7 de abril de 2019

TWITTER. Campañas electorales y vicios ocultos.

En la red han encontrado cobijo grupos terroristas y partidos de extrema derecha que han aprovechado la instantaneidad y la falta de control para esparcir el discurso del odio.
Hace pocos meses, ayer como quien dice, Vox era motivo de burla. El partido de Santiago Abascal se comportaba en las elecciones como un chiste que no funcionaba. En los comicios generales de junio de 2016 obtuvo un 0,20% de los votos, o lo que es lo mismo, apenas 47.182 personas depositaron la papeleta verde en las urnas. Han pasado poco menos de tres años y los sondeos le otorgan entre 30 y 50 diputados en la convocatoria del próximo 28 de abril, tras haber conquistado 12 asientos en el Parlamento de Andalucía. ¿Qué ha pasado para que, en un período de tiempo tan corto, un mal chiste se haya convertido en una broma pesada?
Cuando en febrero 2007, Federico Jiménez Losantos acudió a La Noche de Quintero, programa que el Loco de la Colina presentó en TVE, y dijo lo siguiente: “No creo que en España surjan partidos de extrema derecha mientras que el PP no abandone la defensa de la unidad nacional”, el tiempo demostró que no iba desencaminado.
El proceso soberanista en Cataluña ha conseguido abrir una espita en el hasta ahora inamovible régimen del 78, y aunque los pilares del tardofranquismo se han demostrado sólidos ante la adversidad, de aquella grieta han surgido los fantasmas de la ultraderecha, mal que le pese a Aznar, pues durante 40 años habían dormitado plácidamente en las anchas posaderas del PP.
Para el espectro político más reaccionario, Rajoy llegó mal y tarde al auxilio de la sacrosanta unidad del Estado, y es ahí, entre los alaridos de los que ansiaban el ruido de los tanques por la Diagonal, donde Vox ha encontrado un caladero de votos en la España carpetovetónica.
Acusar a los independentistas catalanes de haber despertado el “fantasma del fascismo”, como hizo Pablo Iglesias, sería tan ruin como señalar a la lengua muy larga y a la falda muy corta, en lugar de al abusador, pero bien es cierto que los templarios de Abascal han sabido utilizar el diálogo de sordos entre Cataluña y España para atraer a los nostálgicos de aquellos tiempos donde el vetusto imperio solucionaba los problemas territoriales poniendo una pica en Flandes.
El río estaba revuelto, pero a Vox le faltaba la red con la que proceder a la captura. En aquellos días, los medios de comunicación estaban fascinados por la planta de caballero y el aspecto de yerno perfecto que un Albert Rivera bendecido por los aromas del Ibex35 destilaba en los platós de televisión, mientras que la formación de Abascal tenía que conformarse con el pestilente hedor a Varón Dandy que rezumaban los programas de Intereconomía. Fue entonces cuando irrumpió en escena otro hidalgo de perfume naftalino y le mostró a Vox el camino para transitar desde los márgenes del debate público al centro mismo de la conversación.
Durante años, Donald Trump deambuló por un camino paralelo al de los partidos de extrema derecha españoles. El multimillonario neoyorkino era el convidado de piedra en la carrera electoral, el elemento histriónico con el que las televisiones estadounidenses animaban los tediosos procesos de primarias, la chanza de los humoristas de la stand up-comedy, el bufón, triste y patizambo, que hacía reír a carcajadas al establishment de Washington. Pero entonces, en aquel trayecto hacia el ostracismo, Trump se cruzó con el multimillonario Robert Mercer, un ultraconservador anarco capitalista que estaba dispuesto a invertir una fortuna para devolver al país al trote de la América tradicional, y que contaba, entre sus peregrinos del Mayflower, con un tal Steve Bannon.
De Stephen Kevin Bannon se ha hablado largo y tendido. El asesor que impulsó a Trump hasta la Casa Blanca supo interpretar mejor que nadie el descontento de una ciudadanía que acabó hastiada de los lugares comunes de la administración Obama, y entendió que para catalizar todo aquel hartazgo existía un subterfugio a salvo de la alienación de los medios de comunicación.
La batalla por el discurso se juega hoy en internet, y es allí, en el tablero de las redes sociales, donde los nuevos populismos de extrema derecha han sabido moverse como los viejos maestros soviéticos del ajedrez.
El triunfo del discurso del odio, de la aversión al diferente, del patrioterismo rancio del himno y de las banderas; la victoria de una idea de país tan pequeña que podía caber en una caja de zapatos, es a su vez el fracaso de los grandes gigantes de Silicon Valley para acabar con la toxicidad que domina las redes sociales.
“Hemos fracasado”, reconocía Jack Dorsey, CEO de Twitter, durante una entrevista con la periodista Kara Swisher, acerca de lo infructuoso que han resultado las iniciativas que el servicio de microblogging ha puesto en marcha para intentar frenar el acoso que sufren muchos de sus usuarios.
