CLICK HERE FOR THOUSANDS OF FREE BLOGGER TEMPLATES

miércoles, 29 de octubre de 2008

Una-al-día cumple 10 años


Hoy, 28 de octubre, se cumple el décimo aniversario de "una-al-día",
primer diario de información técnica sobre seguridad informática
en español. Una década informando puntualmente sobre virus,
vulnerabilidades, fraudes, alertas, y reflexiones sobre la seguridad
en Internet. 3.657 noticias. Aniversarios anteriores en Hispasec se
han caracterizado por una sobria mención o directamente han pasado
desapercibidos. En esta ocasión, hemos decidido festejar esta cifra
tan redonda con algunas sorpresas.

Diez años en la Red es mucho tiempo. Ha sido necesario sobrevivir al
cambio en el modelo económico sufrido a principios de esta década (que
a tantos servicios web dejó atrás), o a la avalancha y saturación de
información que está proporcionando hoy la web 2.0... se han producido
muchos cambios en Internet en general y en la seguridad en particular,
y los hemos intentado reflejar día a día, informando de la única forma
que sabemos: con independencia y honestidad. Estamos muy orgullosos
de seguir produciendo una-al-día y poder ofrecerlas a nuestros
suscriptores, que entre todos los canales de distribución, suman
muchas decenas de miles.

Cuando Bernardo Quintero escribió la primera una-al-día: "28/10/1998
Service Pack 4, los problemas de la solución" no podía ni imaginar que
diez años después el servicio continuaría, que lo haría en Hispasec,
proyecto web fundado exactamente dos meses después del primer envío, a
partir del éxito de los boletines iniciales. En aquel momento, otros
proyectos posteriores como Virustotal.com eran solo un vago concepto
todavía. Pero sobre todo, no podíamos imaginar que 10 años después
una-al-día e Hispasec seguiría siendo un respetado referente en
seguridad para muchos hispanohablantes o que Virustotal.com se
convertiría en un estándar de facto para el envío de malware en todo el
mundo, que procesa 60.000 muestras cada día. Es un éxito que agradecemos
y que asumimos con responsabilidad.

Es gratificante pensar que en estos diez años, hemos llegado incluso a
un cambio generacional. Muchos profesionales reconocidos eran apenas
adolescentes cuando comenzó el servicio de publicación diario. Hoy desde
sus puestos de trabajo, todavía confían en la información que a diario
les ofrece una-al-día.

Este décimo aniversario pensamos que merece una mención especial. Desde
agosto, hemos conseguido arañar algo de tiempo de nuestras agendas para
preparar varias sorpresas que esperamos que agraden a todo el mundo. Han
supuesto un importante esfuerzo y se han concebido como regalo especial
para todos los seguidores del boletín diario.

Durante las próximas semanas, pedimos a nuestros lectores que estén
especialmente atentos a los boletines, porque iremos descubriendo las
sorpresas en sucesivas publicaciones.

Gracias a todos. En especial, a nuestros fieles suscriptores: desde la
primera persona que leyó el boletín en octubre de 1998, hasta el usuario
del último correo que se ha suscrito al servicio hace apenas unos
minutos.

Opina sobre esta noticia:
http://www.hispasec.com/unaaldia/3657/comentar

lunes, 20 de octubre de 2008

Activar los killbits y el índice de explotabilidad, novedades en los boletines de Microsoft



Microsoft está siguiendo una nueva política con la que intenta mejorar
sus boletines de seguridad. Este mes ha introducido un nuevo valor
llamado "índice de explotabilidad" (exploitability index) que indica
las posibilidades de que se cree un exploit para cada vulnerabilidad.
Además, se está proponiendo (por fin) activar el mayor número de
killbits posibles para evitar ataques a través de ActiveX vulnerables.

