Vulnerabilidades en Cisco IOS XE Se han anunciado dos vulnerabilidades que podrían causar denegación de servicio y salto de restricciones de seguridad en dispositivos Cisco IOS XE. El primer fallo identificado como CVE-2013-6981 se encuentra en la función de fragmentación IP MPLS y podría causar el cuelgue del procesador de paquetes Cisco. El segundo error (CVE-2013-6979) reside en la autenticación vty y se debe a un fallo de comprobación de la interfaz de red interna Linux-IOS. Un atacante que se encuentre en la subred 192.168.x.2 podría obtener acceso al dispositivo sin tener que autenticarse. Cisco ofrece actualizaciones para corregir estos problemas, se recomienda consultar los boletines publicados. Más información: Cisco IOS XE Crafted MPLS IP Fragmentation Denial of Service Vulnerability http://tools.cisco.com/security/center/content/CiscoSecurityNotice/CVE-2013-6981 Cisco IOS XE Software Telnet Authentication Bypass Vulnerability http://tools.cisco.com/security/center/content/CiscoSecurityNotice/CVE-2013-6979 Fernando Castillo fcastillo@hispasec.com Fuente: www.hispasec.com Leer Más

Ejecución de código arbitrario en PHP a través de certificados X.509 Se ha corregido un fallo crítico en el lenguaje de programación PHP que podría permitir a un atacante ejecutar código arbitrario a través de un certificado X.509 especialmente manipulado. El descubridor de la vulnerabilidad es el investigador Stefan Esser (https://twitter.com/i0n1c). Esser es conocido por la gran cantidad de fallos que ha encontrado a lo largo de su carrera, tanto en proyectos open source como por ejemplo el DRM de la videoconsola Microsoft Xbox o los exploits para la liberación del sistema iOS de Apple. En especial cabe destacar su habilidad para encontrar fallos en el lenguaje PHP del que fue contribuidor durante 5 años además de fundador del equipo de seguridad. El fallo descubierto se encuentra en la función de PHP 'openssl_x509_parse'. Esta función se encarga de examinar un certificado X.509 y devuelve un array con toda la información adicional que éste contiene. A su vez, usa la función 'asn1_time_to_time_t' para la conversión de marcas de tiempo (timestamps) desde el formato ASN1 (cadenas de caracteres) a un entero. Esta última función es vulnerable cuando trata datos en formato binario permitiendo escribir hasta 5 bytes nulos fuera del búfer reservado para los datos. Tal como cuenta Esser en la notificación de la vulnerabilidad, un certificado que contenga valores nulos en los campos 'notBefore' y 'notAfter' podría corromper la memoria y permitir la ejecución de código arbitrario cuando se emplea la función 'openssl_x509_parse' para procesarlo. Como curiosidad, Esser se encontró con una implementación bastante antigua (de la versión de PHP 4.0.6) y descuidada en 'asn1_time_to_time_t', hasta el punto de que en el propio código de la función aparecía el siguiente mensaje de debug de su autor: "extension author too lazy to parse %s correctly"  (traducido: "El autor de la extensión es demasiado perezoso para analizar %s correctamente") La vulnerabilidad, con CVE-2013-6420, ha sido corregida en las versiones 5.5.7, 5.4.23 y 5.3.28 de las respectivas ramas con mantenimiento. Son vulnerables las ramas sin soporte: 5.2, 5.1, 5.0 y de la 4.0.6 a la 4.4.9. Más información: Advisory 01/2013: PHP openssl_x509_parse() Memory Corruption Vulnerability http://www.sektioneins.de/advisories/advisory-012013-php-openssl_x509_parse-memory-corruption-vulnerability.html David García dgarcia@hispasec.com Twitter: @dgn1729 Fuente: www.hispasec.com Leer Más