El periodista Manu Garrido desgranaba hace poco, en un artículo, algunos datos que evidenciaban esta incapacidad, como los 4 millones de tuits antisemitas que se publicaron en 2017, o los mensajes de acoso (uno cada 30 segundos) que reciben mujeres políticas y periodistas, o lo que es aún más sintomático, la inseguridad de sus propios trabajadores; la compañía ha pedido mantener su anonimato a los medios de comunicación que han visitado sus oficinas, por miedo a posibles represalias.
Las rendijas de seguridad de Twitter, permiten cada día la bilis iracunda de los trolls, los dogmas teledirigidos de los bots y las falacias de las fake news. Y de postre, un poco de la leyenda, o no, del shadow banning.
Lo cierto es que el shadow baninng existe, pero Twitter argumenta que, lejos de las teorías conspirativas que prenden en los mentideros de internet, se trata de una estrategia para combatir el acoso, que también utilizan otras plataformas como Reddit o Instagram.
Según un artículo de The Verge, la web del pájaro azul comenzó a implementar una serie de nuevos filtros para prevenir el hostigamiento y excluir de la conversación a aquellos perfiles que suelen utilizar un lenguaje amenazante. Lo hace mediante un análisis automatizado de palabras prohibidas, entre las que se encuentran “subnormal”, “puta”, “retrasado”, “maricón”, “gordo”, “negrata” o los términos “matar”, “morir” y “muerte” en todas sus formas. El problema reside en que la decisión sobre qué resulta amenazante o vejatorio recae en un algoritmo que no puede interpretar el contexto, y es en este vacío donde han florecido una serie de cuentas que se dedican a reportar usuarios contrarios a su ideología.
Otra gran problemática para la que Twitter se ha mostrado inoperante es la de los bots; cuentas automatizadas creadas para difundir mensajes y retuitear spam, en torno a las cuales ha germinado el floreciente negocio de las llamadas granjas de trolls.
No se trata de la injerencia rusa en los procesos electorales de Europa y Estados Unidos, como han defendido algunos medios de comunicación. La explicación es mucho más trivial; son empresas que explotan a parados, estudiantes, publicistas en apuros, amas de casa e incluso jubilados. Solo necesitan conocer el manejo de las redes sociales y seguir las directrices que les marca el patrón. Es un negocio precario, con un salario de miseria que oscila según el volumen de tuits que sean capaces de producir. Cuando una marca o un partido político quiere colocar un mensaje en la conversación de las redes sociales, los granjeros diseminan el encargo utilizando hashtags e interactuando entre ellos. Atacan en grupo y se han demostrado muy eficaces en la consecución de sus objetivos.
La usabilidad de las granjas de trolls también funciona para aumentar la popularidad de un usuario, o para desprestigiarla. En 2016, la cuenta de Mariano Rajoy experimentó un crecimiento de 60.000 nuevos seguidores en apenas unos días. Perfiles con nombres en árabe y sin apenas actividad comenzaron a interesarse por las opiniones del por entonces presidente del gobierno, y aunque pudiera parecer que se trató de una estrategia para incrementar la nombradía del líder popular, una investigación interna de Twitter apuntó todo lo contrario.
Cualquiera puede comprar miles de seguidores falsos, para uno mismo o para un tercero, sin que éste lo sepa o haya dado previamente su consentimiento. Esto podría explicar otro de los mayores entuertos a los que han tenido que hacer frente en las oficinas del pájaro azul, cuando a principios de 2018, usuarios como @jonathanmartinz @protestona1 o @xuxipc denunciaron que sus seguidores reales estaban siendo sustituidos por centenares de cuentas falsas. Fue tal el revuelo que Twitter tuvo que salir al paso argumentando que se trataba de un bug (un error de software) de solución, dijeron, “casi inmediata”.
Dejando a un lado las ocurrencias cuartomilenaicas que algunos tuiteros alimentan, la realidad es mucho menos atractiva. Twitter, como reconoció el propio Dorsey, ha fracasado en sus intentos por mantener la interacción dentro de los límites de un ambiente respirable. Lo que en un principio fue concebido como un servicio para intercambiar opiniones, se ha convertido en una ciénaga donde mujeres, homosexuales y minorías raciales son permanentemente hostigadas.
Aquí han encontrado cobijo grupos terroristas y partidos de extrema derecha que han aprovechado la instantaneidad y la falta de control para esparcir el discurso del odio, mientras cada vez son más las activistas que abandonan sus cuentas, hartas de estar en la diana permanente del verbo exacerbado.
Confrontar y erradicar estas prácticas son los retos más inmediatos que Twitter deberá afrontar, o de lo contrario, la sangría que le hizo perder un millón de usuarios en 2018 continuará hasta convertir lo que podía haber sido una herramienta transformadora en el ámbito de la comunicación, en un erial de trolls, bots y fake news.
Fuente:ctxt.es