En octubre Microsoft ha incluido por primera vez en sus boletines el
"exploitability index", un valor que intenta predecir la posibilidad de
que los atacantes creen código capaz de aprovechar la vulnerabilidad.
Los valores posibles que asignará Microsoft son:

* Consistent exploit code likely: Es probable la creación de un exploit
consistente.
* Inconsistent exploit code likely: Es probable la existencia de un
exploit incosistente.
* Functioning exploit code unlikely: Es improbable la existencia de un
exploit funcional.

Refiriéndose con "consistencia" a las probabilidades que funcione bajo
la mayoría de las circunstancias y la mayor parte de las veces. Esta
forma de puntuar el riesgo es exclusiva de Microsoft, y evaluada solo
por su parte.

Por ejemplo, en esta última tanda de boletines, se resuelven 20
vulnerabilidades. Según Microsoft 8 tienen posibilidades de que se cree
un exploit consistente para ellas, y cuatro son poco probables de ser
aprovechadas. Para otras incluso, como el fallo en Windows Printing
Service de Internet Information Services (IIS) Web server, se tiene
constancia de que están siendo activamente aprovechadas. Para una de las
que predijo la posibilidad de un exploit consistente, efectivamente se
ha publicado posteriormente código capaz de aprovechar el fallo.

Microsoft sigue resistiéndose sin embargo a añadir a sus boletines el
valor CVSS (Common Vulnerability Scoring System) de cada vulnerabilidad.
Se trata de un estándar que gradúa la severidad de manera estricta a
través de fórmulas establecidas y que ya siguen Oracle y Cisco entre
otros. Cuando fue creado en 2005, la compañía apoyó la iniciativa, pero
más tarde adujo que su sistema propio de graduación era correcto, y
nunca ha terminado de apoyar este estándar.

Por último, destacar que Microsoft últimamente está incluyendo boletines
oficiales destinados a activar los killbits de componentes ActiveX,
tanto propios como de terceros. Esto es muy positivo. Los ActiveX suelen
ser librerías de Microsoft o de terceros que, en muchas ocasiones,
sirven de puerta para entrar en el sistema a través de Internet
Explorer, gracias a los fallos de seguridad de los propios ActiveX. El
peligro está en que el navegador es capaz de invocarlos, aunque no sea
realmente necesario para cumplir su función. Al activar el killbit, se
asegura que Internet Explorer no puede llamarlos y se anula así un
importante vector de ataque. Al difundir esta activación de killbits
a través de las actualizaciones oficiales de Microsoft, se aseguran
mitigar potenciales problemas con una difusión mucho más extensa que
si lo hiciera el propio fabricante del ActiveX.

Aunque es obligación de los programadores de ActiveX ser precavidos
y activar ese killbit, en la mayoría de las ocasiones sólo una
vulnerabilidad les hace reaccionar. Usar los parches de Microsoft para
anular este vector de ataque, puede impedir muchos problemas de manera
mucho más rápida y mayoritaria. En esta última tanda de boletines (como
medida extra de precaución) se han activado los killbits incluso de
ActiveX propios de Microsoft que ya habían sufrido vulnerabilidades y
para los que existían parches.

Opina sobre esta noticia:
http://www.hispasec.com/unaaldia/3648/comentar

Más información:

Microsoft Exploitability Index
http://technet.microsoft.com/en-us/security/cc998259.aspx

lunes, 13 de octubre de 2008

Corregida una vulnerabilidad de ejecución remota de código en Graphviz


El investigador de IBM, Roee Hay, ha descubierto recientemente una
vulnerabilidad en Gralphviz que podría ser aprovechada para causar una
denegación de servicio o ejecutar código arbitrario en el sistema, si un
usuario intenta abrir un archivo DOT especialmente manipulado.

Graphviz es un software gratuito de visualización de grafos, de código
abierto y que se distribuye bajo licencia Common Public License v.1.0.
El programa permite realizar una descripción de grafos en formato de
texto (lenguaje DOT) y obtener diagramas en múltiples formatos
distintos. Desde la página web de Graphviz se pueden descargar los
paquetes para Windows, Mac, FreeBSD, Solaris y para distintas
distribuciones de Linux.