Resumen de seguridad de 2013 (II) Termina el año y desde Hispasec un año más echamos la vista atrás para recordar y analizar con perspectiva (al más puro estilo periodístico) lo que ha sido 2013 en cuestión de seguridad informática. En cuatro entregas (tres meses por entrega) destacaremos muy brevemente lo que hemos considerado las noticias más importantes de cada mes publicadas en nuestro boletín diario. Julio 2013: Ubisoft informa de la detección de una intrusión en uno de sus servidores web lo que ha permitido a los atacantes tener acceso a una base de datos con información personal de sus clientes.     Se anuncia un fallo en la verificación de firmas de Android permite modificar las aplicaciones certificadas y que afectaría a casi la totalidad de dispositivos Android.     Dentro de su ciclo habitual de actualizaciones Microsoft publica siete boletines de seguridad, que solucionan 36 vulnerabilidades. Adobe también corrige 6 vulnerabilidades en Cold Fusion, Flash Player y Shockwave Player. Oracle, por su parte, corrige 89 vulnerabilidades en múltiples de sus productos.     El sitio de desarrolladores de Apple sufre una intrusión, realizada por un investigador de seguridad como prueba de concepto de un fallo previamente comunicado a la compañía. Agosto 2013: Dentro de la Black Hat USA 2013 un grupo de investigadores demuestran cómo es posible obtener información sensible del texto cifrado https en menos de 30 segundos.     Microsoft publica ocho boletines de seguridad, que solucionan 23 vulnerabilidades. Por otra parte la Fundación Mozilla publica 13 boletines de seguridad que corrigen vulnerabilidades que afectan a su navegador web Firefox, al gestor de correo Thunderbird y la suite SeaMonkey.     Google anuncia la publicación de Chrome 29 su navegador para todas las plataformas, que incluye nuevas funcionalidades y mejoras, además de la corrección de 25 nuevas vulnerabilidades. Septiembre 2013: Microsoft publica 13 boletines de seguridad, que solucionan 53 vulnerabilidades. Adobe publica tres boletines de seguridad en los que correge catorce vulnerabilidades en sus productos Flash Player, Reader, Acrobat, y Shockwave Player.     Fuera de su ciclo habitual de actualizaciones, Microsoft publica un boletín de seguridad para informar de una grave vulnerabilidad que se está explotando de forma activa y afecta a su navegador Internet Explorer y que puede permitirla ejecución remota de código arbitrario.      Apple publica iO7, que corrige 80 vulnerabilidades existentes en los dispositivos móviles de Apple. Pocos días después se ve obligada a lanzar una nueva versión (la 7.0.2) para corregir dos nuevas vulnerabilidades.      Hispasec publica un parche para dar soporte a la rama 4 de Android en DroidBox, proyecto para el análisis dinámico de aplicaciones para Android.      Apenas dos días después del lanzamiento del nuevo iPhone 5s se anuncia una forma de saltar la protección del sistema TouchID, un sistema de seguridad biométrica que permite al usuario utilizar su huella digital como credencial en operaciones como el bloqueo del terminal o realizar compras en las diferentes tiendas Apple. Más información: una-al-dia (02/07/2013) Comprometen un servidor de Ubisoft con datos de usuarios http://unaaldia.hispasec.com/2013/07/comprometen-un-servidor-de-ubisoft-con.html una-al-dia (08/07/2013) Un fallo en la verificación de firmas de Android permite modificar las aplicaciones certificadas http://unaaldia.hispasec.com/2013/07/un-fallo-en-la-verificacion-de-firmas.html una-al-dia (10/07/2013) Boletines de seguridad de Microsoft en julio http://unaaldia.hispasec.com/2013/07/boletines-de-seguridad-de-microsoft-en.html una-al-dia (12/07/2013) Boletines de seguridad de Adobe http://unaaldia.hispasec.com/2013/07/boletines-de-seguridad-de-adobe.html una-al-dia (16/07/2013) Oracle corrige 89 vulnerabilidades en su actualización de seguridad de julio http://unaaldia.hispasec.com/2013/07/oracle-corrige-89-vulnerabilidades-en.html una-al-dia (27/07/2013) Algunos apuntes sobre la intrusión en los servidores de Apple http://unaaldia.hispasec.com/2013/07/algunos-apuntes-sobre-la-intrusion-en.html una-al-dia (07/08/2013) Ataque BREACH, la seguridad HTTPS comprometida en 30 segundos http://unaaldia.hispasec.com/2013/08/ataque-breach-la-seguridad-https.html una-al-dia (08/08/2013) Boletines de seguridad de Mozilla