Hallados datos de 540 millones de usuarios de Facebook en servidor de Amazon desprotegido.

Los datos filtrados no provienen directamente de Facebook, sino que fueron recolectados por los desarrolladores de una app.
Hace unos días la compañía fue sorprendida pidiendo a algunos de sus usuarios las credenciales de acceso a sus cuentas de correo. Hoy nos encontramos con que los datos de millones de usuarios estaban desprotegidos en un servidor de Amazon.
Investigadores de la compañía UpGuard descubrieron dos datasets distintos: la primera pertenece a una compañía de medios mejicana llamada Cultura Colectiva y la otra a una app integrada en Facebook llamada At the pool.
Los datos recolectados por Cultura Colectiva contienen 540 millones de registros de usuarios. Incluyen: comentarios, likes, nombres de cuenta, ID de usuario de Facebook, etc.
En cuanto al leak de la app At the Pool, ésta contiene información sobre los amigos de los usuarios, likes, grupos, localizaciones gps, así como nombres de usuario, contraseñas en texto plano y direcciones de correo de 22000 usuarios.
En Upguard creen que las contraseñas encontradas en la base de datos pertenecen a la app At the Pool y no son directamente credenciales de Facebook, pero dado que con muchísima frecuencia se suelen reutilizar las credenciales para varios servicios, éstas podrían ser válidas para acceder a famosa red social.
Ambos datasets estaban en un bucket S3 desprotegido, que ahora se encuentra securizado después de que el propio Facebook y Cultura Colectiva contactaran con Amazon.
Más Información:
Fuente: Hispasec