La vulnerabilidad está causada por una falta de comprobación de límites
del array "Gstack" en la función "push_subg" de "lib/graph/parser.c".
Esto podría ser aprovechado para desbordar el array causando una
corrupción de memoria que podría ser aprovechada para ejecutar código
arbitrario.

A continuación se puede ver la porción de código vulnerable,
perteneciente a la versión 2.20.2 de Graphviz:

static void push_subg(Agraph_t *g) {
G = Gstack[GSP++] = g;
}

Y la función corregida, perteneciente a la última versión (v.2.20.3):

static void push_subg(Agraph_t *g) {
if (GSP >= GSTACK_SIZE) {
agerr (AGERR, "Gstack overflow in graph parser\n"); exit(1);
}
G = Gstack[GSP++] = g;
}

Si bien es cierto que la vulnerabilidad era evitable, y que la
modificación requerida parece trivial, cabe reseñar la eficacia del
grupo de desarrolladores del proyecto, ya que pasó tan solo un día desde
que fueron informados de la vulnerabilidad hasta que pusieron a
disposición de sus usuarios una versión actualizada y no vulnerable.

Se recomienda actualizar a la versión 2.20.3 de Graphviz, disponible
para las distintas plataformas desde:
http://www.graphviz.org/Download..php

Opina sobre esta noticia:
http://www.hispasec.com/unaaldia/3640/comentar

Denegación de servicio a través de UFS en Sun Solaris 8, 9 y 10


Se ha encontrado una vulnerabilidad en Sun Solaris 8, 9 y 10 y
OpenSolaris que podría permitir a un atacante provocar una denegación de
servicio.

El fallo se debe a un problema no especificado en la implementación de
las ACL (Access Control List) del sistema de ficheros UFS. Un atacante
local sin privilegios podría provocar un "panic" en el sistema y hacer
que dejase de responder.

No existe parche oficial para las versiones de Sun Solaris, por lo que
se recomienda restringir el acceso a usuarios no confiables. Para
OpenSolaris se recomienda actualizar a OpenSolaris build snv_100 o
posterior.

Opina sobre esta noticia:
http://www.hispasec.com/unaaldia/3640/comentar


domingo, 5 de octubre de 2008

Ejecución remota de código en impresoras multifunción Xerox


Se ha encontrado una vulnerabilidad en el controlador de red/ESS de las
impresoras multifunción WorkCentre de Xerox que podría ser explotada por
un atacante de la red local para ejecutar código arbitrario en la
impresora.

La vulnerabilidad está causada por un desbordamiento de búfer en Samba
al manejar respuestas SMB (Service Message Block) remotas. Esto podría
ser aprovechado por un atacante de la red local para tomar el control de
la impresora.

Samba es una implementación Unix "Open Source" del protocolo
SMB/NetBIOS, utilizada para la compartición de archivos e impresora en
entornos Windows. Gracias a este programa, se puede lograr que máquinas
Unix y Windows convivan amigablemente en una red local, compartiendo
recursos comunes.

Si un atacante consigue tomar el control de una impresora podría cambiar
la configuración de la misma; pero además podría conseguir cierta
información sensible, ya que tendría acceso a la memoria del dispositivo
donde residen aquellos documentos copiados o imprimidos recientemente.
Esto podría suponer un riesgo a tener en cuenta sobre todo en entornos
corporativos.

La vulnerabilidad está confirmada para las siguientes versiones de
impresoras multifunción: Xerox WorkCentre: 232, 238, 245, 255, 265, 275,
7655, 7665, 7675, 5623, 5635, 5645, 5655, 5665, 5675 y 5687. Xerox
WorkCentre Pro: 232, 238, 245, 255, 265 y 275.