http://unaaldia.hispasec.com/2013/08/boletines-de-seguridad-de-mozilla.html una-al-dia (14/08/2013) Boletines de seguridad de Microsoft en agosto http://unaaldia.hispasec.com/2013/08/boletines-de-seguridad-de-microsoft-en.html una-al-dia (22/08/2013) Nueva versión de Google Chrome http://unaaldia.hispasec.com/2013/08/nueva-version-de-google-chrome.html una-al-dia (11/09/2013) Boletines de seguridad de Microsoft en septiembre http://unaaldia.hispasec.com/2013/09/boletines-de-seguridad-de-microsoft-en.html una-al-dia (10/09/2013) Boletines de seguridad de Adobe http://unaaldia.hispasec.com/2013/09/boletines-de-seguridad-de-adobe.html una-al-dia (19/09/2013) Microsoft publica actualización de urgencia para Internet Explorer http://unaaldia.hispasec.com/2013/09/microsoft-publica-actualizacion-de.html una-al-dia (21/09/2013) iO7 corrige 80 vulnerabilidades en los dispositivos móviles de Apple http://unaaldia.hispasec.com/2013/09/io-7-corrige-80-vulnerabilidades-en-los.html una-al-dia (22/09/2013) El grupo Chaos Computer Club consigue saltar el sistema TouchID del iPhone 5s http://unaaldia.hispasec.com/2013/09/el-grupo-chaos-computer-club-consigue.html una-al-dia (28/09/2013) Apple corrige dos saltos de restricciones en iOS 7 http://unaaldia.hispasec.com/2013/09/apple-corrige-dos-saltos-de.html una-al-dia (27/09/2013) Hispasec publica un parche para dar soporte a la rama 4 de Android en DroidBox http://unaaldia.hispasec.com/2013/09/hispasec-publica-un-parche-para-dar.html Antonio Ropero antonior@hispasec.com Twitter: @aropero Fuente: www.hispasec.com Leer Más Resumen de seguridad de 2013 (II) Termina el año y desde Hispasec un año más echamos la vista atrás para recordar y analizar con perspectiva (al más puro estilo periodístico) lo que ha sido 2013 en cuestión de seguridad informática. En cuatro entregas (tres meses por entrega) destacaremos muy brevemente lo que hemos considerado las noticias más importantes de cada mes publicadas en nuestro boletín diario. Abril 2013: Mozilla publica la versión 20 de su navegador Firefox, que corrige 11 fallos de seguridad descritos en 11 boletines e implementa mejoras para la navegación privada y otros cambios estéticos.       Dentro de su ciclo habitual de actualizaciones Microsoft publica nueve boletines de seguridad, que solucionan 14 vulnerabilidades. Adobe también corrige 10 vulnerabilidades en Cold Fusion, Flash Player y Shockwave Player. Oracle, por su parte, corrige 42 vulnerabilidades en Java e introduce algunas mejoras en los mensajes de advertencia y opciones.        El tan conocido virus de la policía continúa evolucionando, con altos niveles de infección y nuevas estrategias fundamentadas siempre en la misma premisa: el secuestro del ordenador con la excusa de que, ante la detección de actividad ilegal en el sistema, es necesario pagar una multa a la policía. Mayo 2013: Se pone en marcha en España el Centro de Ciberseguridad Industrial (CCI), que nace desde la industria y sin subvenciones, independiente y sin ánimo de lucro. Tiene como misión impulsar y contribuir a la mejora de la Ciberseguridad Industrialen España y Latinoamérica,       Se da a conocer un nuevo 0-day en Internet Explorer 8, que permite ejecutar código arbitrario remotoy se puede explotar en cualquier sistema operativo que lo tenga instalado. Se sabe que ha sido utilizada para un reciente ataque contra el departamento de trabajo norteamericano.       Microsoft publica 10 boletines de seguridad, que solucionan 33 vulnerabilidades. Adobe publica tres boletines de seguridad en los que corrige un total de 42 vulnerabilidades en ColdFusion, Flash Player , Reader y Acrobat. La Fundación Mozilla publica ocho boletines de seguridad que en total corrigen 15 vulnerabilidades, que afectan al navegador Firefox, al gestor de correo Thunderbird y la suite SeaMonkey. Junio  2013: Oracle se pronuncia sobre la seguridad de Java y la gestión de sus applets, y anuncia nuevas características de seguridad destinadas a mejorar la seguridad incluyendo el bloqueo por defecto de los applets no firmados y los autofirmados.      