Múltiples vulnerabilidades en Apache HTTP Server

Apache ha publicado 6 vulnerabilidades, 3 de severidad alta y 3 de criticidad baja, catalogadas de Importancia: 4 - Alta
Recursos afectados:
Apache HTTP Server, versiones 2.4.38; 2.4.37; 2.4.35; 2.4.34; 2.4.33; 2.4.30; 2.4.29; 2.4.28; 2.4.27; 2.4.26; 2.4.25; 2.4.23; 2.4.20; 2.4.18; 2.4.17; 2.4.16; 2.4.12; 2.4.10; 2.4.9; 2.4.7; 2.4.6; 2.4.4; 2.4.3; 2.4.2; 2.4.1; 2.4.0
Recomendación
·        Actualizar a la versión 2.4.39. http://httpd.apache.org/download.cgi#apache24
Detalle de vulnerabilidades
Las vulnerabilidades de criticidad alta son:
1.    En Apache HTTP Server con MPM (Módulos de MultiProcesamiento) event, worker o prefork, el código que se ejecuta en procesos o subprocesos secundarios con pocos privilegios (incluyendo scripts ejecutado por un intérprete de scripts), podría permitir a un atacante ejecutar código arbitrario con los privilegios de root manipulando el marcador. Se ha reservado el identificador CVE-2019-0221 para esta vulnerabilidad.
2.    Una condición de secuencia en mod_auth_digest cuando se está ejecutando en un servidor de subprocesos, podría permitir a un usuario con credenciales válidas autenticarse usando otro nombre de usuario y omitiendo las restricciones de control de acceso. Se ha reservado el identificador CVE-2019-0217 para esta vulnerabilidad.
3.    Un error en mod_ssl al utilizar la verificación de certificados de cliente por ubicacion con TLSv1.3, podría permitir a un atacante que soporte la autenticación Post-Handshake eludir las restricciones de control de acceso. Se ha reservado el identificador CVE-2019-0215 para esta vulnerabilidad.
4.    Para el resto de vulnerabilidades, se han reservado los identificadores CVE-2019-0197, CVE-2019-0196 y CVE-2019-0220.
Más información
Fuente: INCIBE

Fallo en la aplicación de WordPress en iOS, filtró los tokens de acceso a terceros

WordPress ha solucionado recientemente una grave vulnerabilidad en su aplicación para iOS que, aparentemente, filtró tokens de autorización de los usuarios cuyos blogs usaban imágenes alojadas en sitios de terceros.
Detalle de vulnerabilidades
El fallo, descubierto por el equipo de ingenieros de WP, residía en la forma en que la aplicación de WordPress para iOS estaba obteniendo las imágenes de blogs privados (Imgur, Flickr, etc.).
Eso significa que, si una imagen estaba alojada en algún blog que no pertenecía a WordPress, cuando la aplicación de iOS intentaba obtener la imagen, enviaba un token de autorización de WordPress.com al blog concreto, dejando una copia del mismo en los registros de acceso del servidor.
Curiosamente, la aplicación para dispositivos Android y los sitios web de WordPress auto hospedados no se ven afectados por este fallo.
Recursos afectados
Según Auttomatic, la vulnerabilidad afecta a todas las versiones de la aplicación de WordPress para iOS lanzada en los últimos dos años y fue parcheada el mes pasado con el lanzamiento de la versión 11.9.1.
Aunque la empresa no reveló con precisión cuantos usuarios o blogs se vieron afectados por el problema, si confirmó que no hay indicios de que haya habido una explotación malintencionada del fallo.
Además, la compañía ha tomado la precaución de restablecer los tokens de acceso y enviar un mensaje de advertencia a todos los usuarios de iOS con blogs privados.
Desde Hispasec recomendamos a todos los propietarios de blogs que hagan uso de la aplicación de WordPress para dispositivos iOS, que actualicen su aplicación inmediatamente.
Más información
Fuente: Hispasec