El fabricante recomienda consultar la tabla de versiones vulnerables
(disponible en el boletín de seguridad) y aplicar el parche P36v1,
disponible para su descarga desde:
http://www.xerox.com/downloads/usa/en/c/cert_P36v1_WCP275_WC7675_WC5687_Patch.zip

Opina sobre esta noticia:
http://www.hispasec.com/unaaldia/3633/comentar

Más información:

Xerox Security Bulletin XRX08-009:
Software update to address Network Controller vulnerability
http://www.xerox.com/downloads/usa/en/c/cert_XRX08_009.pdf

viernes, 3 de octubre de 2008

Algunas preguntas frecuentes sobre la supuesta vulnerabilidad en el protocolo base de la Red


Ayer publicábamos un boletín sobre la supuesta vulnerabilidad
descubierta por Outpost24 que podría permitir la caída de cualquier
aparato con comunicación en la Red. Disponemos ahora de más información,
que ayer mismo publicaban fuentes oficiales, sobre el asunto. Además,
aprovechamos para corregir algunos errores.

¿El fallo es nuevo? ¿Por qué "supuesta"?

Probablemente no. Aunque no se conocen los detalles, todo son
conjeturas. Quizás sea una nueva forma de aprovechar una vieja debilidad
conocida del TCP/IP. "Supuesta" es simplemente porque no ha quedado
demostrado todavía por terceras partes independientes.

¿Aprovechar el fallo requiere de un envío continuado de paquetes?

Sobre esto ha habido cierta confusión. Algunos apuntan a que es
necesario bombardear de forma continuada y con un cierto tipo de
paquetes al servidor. Otros que con sólo unos minutos de tráfico se
puede hacer que el sistema quede sin recursos. Según Robert E. Lee de
Outpost 24, depende del dispositivo. Lo normal es que permanezcan caídos
mientras dure el ataque (como ocurre con un DDoS, por ejemplo), pero se
han dado casos en que se agotan sus recursos y se necesita un reinicio
con una mínima cantidad de tráfico.

¿Desactivando la protección "SYN Cookies" se previene el problema?

No. Simplemente se volvería a ser más vulnerable a ataques de tipo SYN
Flood

¿Todos los dispositivos son vulnerables?

Según los descubridores, depende mucho del tipo de ataque y del
dispositivo. Es posible que el dispositivo tenga que ser reiniciado,
pero no siempre se llega a ese punto.

¿El problema está en TCP/IP?

Como nos han comunicado algunos lectores de una-al-día, el problema está
en el protocolo TCP/IP, no exclusivamente en IP, como se apuntaba
erróneamente en el boletín anterior.

¿Por qué ahora todas estas alarmas catastrofistas?

Aunque dicen conocer el problema desde 2005, Outpost24 se habrá decidido
a hacer público este asunto precisamente ahora por varias razones.
Primero para intentar proteger y mejorar el sistema. (¿Por qué no?)
Kaminsky lo hizo con el fallo de DNS. El problema del BGP no tuvo tanta
repercusión mediática pero llamó mucho la atención. La compañía quizás
se ha animado finalmente a hacer público sus descubrimientos tras
comprobar la publicidad que este tipo de declaraciones puede
reportarles. Es evidente que, como siempre ha ocurrido en la publicación
de vulnerabilidades novedosas, la búsqueda de notoriedad y prestigio
juegue un papel importante, aunque no resta importancia al
descubrimiento en sí. Por cierto, también se dijo en la anterior
una-al-día que era una empresa finlandesa cuando en realidad es sueca.

¿Están exagerando?

El hecho de ofrecer un poco de información en forma de "cebo" y prometer
el resto en conferencias posteriores asegura una buena cantidad de
especulación y por tanto mantener a la empresa en boca de todos durante
unas semanas. Esto no resta seriedad al potencial fallo.

¿Es para tanto?