Microsoft junto con autoridades, industria financiera e ISPs de varios países, desactivan alrededor de 1.462 botnets utilizadas por Citadel.      Microsoft anuncia que pagará por el anuncio responsable de vulnerabilidades. Destacan las cantidades ofrecidas, que pueden llegar hasta los 150.000 dólares por una vulnerabilidad de ejecución de código junto con el remedio para evitarla.       Opera anuncia que sufrió un ataque dirigido sobre su red interna, que tiene como resultado el robo de un antiguo certificado empleado para firmar código. Más información: una-al-dia (02/04/2013) Mozilla publica 11 boletines de seguridad para Firefox http://unaaldia.hispasec.com/2013/04/mozilla-publica-11-boletines-de.html una-al-dia (09/04/2013) Microsoft publica 9 boletines de seguridad http://unaaldia.hispasec.com/2013/04/microsoft-publica-nueve-boletines-de.html una-al-dia (11/04/2013) Boletines de seguridad de Adobe http://unaaldia.hispasec.com/2013/04/boletines-de-seguridad-de-adobe.html una-al-dia (16/04/2013) Java corrige 42 vulnerabilidades y mejora un poco sus opciones de seguridad http://unaaldia.hispasec.com/2013/04/java-corrige-42-vulnerabilidades-y.html una-al-dia (28/04/2013) Últimas versiones del virus de la policía y más ideas para protegerse http://unaaldia.hispasec.com/2013/04/ultimas-versiones-del-virus-de-la.html una-al-dia (04/05/2013) Se pone en marcha en España el Centro de Ciberseguridad Industrial (CCI) http://unaaldia.hispasec.com/2013/05/se-pone-en-marcha-en-espana-el-centro.html una-al-dia (05/05/2013) Microsoft publica aviso de seguridad sobre nuevo 0-day en Internet Explorer 8 http://unaaldia.hispasec.com/2013/05/microsoft-publica-aviso-de-seguridad.html una-al-dia (14/05/2013) Boletines de seguridad de Microsoft en mayo http://unaaldia.hispasec.com/2013/05/boletines-de-seguridad-de-microsoft-en.html una-al-dia (16/05/2013) Boletines de seguridad de Adobe para mayo http://unaaldia.hispasec.com/2013/05/boletines-de-seguridad-de-adobe-para.html una-al-dia (17/05/2013) Boletines de seguridad de productos Mozilla corrigen 15 vulnerabilidades http://unaaldia.hispasec.com/2013/05/boletines-de-seguridad-de-productos.html una-al-dia (07/06/2013) Oracle desvela el futuro de la seguridad de Java en el navegador http://unaaldia.hispasec.com/2013/06/oracle-desvela-el-futuro-de-la.html una-al-dia (08/06/2013) Microsoft publicará cinco boletines de seguridad el próximo martes http://unaaldia.hispasec.com/2013/06/microsoft-publicara-cinco-boletines-de.html una-al-dia (13/06/2013) Microsoft desactiva 1.462 botnets Citadel http://unaaldia.hispasec.com/2013/06/microsoft-desactiva-1462-botnets-citadel.html una-al-dia (15/06/2013) Ejecución de código arbitrario a través de Adobe Flash Player y AIR http://unaaldia.hispasec.com/2013/06/ejecucion-de-codigo-arbitrario-traves.html una-al-dia (21/06/2013) Microsoft pagará hasta 150.000 dólares por nuevas vulnerabilidades http://unaaldia.hispasec.com/2013/06/microsoft-pagara-hasta-150000-dolares.html una-al-dia (27/06/2013) Roban un certificado a Opera y publican una actualización maliciosa para su navegador http://unaaldia.hispasec.com/2013/06/roban-un-certificado-opera-y-publican.html Antonio Ropero antonior@hispasec.com Twitter: @aropero Fuente: www.hispasec.com Leer Más