CRIPTOCERT. Primera certificación profesional española en criptografía

CriptoCert Certified Crypto Analyst. Así se ha denominado a la primera certificación técnica profesional española en criptografía.
De la mano de CriptoCert S.L., compañía española recientemente fundada y focalizada en la promoción, difusión, educación, capacitación técnica y certificación de profesionales en el campo de la criptografía y protección de la información, así como de su aplicación en el mundo real, nace CriptoCert Certified Crypto Analyst, la primera certificación técnica profesional de criptografía y protección de la información en español, que cuenta además con el reconocimiento del Centro Criptológico Nacional (CCN), centro responsable de la seguridad y protección de las comunicaciones de las administraciones públicas en España (adscrito al Centro Nacional de Inteligencia, CNI).
El objetivo principal de esta certificación es capacitar y acreditar de manera rigurosa a profesionales mediante contenidos técnicos extensos, detallados y actualizados. Como segundo objetivo, se plantea la difusión del uso de la criptografía y su utilización práctica, lo que se conoce como criptografía aplicada. Dado que uno de los fundamentos de la criptografía son las matemáticas, y aunque la certificación estudia los conceptos y principios matemáticos necesarios para comprender el funcionamiento de múltiples sistemas y protocolos criptográficos, y en cómo aplicar la criptografía de forma práctica en numerosos escenarios desde el punto de vista de la ingeniería, evita lo más posible profundizar en esa faceta más teórica.
En resumen, la ambición de esta innovadora iniciativa española es extender los complejos conocimientos vinculados al mundo de la criptología a un mayor número de profesionales de una manera clara y entendible, para que dispongan de las capacidades de análisis y comprensión de los elementos criptográficos, de cara a su aplicación en la protección de soluciones y entornos tecnológicos.
Hoy en día, la criptografía no sólo es una moda: ejemplos significativos de su utilización están presentes en el día a día en múltiples sistemas, aplicaciones, protocolos, comunicaciones, arquitecturas y dispositivos. Y es menester que los técnicos, ingenieros e incluso directivos de empresas, organizaciones, administración pública y otros entornos civiles o militares, conozcan cómo funciona la criptografía y sepan de sus fortalezas y de sus debilidades.
Más información
Fuente: Hispasec

IBM. Múltiples vulnerabilidades en Db2

Se han publicado dos vulnerabilidades de tipo buffer overflow en Db2 que podrían permitir a un atacante local ejecutar código arbitrario como root, catalogadas de  Importancia: 4 - Alta
Recursos afectados:
  • IBM Db2 V9.7, V10.1, V10.5 y V11.1 en todas las plataformas.
Detalle de vulnerabilidades
  • IBM DB2 libdb2e.so.1 es vulnerable a un desbordamiento de búfer basado en una pila, causado por una comprobación incorrecta de los límites que podría permitir a un atacante ejecutar código arbitrario. Se ha reservado el identificador CVE-2018-1936 para esta vulnerabilidad.
  • IBM DB2 para Linux, UNIX y Windows (incluyendo DB2 Connect Server) es vulnerable a un desbordamiento de búfer, que podría permitir a un atacante local autenticado ejecutar código arbitrario en el sistema como root. Se ha reservado el identificador CVE-2019-4014 para esta vulnerabilidad.
Recomendación
  • Aplicar el parche apropiado en función de la versión. Consultar la sección “Más información”
Más información
Fuente: INCIBE

IBM. Múltiples vulnerabilidades en Security Privileged Identity Manager Appliance

IBM ha publicado un boletín de seguridad que está compuesto por 48 vulnerabilidades, siendo una vulnerabilidad de severidad crítica, 16 de severidad alta y el resto medias o bajas, catalogadas de  Importancia: 5 - Crítica
Recursos afectados:
·        IBM Security Privileged Identity Manager versión 2.1.1
Detalle de vulnerabilidades
Las vulnerabilidades encontradas son del tipo:
·        Escalada de privilegios.
·        Cierre inesperado.
·        Ejecución arbitraria de comandos.
·        Ejecución arbitraria de código.
·        Fallo de memoria.
·        Generar una condición de denegación de servicio.
·        Revelación de información
·        Eludir restricciones de acceso.
·        Modificar y/o inyectar cookies.
A la vulnerabilidad de severidad crítica se le ha asignado el identificador CVE-2017-16939, y para las de severidad alta, se les han asignado los identificadores CVE-2018-1087, CVE-2018-1068, CVE-2016-1181, CVE-2014-0114, CVE-2018-15688, CVE-2018-5391, CVE-2017-1000050, CVE-2018-0494, CVE-2018-1113, CVE-2018-8897, CVE-2015-5180, CVE-2017-15670, CVE-2017-18017 y CVE-2017-11368. Y se han reservado los identificadores CVE-2018-1640 y CVE-2018-1618 para vulnerabilidades de criticidad alta.
Recomendación
Más información
Fuente: INCIBE