Matizan sus afirmaciones hablando siempre de "bajo circunstancias
concretas" lo que da a entender que no es tan sencillo reproducirlo.
Además, si se trata de una denegación de servicio a través de una
inundación de paquetes continuados, hoy en día tenemos los DDoS más
potentes que nunca a través de las botnets más grandes del momento.
Miles de sistemas zombi infectados bombardean con tráfico (legítimo) las
páginas para intentar echarlas abajo, y resulta bastante efectivo.
Recurrir a este tipo de vulnerabilidades constituyen una novedad, pero
en la práctica existen ya métodos que pueden dar iguales o mejores
resultados a los atacantes. Si, hipotéticamente, se hicieran públicos
los detalles de este fallo y sacaran una herramienta que permitiese a
cualquiera tumbar un servidor con un solo click, protegerse sería
sencillo: se bloquearía el acceso desde esa IP... así que para que fuese
efectivo el atacante tendría que recurrir a diferentes IPs... o sea, a
una botnet. Fyodor, creador de nmap, opina que no es para tanto, pero
desde Outpost24, se le ha dicho que no lleva del todo razón en sus
suposiciones.

¿Internet "se rompe"?

Este tipo de alertas sobre problemas de base deberían servir para
alertar sobre la gran dependencia que tiene hoy en día Internet de
protocolos obsoletos. DNS y SMTP por ejemplo, son protocolos antiguos
que no tienen en absoluto en cuenta la seguridad, aun así son los más
usados en la Red. Estas alertas no deberían servir para vaticinar
catástrofes y que cunda el pánico, sino para que todos seamos
conscientes de que existe la posibilidad de que se vaya necesitando un
cambio en la base de la Red para protegerla convenientemente.

¿Sirven de algo estas alertas catastrofistas?

Si se toman con calma, sí. Por ejemplo, el descubrimiento de Kaminsky ha
servido para retomar con fuerza el debate sobre el uso estandarizado de
DNSSEC para proteger adecuadamente al inseguro DNS. Aunque será extraño
que se implante a corto plazo. Requiere de una infraestructura de
certificados y autoridades confiables que puede resultar compleja, e
invita al control por parte de una sola gran autoridad certificadora. Es
incluso probable que el debate quede en nada una vez más. Las grandes
modificaciones son siempre complicadas y costosas aunque quizás cada vez
más necesarias.

Opina sobre esta noticia:
http://www.hispasec.com/unaaldia/3632/comentar

IPSupuesta vulnerabilidad en el protocolo ip pone (de nuevo) en riesgo a toda la Red


Una empresa finlandesa llamada Outpost 24 dice haber descubierto un
fallo en el Internet Protocol (IP) que puede provocar una denegación de
servicio en todo dispositivo que lo use. Teniendo en cuenta que es la
base sobre la que se sustenta toda Internet, es equivalente a decir que
se puede provocar la caída de cualquier aparato con comunicación en la
Red. Es la tercera "gran alerta" del año. ¿Necesita Internet una puesta
a punto?

En realidad ni siquiera se podría llamar "denegación de servicio" tal y
como lo conocemos hoy en día. Más bien se trataría de una especie de
(mítico) "ping de la muerte" en el que, con muy poco tráfico (10
paquetes por segundo) se podría llegar a colapsar cualquier dispositivo
que implemente la especificación del protocolo base. Al parecer se
trataría de uno de los mayores problemas detectados en la Red que la
volvería insostenible de forma relativamente sencilla.

No se han ofrecido por tanto muchos más detalles. Parece que el problema
surgió durante el escaneo de varios millones de sitios en Internet.
Alguno de estos tests (realizados con la herramienta Unicornscan) hacía
que los sistemas dejaran de responder, y tras una investigación se
concluyó que existía un problema en todas las implementaciones de la
pila TCP/IP. Aunque afecta de distinta manera, se supone que todas son
vulnerables y que todavía no han encontrado ningún dispositivo que no
puedan bloquear.

Los investigadores han conocido este problema desde 2005. Según dicen,
no han podido encontrar por el momento una solución válida, pero tampoco
quieren difundir los detalles por el peligro que supondría el
conocimiento público. Advierten que, incluso con IPv6 el problema podría
ser incluso más grave.

