispasec.com/2012/05/vulnerabilidades-en-hitachi-it.html
El equipo de Opera acaba de lanzar la versión 10.64 de su navegador. Con esto se soluciona una vulnerabilidad de ejecución de código calificada por el fabricante como crítica.
La vulnerabilidad provoca una denegación de servicio o incluso la ejecución de código arbitrario de manera remota. Está causada por la introducción de URLs especialmente construidas que pueden causar que el navegador reservara una cantidad de memoria incorrecta para almacenarlas y se sobrescribieran zonas de memoria no relacionadas con Opera con instrucciones controladas por el atacante.
Esta actualización también soluciona cierto comportamiento de versiones anteriores, que provoca que al utilizar "On-Demand-Plugins" ciertos sitios seguros dejaran de serlo.
La actualización está disponible para Windows, Linux y Mac. Para los dos primeros, el salto es de dos versiones, debido a que la actualización 11.63 solamente fue lanzada para el sistema operativo de Apple.
Si quieren más información pueden visitar: http://unaaldia.hispasec.com/2012/05/nueva-version-de-opera-1164-soluciona.html
Han publicado seis vulnerabilidades que afectan a SAP NetWeaver 7 y que permiten a un atacante remoto provocar condiciones de denegación de servicio y ejecutar código arbitrario.
NetWeaver es una plataforma compuesta por diferentes productos SAP cuyo objetivo es lograr una mejor integración con las aplicaciones, utilizar estándares para asegurar la interoperabilidad, aportar flexibilidad, y reducir costos.
Las vulnerabilidades existen en diferentes desbordamientos de búfer en el servicio "Dispatcher" en el tratamiento de paquetes SAP Diag específicamente creados. Un atacante remoto puede explotar estos problemas para lograr la ejecución de código arbitrario.
SAP publicó la nota de seguridad 1687910 en relación a estos problemas. https://service.sap.com/sap/support/notes/1687910
Si quieren más información pueden visitar:
http://unaaldia.hispasec.com/2012/05/ejecucion-remota-de-codigo-en-sap.html