Vulnerabilidad en FortiOS

Un usuario autenticado y sin privilegios podría cambiar la configuración del enrutamiento, catalogada de Importancia: 4 - Alta
Recursos afectados:
FortiOS versiones:
·        6.0.2 y anteriores.
·        5.6.7 y anteriores.
·        5.4.10 y anteriores.
Recomendación
En función de la versión del producto afectado, actualizar a las versiones:
·        6.0.3 o superior.
·        5.6.8 o superior.
·        5.4.11 o superior.
Detalle de vulnerabilidades
Un control externo de la vulnerabilidad del sistema en FortiOS podría permitir a un usuario autenticado cambiar los ajustes de enrutamiento del dispositivo mediante la conexión al componente ZebOS. Se ha reservado el identificador CVE-2018-13371 para esta vulnerabilidad.
Más información
Fuente: INCIBE

VMWARE. Actualizaciones de seguridad para varios productos de la firma

Descubiertas varias vulnerabilidades para los productos vCloud Director, ESXi, Workstation y Fusion de VMware en la Pwn2Own 2019 que permitirían la ejecución de código arbitrario en la máquina anfitrión.
Los investigadores Amat Cama y Richard Zhu, del equipo Fluoroacetate han descubierto varias vulnerabilidades que permitirían ejecutar código arbitrario en el sistema operativo de la máquina anfitrión.
Detalle de vulnereabilidades
1.    La primera vulnerabilidad (CVE-2019-5514) afecta a las versiones anteriores a la 11.03 de VMware Fusion. Un atacante podría engañar al usuario de la máquina anfitrión y ejecutar código JavaScript para realizar acciones no autorizadas dentro de la máquina virtual donde esté instalado el componente VMware Tools que adolece de la protección necesaria en una de sus API.
2.    La segunda vulnerabilidad, etiquetada como CVE-2019-5515 permitiría a un atacante ejecutar código arbitrario o provocar una denegación de servicio en la máquina virtual por medio de paquetes especialmente manipulados que provoquen fallos de escritura fuera de los límites de la memoria en los adaptadores de red virtuales e1000 y e1000e.
3.    La tercera vulnerabilidad, clasificada como crítica y etiquetada como CVE-2019-5518, afecta a las ramas 6.7 anteriores a ESXi670-201903001, 6.5 anteriores a ESXi650-201903001 y 6.0 anteriores a ESXi600-201903001 de VMware ESXi. A las versiones anteriores a la 15.0.4 y 14.1.7 de VMware Workstation y a las versiones anteriores a la 11.0.3 y 10.1.6 de VMware Fusion. El fallo permitiría a un usuario sin privilegios ejecutar código en el sistema anfitrión aprovechando un fallo de lectura/escritura fuera de los límites en la interfaz virtual USB 1.1 UHCI.
4.    La cuarta vulnerabilidad de tipo Time-of-check Time-of-use (TOCTOU), se encuentra en las versiones anteriores a ESXi670-201903001, ESXi650-201903001 y ESXi600-201903001 de VMware ESXi, a las anteriores a la 15.0.4 y 14.1.7 de VMware Workstation y a las anteriores a la 11.0.3 y 10.1.6 de VMware Fusion. Un atacante con acceso a la máquina virtual podría explotar esta vulnerabilidad para ejecutar código en la máquina anfitrión. Esta vulnerabilidad se considera crítica y ha sido etiquetada como CVE-2019-5519.
5.    La última vulnerabilidad reportada en el boletín afecta también al adaptador de red virtual e1000, utilizado por las versiones para macOS de VMware Fusion y Workstation y permitiría la ejecución de código arbitrario en la máquina anfitrión aprovechando escrituras fuera de los límites de la memoria. A esta vulnerabilidad se le ha asignado el identificador CVE-2019-5524 y está considerada como crítica.
Más información
Fuente: Hispasec