Darán más detalles sobre el problema el 17 de octubre, durante una
conferencia en Helsinki. Afirman tener una herramienta llamada
sockstress capaz de "tumbar" cualquier dispositivo. Aunque la
información es confusa (y habría que tomarla con cautela mientras no se
tengan detalles), parece que el problema está directamente relacionado
con la técnica de las "SYN cookies". Se utilizan precisamente para
evitar que un atacante pueda realizar una inundación de paquetes SYN.
Básicamente se "recuerda" con esta cookie a quien ha realizado la
conexión y se evita que se falsee la dirección y se perpetre el conocido
ataque (abriendo conexiones a medio realizar que consumen memoria y
agotando los recursos del dispositivo).

Es la tercera gran vulnerabilidad del año que pone en peligro a toda la
Red. En primer lugar fue Kaminsky con su problema DNS. El 8 de julio
todos los grandes y pequeños fabricantes parcheaban sus sistemas DNS.
Kaminsky había descubierto meses antes un fallo que permitía falsificar
cualquier IP asociada a un dominio. Poco después en agosto, durante la
Black Hat, se habla de nuevo de la mayor vulnerabilidad de Internet,
cuando Tony Kapela y Alex Pilosov demostraron una nueva técnica que
permite interceptar el tráfico de Internet a una escala global.
Cualquiera con un router BGP podría interceptar el tráfico de cualquier
gran nodo y devolverlo (modificado o no) de forma transparente.

Y vuelve a ocurrir, repitiendo prácticamente el mismo escenario. En los
tres casos se trata de un problema de diseño de un protocolo creado
muchos años antes. En los tres casos parece haber una demostración
empírica de un problema conocido pero cuyas posibilidades o puesta en
práctica se suponía imposible hasta la fecha... Incluso el hecho de
revelar detalles en una conferencia posterior con la que se crea una
gran expectación. Como le ocurrió a Kamisky, es posible que todos los
detalles del problema salgan a la luz antes de lo esperado si algún
investigador decide juntar todas las pistas ofrecidas por Outpost 24.

Es más que posible que aunque los detalles fueran conocidos desde hace 3
años, haya sido precisamente lo ocurrido con el fallo DNS y con BGP lo
que haya animado a los investigadores a darle publicidad precisamente
ahora. Kaminsky demostró que se puede realizar una actualización masiva
y coordinada entre todos los grandes fabricantes y mantener en secreto
los detalles de un grave problema (siempre que no se divulgue su
existencia).

Nos encontramos posiblemente también ante una nueva era en la Red en la
que, a través de estos graves errores puestos sobre la mesa, estamos
cuestionando su sostenibilidad tal y como la conocemos. Usamos
protocolos diseñados, cuando menos, hace 20 y 30 años. Los ingenieros
estaban mucho más sorprendidos por el hecho de que la Red simplemente
funcionase que preocupados por la seguridad. Hacer que un trozo concreto
de información digital concreta llegase de un punto a otro del planeta
era algo demasiado fantástico como para complicarlo previniendo si
alguien la iba a podía modificar, alterar u obtener de forma ilegítima.
Posteriormente, sobre estos débiles pilares, se ha construido algo
muchísimo más complejo y unido millones de personas y dispositivos con
muy distintas motivaciones. Para abarcar toda esta explosión, se ha ido
parcheando sobre la marcha un monstruo gigante con pies de barro que, a
la vista de estos tres recientes acontecimientos (y de otras
preocupaciones de largo recorrido, como el malware ganando la batalla a
los antivirus), necesita una clara revisión y puesta a punto.

Opina sobre esta noticia:
http://www.hispasec.com/unaaldia/3631/comentar


New attacks reveal fundamental problems with TCP
http://searchsecurity.techtarget.com/news/article/0,289142,sid14_gci1332898,00.html


jueves, 2 de octubre de 2008

Ejecución remota de código a través de WinZip en Windows 2000





Se han encontrado múltiples problemas de seguridad en WinZip 11.x que
podrían ser aprovechadas por un atacante remoto para ejecutar código
arbitrario en sistemas Windows 2000.