Resumen de seguridad de 2013 (I) Termina el año y desde Hispasec un año más echamos la vista atrás para recordar y analizar con perspectiva (al más puro estilo periodístico) lo que ha sido 2013 en cuestión de seguridad informática. En cuatro entregas (tres meses por entrega) destacaremos muy brevemente lo que hemos considerado las noticias más importantes de cada mes publicadas en nuestro boletín diario. Enero 2013: Dentro de su ciclo habitual de actualizaciones Microsoft publica siete boletines de seguridad, que solucionan 12 vulnerabilidades. Adobe también corrige cuatro vulnerabilidades Cold Fusion. Oracle, por su parte, corrige 86 vulnerabilidades en múltiples productos de su gama.       Microsoft publica una actualización fuera de ciclo destinada a solucionar una grave vulnerabilidad 0-day dada a conocer en los últimos días de 2012.      Kaspersky descubre un malware conocido como "Operación octubre rojo" que parece haber pasado desapercibido mucho tiempo y programado con intereses muy concretos. Febrero 2013: Oracle adelanta la publicación de un boletín de seguridad para Java por la gravedad de algunas vulnerabilidades corregidas. Tal es la gravedad, que 26 de las vulnerabilidades tienen una puntuación CVSS de 10 con posibilidad de elevación de privilegios.      Dentro de su ciclo habitual de actualizaciones Microsoft publica 12 boletines de seguridad, que solucionan 57 vulnerabilidades. La Fundación Mozilla publica ocho boletines de seguridad que en total corrigen 14 vulnerabilidades, que afectan al navegador Firefox, al gestor de correo Thunderbird y la suite SeaMonkey.       Se publica una vulnerabilidad que afecta a iOS 6, la última versión del sistema operativo móvil de Apple y que permitiría realizar llamadas desde  un iPhone bloqueado.       Se detectan y dan a conocer varias noticias de ataques relevantes sobre las redes internas de Facebook, Twitter y Apple, con infecciones por malware en dichas compañías. Como elemento común los fallos de seguridad en Java.       Se cumplen 10 años de los ataques de tipo phishing. 10 años después, el phishing sigue funcionando prácticamente igual que cuando comenzó, La sencillez se demuestra como un arma efectiva. Marzo 2013: Hispasec realiza un estudio sobre el uso de SPF en la banca,  una de las medidas que se pueden adoptar para intentar que el phishing no caiga en los buzones de los usuarios. Comprobando que en España está más extendido el uso de esta buena práctica.       Microsoft publica siete boletines de seguridad que agrupan 20 vulnerabilidades diferentes. Adobe publica una nueva actualización para Adobe Flash Player para evitar cuatro vulnerabilidades.       Apple implementa por defecto HTTPS en App Store y soluciona así varios problemas de seguridad documentados desde 2012. Más información: una-al-dia (08/01/2013) Boletines de seguridad de Microsoft en enero http://unaaldia.hispasec.com/2013/01/boletines-de-seguridad-de-microsoft-en.html una-al-dia (15/01/2013) Microsoft publica boletín fuera de ciclo para el último 0-day de Internet Explorer http://unaaldia.hispasec.com/2013/01/microsoft-publica-boletin-fuera-de.html una-al-dia (16/01/2013) Oracle corrige 86 vulnerabilidades en su actualización de seguridad de enero http://unaaldia.hispasec.com/2013/01/oracle-corrige-86-vulnerabilidades-en.html una-al-dia (17/01/2013) Operación octubre rojo: un malware muy "personal" (I) http://unaaldia.hispasec.com/2013/01/operacion-octubre-rojo-un-malware-muy.html una-al-dia (18/01/2013) Operación octubre rojo: un malware muy "personal" (y II) http://unaaldia.hispasec.com/2013/01/operacion-octubre-rojo-un-malware-muy_18.html una-al-dia (19/01/2013) Adobe corrige varias vulnerabilidades en Cold Fusion 10 y 9 http://unaaldia.hispasec.com/2013/01/adobe-corrige-varias-vulnerabilidades.html una-al-dia (04/02/2013) Boletín de seguridad de Oracle soluciona 50 vulnerabilidades en Java http://unaaldia.hispasec.com/2013/02/boletin-de-seguridad-de-oracle.html una-al-dia (12/02/2013) Microsoft corrige 57 vulnerabilidades en 12 boletines de seguridad http://unaaldia.hispasec.com/2013/02/microsoft-corrige-57-vulnerabilidades.html una-al-dia (17/02/2013) Salto de restricciones en Apple iOS 6 (o cómo realizar llamadas desde un iPhone bloqueado) http://unaaldia.hispasec.com/2013/02/salto-de-restricciones-en-apple-ios-6-o.html una-al-dia (19/02/2013) Java detrás de los ataques a Apple, Facebook y Twitter http://unaaldia.hispasec.com/2013/02/java-detras-de-los-ataques-apple.html una-al-dia (20/02/2013) Boletines de seguridad para productos Mozilla http://unaaldia.hispasec.com/2013/02/boletines-de-seguridad-para-productos.html una-al-dia (26/02/2013) 10 años de phishing: la eficacia de lo simple (I) http://unaaldia.hispasec.com/2013/02/10-anos-de-phishing-la-eficacia-de-lo.html una-al-dia (26/02/2013) 10 años de phishing: la eficacia de lo simple (y II) http://unaaldia.hispasec.com/2013/02/10-anos-de-phishing-la-eficacia-de-lo_27.html una-al-dia (07/03/2013) SPF contra el phishing: mejor en la banca española que en el mundo http://unaaldia.hispasec.com/2013/03/spf-contra-el-phishing-mejor-en-la.html una-al-dia (12/03/2013) Microsoft corrige 20 vulnerabilidades en 7 boletines de seguridad http://unaaldia.hispasec.com/2013/03/microsoft-corrige-20-vulnerabilidades.html una-al-dia (13/03/2013) Nueva actualización para Adobe Flash Player http://unaaldia.hispasec.com/2013/03/nueva-actualizacion-para-adobe-flash.html una-al-dia (10/03/2013) Apple implementa por defecto HTTPS en App Store y soluciona así varias vulnerabilidades http://unaaldia.hispasec.com/2013/03/apple-implementa-por-defecto-https-en.html Antonio Ropero antonior@hispasec.com Twitter: @aropero Fuente: www.hispasec.com Leer Más

Actualización del kernel para Red Hat Enterprise Linux 6 Red Hat ha publicado una actualización del kernel para toda la familia Red Hat EnterpriseLinux 6 que solventa cuatro nuevas vulnerabilidades que podrían ser aprovechadas por un atacante para provocar denegaciones de servicio, elevar sus privilegios en el sistema o acceder a información sensible.  Los problemas corregidos se deben a errores en la implementación del protocolo TCP/IP (CVE-2013-4470) al tratar determinados paquetes UDP cuando está activa la característica UDP Fragmentation Offload (UFO), un fallo (CVE-2013-6367) de división por cero en la función apic_get_tmcct() en la implementación de Local Advanced Programmable Interrupt Controller (LAPIC) de KVM. Por último dos fallos de corrupción de memoria (CVE-2013-6368 y CVE-2013-2141). Además se han solucionado múltiples fallos de menor importancia y se incluyen dos mejoras. Esta actualización está disponible desde Red Hat Network. Más información: Important: kernel security, bug fix, and enhancement update https://rhn.redhat.com/errata/RHSA-2013-1801.html Antonio Ropero antonior@hispasec.com Twitter: @aropero Fuente: www.hispasec.com Leer Más Boletines de seguridad para Asterisk Asterisk ha publicado los boletines AST-2013-006y AST-2013-007que solucionan dos vulnerabilidadesque podrían permitir a atacantes remotos provocar denegaciones de servicio o elevar sus privilegios. Asterisk es una implementación de una central telefónica (PBX) de código abierto. Como cualquier PBX, se pueden conectar un número determinado de teléfonos para hacer llamadas entre sí e incluso conectarlos a un proveedor de VoIP para realizar comunicaciones con el exterior. Asterisk es ampliamente usado e incluye un gran número de interesantes características: buzón de voz, conferencias, IVR, distribución automática de llamadas, etc. Además el software creado por Digium está disponible para plataformas Linux, BSD, MacOS X, Solaris y Microsoft Windows. El primero de los problemas (AST-2013-006) reside en un desbordamiento de búfer en el tratamiento de mensajes SMS de 16 bits con un valor de longitud específicamente manipulado. Por otra parte (AST-2013-007) un usuario remoto autenticado podría acceder a funciones dialplan a través de protocolos de control externos y provocar que determinadas funciones dialplan modifiquen archivos arbitrarios o ejecutar comandos arbitrarios en los sistemas afectados. Ambos problemas afectan a Asterisk Open Source 1.8.x en adelante y las ramas 10.x y 11.x, Certified Asterisk 1.8.x y 11.x. Se han publicado las versiones Asterisk Open Source 1.8.24.1, 10.12.4, 11.6.1; Certified Asterisk 1.8.15-cert4, 11.2-cert3 y Asterisk with Digiumphones 10.12.4-digiumphones que solucionan dichos problemas. Más información: Asterisk Manager User Dialplan