A pesar de que existen alternativas gratuitas y de código abierto,
WinZip es actualmente unos de los compresores más extendidos debido a su
modo sencillo de trabajar con los archivos y a que permite el manejo de
numerosos formatos de compresión, siendo el .zip el usado por defecto.

Las vulnerabilidades encontradas están causadas porque WinZip 11.x
incluía en la carpeta del programa una versión vulnerable de la librería
GDI+ de Windows (gdiplus.dll) para procesar archivos de imagen. –La
versión 11.0 la incluía siempre aunque las 11.1 y 11.2 sólo si los
equipos estaban basados en Windows 2000-. Aprovechándose de esta
circunstancia, un atacante remoto podría ejecutar código arbitrario si
un usuario hiciera uso del modo de visualización para intentar acceder
una imagen especialmente modificada contenida en un archivo zip. El
ataque sería efectivo solamente sobre sistemas basados en Windows 2000
ya que son los únicos que harían uso de la librería obsoleta situada en
la carpeta de WinZip en vez de usar la versión de la misma librería que
viene junto con el sistema operativo, y que fue actualizada en el último
ciclo de actualizaciones.

En el boletín de seguridad MS08-052 publicado por Microsoft el día 9 de
septiembre, se daban a conocer los detalles de las cinco
vulnerabilidades críticas en el componente GDI+ de Windows que podrían
ser aprovechadas para ejecutar código arbitrario. Son las siguientes:

* Un desbordamiento de búfer basado en heap cuando GDI+ procesa de forma
incorrecta el tamaño de los gradientes manejados por la librería de
enlaces a vectores gráficos.

* Un error al manejar la reserva de memoria cuando se procesa un archivo
de imagen EMF (Enhanced Metafile) especialmente manipulado que podría
causar una corrupción de memoria.

* Un problema de seguridad al procesar los archivos GIF (Graphics
Interchange Format) especialmente manipulados.

* Un desbordamiento de búfer en GDI+ causado por un fallo al reservar
memoria cuando se analiza un archivo WMF (Windows Metafile)
especialmente manipulado.

* Un desbordamiento de enteros al procesar de forma inadecuada ciertas
cabeceras mal formadas en archivos BMP especialmente manipulados.

El pasado 25 de Septiembre WinZip Computing lanzaba WinZip 11.2 SR-1,
una actualización de seguridad para los usuarios de las versiones 11.x
de WinZip en la que se reemplaza la versión obsoleta de gdiplus.dll por
la versión actualizada, no vulnerable a los citados problemas. La URL de
descarga de WinZip 11.2 SR-1 (Build 8261) es:
http://download.winzip.com/nrb/winzip112.exe

La versión 12 de WinZip, que tampoco sería vulnerable, se puede obtener
desde:
http://update.winzip.com/downwz.htm

Opina sobre esta noticia:
http://www.hispasec.com/unaaldia/3630/comentar

miércoles, 1 de octubre de 2008

Elevación de privilegios a través de move-faqwiz.sh en Python 2.x




Se ha descubierto una vulnerabilidad en Python que podría permitir a 
un atacante local realizar una escalada de privilegios.

Python es un lenguaje de programación sencillo pero extremadamente
potente y versátil, cuya popularidad crece día a día.

El error consiste en que "Tools/faqwiz/move-faqwiz.sh" genera archivos
temporales de manera no segura. Un atacante local podrá crear un enlace
simbólico desde un archivo sensible del sistema a un archivo temporal.
De esta forma, cuando el script sea ejecutado por el usuario atacado, se
sobreescribirá el archivo enlazado con los privilegios de la víctima.

La vulnerabilidad se confirma para la versión 2.5.2 y anteriores de
Python.

Opina sobre esta noticia:
http://www.hispasec.com/unaaldia/3629/comentar