Permission Escalation http://downloads.asterisk.org/pub/security/AST-2013-007.pdf Buffer Overflow when receiving odd length 16 bit SMS message http://downloads.asterisk.org/pub/security/AST-2013-006.pdf Antonio Ropero antonior@hispasec.com Twitter: @aropero Fuente: www.hispasec.com Leer Más Vulnerabilidades de Cross-Site Scripting en IBM Lotus iNotes Se han confirmado tres vulnerabilidadesen IBM Lotus iNotes 8.5.x y 9.0 que podrían permitir a atacantes remotos la realización de ataques de cross-site scripting. IBM iNotes (anteriormente conocido como IBM Lotus iNotes) es una versión basada en web del cliente de Notes, incluyendo todas sus funciones. iNotes proporciona acceso desde el navegador al correo electrónico, el calendario y los contactos de Notes, así como el acceso a las aplicaciones y herramientas empresariales. El primero de los problemas (con CVE-2013-4063) reside en el tratamiento del contenido activo en mensajes email. Un segundo fallo (con CVE-2013-4064) en el modo ultra-light de iNotes y podría permitir la realización de ataques de cross-site scripting persistente. Por ultimo, con  CVE-2013-4065, también en el modo ultra-light de iNotes podría permitir la realización de ataques de cross-site scripting reflejado. En todos los casos los problemas podrían permitir a un atacante remoto dejar al descubierto los datos personales del usuario IBM ha publicado las actualizaciones necesarias en IBM Domino 9.0.1: información sobre como descargar esta versión: http://www-01.ibm.com/support/docview.wss?uid=swg24035441 Y en IBM Domino 8.5.3 Fix Pack 6, disponible desde: http://www-01.ibm.com/support/docview.wss?uid=swg24032242 Más información: IBM iNotes Cross-Site Scripting Vulnerabilities (CVE-2013-4063, CVE-2013-4064, CVE-2013-4065) http://www-01.ibm.com/support/docview.wss?uid=swg21659959 Antonio Ropero antonior@hispasec.com Twitter: @aropero Fuente: www.hispasec.com Leer Más

Actualización de seguridad de Apple Safari Apple ha publicado una actualización de seguridad para su navegador Safari (versión 6.1.1 y 7.0.1) que solventa diversas vulnerabilidades que podrían ser aprovechadas por un atacante remoto para obtener información sensible o lograr el compromiso de los sistemas afectados. Safari es un popular navegador web desarrollado por Apple, incluido en las sucesivas versiones de Mac OS X y del que también existen versiones oficiales para Windows 7, XP y Vista. Se ha corregido una vulnerabilidad (CVE-2013-5227) relacionada con el autocompletado de nombres de usuarios y contraseñas, que podría permitir a un atacante obtener información de las credenciales de un usuario. Por otra parte se solucionan ocho vulnerabilidades relacionadas con WebKit que podrían dar lugar a denegaciones de servicio o permitir la ejecución remota de código. Los CVE asociados son CVE-2013-2909, CVE-2013-5195, CVE-2013-5196, CVE-2013-5197, CVE-2013-5198, CVE-2013-5199, CVE-2013-5225 y CVE-2013-5228. Se recomienda actualizar a las versiones 6.1.1 o 7.0.1 de Safari para Mac OS X disponible a través de las actualizaciones automáticas de Apple, o para su descarga manual desde: http://support.apple.com/downloads/#safari Más información: About the security content of Safari 6.1.1 and Safari 7.0.1 http://support.apple.com/kb/HT6082 Antonio Ropero antonior@hispasec.com Twitter: @aropero Fuente: www.hispasec.com Leer Más

Denegación de servicio en Nagios Se ha solucionado un error en el núcleo de Nagios que podría ser aprovechado por un atacante remoto para causar una denegación de servicio. Nagios es un sistema de monitorización redes, que mantiene una vigilancia tanto del hardware de los equipos como del software instalado en ellos, avisando ante cualquier cambio, intrusión, escasez de recursos, etc. a través de diferentes medios como pueden ser el email y los SMS. La vulnerabilidad, identificada con CVE-2013-7108, está causada por un error de tipo off-by-one (OBOE) en la función process_cgivars(). En algunos CGIs al encontrar un valor de clave largo se incrementaba un contador por el doble lo que podría causar lectura una fuera de límites en la lista de variables CGI. Se puede encontrar el parche que soluciona la vulnerabilidad en el repositorio de código oficial de Nagios. Más información: CGIs: Fixed minor vulnerability where a custom query could crash the CGI. http://sourceforge.net/p/nagios/nagioscore/ci/d97e03f32741a7d851826b03ed73ff4c9612a866/ Fernando Castillo fcastillo@hispasec.com Fuente: www.hispasec.com Leer Más

Nuevos Boletines de seguridad para Wireshark Wireshark Foundation ha publicado boletines de seguridad que solucionan tres vulnerabilidades en Wireshark. Afectan a las ramas 1.10 y 1.8. Wireshark es una aplicación de auditoría orientada al análisis de tráfico en redes muy popular que soporta una gran cantidad de protocolos y es de fácil manejo. Además Wireshark es software libre (sujeto a licencia GPL) y se encuentra disponible para la mayoría de sistemas operativos Unix y compatibles, así como Microsoft Windows. Los boletines publicados corrigen errores relacionados con diversos disectores, que podrían ser aprovechados para provocar una denegación de servicio. Esto podría ser llevado a cabo por un atacante que podría inyectar paquetes maliciosos en la red o engañando a un usuario para que lea ficheros de captura de tráfico de red maliciosos. Se presentan a continuación los boletines, los disectores afectados y el identificador CVE asignado a cada uno de los fallos de seguridad: wnpa-sec-2013-66: Error en el disector SIP, el cual podría entrar en un bucle infinito. Descubierto por Alain Botti (CVE-2013-7112). Versiones afectadas: 1.10.0 hasta 1.10.3, 1.8.0 hasta 1.8.11 wnpa-sec-2013-67: Error en el disector BSSGP, el cual podría quedar bloqueado. Descubierto por Laurent Butti (CVE-2013-7113). Versiones afectadas: 1.10.0 hasta 1.10.3 wnpa-sec-2013-68: Error en el disector NTLMSSP v2, el cual podría quedar bloqueado. Descubierto por Garming Sam (CVE-2013-7114). Versiones afectadas: 1.10.0 hasta 1.10.3, 1.8.0 hasta 1.8.11 Se recomienda actualizar a versiones 1.8.12 o 1.10.4 Más información: wnpa-sec-2013-66 · SIP dissector infinite loop https://www.wireshark.org/security/wnpa-sec-2013-66.html wnpa-sec-2013-67 · BSSGP dissector crash https://www.wireshark.org/security/wnpa-sec-2013-67.html wnpa-sec-2013-68 · NTLMSSP v2 dissector crash https://www.wireshark.org/security/wnpa-sec-2013-68.html Juan Sánchez jasanchez@hispasec.com Fuente: www.hispasec.com Leer Más

Salto de restricciones en VMWare ESX/ESXi VMWare ha publicado el boletín de seguridad VMSA-2013-0016donde soluciona una vulnerabilidad en los productos VMWare ESX y ESXi que podría permitir el salto de restricciones y potencialmente la ejecución de código arbitrario. VMware es un software que permite ejecutar diferentes sistemas operativos en un mismo PC de forma virtual. Entre otras aplicaciones, VMware es muy utilizado en seguridad informática por la versatilidad que ofrece. VMWare ESX permite asignar recursos de procesador, memoria, almacenamiento de información y redes en múltiples máquinas virtuales. El error, identificado con CVE-2013-5973 se debe al manejo incorrecto de archivos de descripción de máquinas virtuales. Un usuario sin privilegios de vCenter Server podría obtener acceso de lectura y escritura a archivos arbitrarios del sistema, según que archivos modifique podría incluso lograr ejecutar código después de un reinicio del equipo. Solo los usuarios de vCenter Server con el privilegio "Add Existing Disk" podrían aprovechar este fallo, decir que usuarios o grupos que tengan el rol "Virtual Machine Power User" o "Resource Pool Administrator" tienen este privilegio. En https://www.vmware.com/patchmgr/download.portal se encuentran disponibles los parches para su descarga. Más información: VMSA-2013-0016 http://www.vmware.com/security/advisories/VMSA-2013-0016.html Fernando Castillo fcastillo@hispasec.com Fuente: www.hispasec.com Leer Más