KUBERNETES. Vulnerabilidad mal parcheada permite realizar un directory traversal en el copiado

El fallo permite copiar ficheros no seleccionados en la máquina host fuera del directorio de trabajo
Ariel Zelivansky de Twistlock ha encontrado un nuevo fallo en el comando ‘cp’ de Kubernetes que permite sobrescribir ficheros locales al realizar un copiado desde un pod con un comando ‘tar’ malicioso. Este mismo investigador ya encontró un fallo en este mismo comando en enero del 2018 con el CVE-2018-1002100, siendo este nuevo fallo un nuevo tipo de error.
Esta nueva vulnerabilidad, identificada con el CVE-2019-1002101, se debe a la forma de trabajar del comando ‘cp’ de Kubernetes: para realizar más rápido el copiado de uno o varios ficheros desde un pod a la máquina local, éstos se empaquetan usando el comando ‘tar’ de dentro del pod. Un comando ‘tar’ malicioso podría añadir otros archivos además de los deseados, que se copiarán a otras rutas al descomprimirse. Un pod que hubiese sido explotado por otra vulnerabilidad, o un pod que proviene de una imagen maliciosa, podría contener un comando ‘tar’ que sobrescribiese el fichero ‘.bashrc’ (u otros de la máquina local) para tomar el control de la máquina host.
La vulnerabilidad, que sólo afecta en principio al comando ‘cp’, ya ha sido resuelta en la versión 1.14.0 de Kubernetes, además de las 1.11.9, 1.12.7 y 1.13.5. Se recomienda actualizar a las últimas versiones para evitar verse expuesto a este nuevo fallo, o no emplear el comando ‘cp’ hasta actualizar a la última versión.
Más información
Fuente: Hispasec
Demotración de explotación de la vulnerabilidad. Fuente: Twistlock.



TOYOTA. Segunda filtración de datos en menos de dos meses

Toyota publicó hace unos días un comunicado en el que denunciaba que habían detectado un nuevo acceso no autorizado en diversas oficinas pudiendo haber expuesto los datos de más de tres millones de clientes.
Tras el incidente de seguridad del pasado 19 de febrero en Australia, la compañía ha vuelto a sufrir un nuevo ataque informático que ha afectado en esta ocasión a las oficinas de Tokyo Sales Holdings, Tokyo Tokyo Motor, Tokyo Toyopet, Toyota Tokyo Corolla, Nets Toyota Tokyo, Lexus Koishikawa Sales, Jamil Shoji (Lexus Nerima) y Toyota West Tokyo Corolla. Se sospecha que pueden haberse filtrado datos de cerca de 3,1 millones de clientes, aunque la compañía declara que entre la información comprometida no se haya ningún dato sobre tarjetas de crédito.
Algunos expertos sospechan que estos ataques contra Toyota y sus asociados podría ser parte de una operación coordinada a gran escala atribuible al grupo vietnamita APT32, también conocidos como OceanLotus, que tendrían como objetivos empresas extranjeras con inversiones en diversos sectores industriales vietnamitas entre otros. Además, durante las últimas semanas se había reportado una campaña de spearphishing contra clientes de empresas de automoción.
Fuente: Hispasec

Ejecución remota de código con privilegios de administrador en dispositivos TP-Link SR20

Fallo encontrado en el router y hub TP-Link SR20 que permite a un atacante ejecutar código remoto con privilegio de root. Para ello es necesario estar conectado en la misma red ya que las reglas del firewall por defecto bloquean el acceso a la WAN.
Es común encontrar en los routers TP-Link un ejecutable llamado tddp utilizado para la depuración del dispositivo. Este proceso ya ha tenido fallos en el pasado. Lo interesante es que en la versión 2 es necesario acceder con la contraseña de administrador, pero en la versión 1 no es necesario autenticarse, y resulta que el SR20 aún soporta comandos de la versión 1.
Al analizar tddp se puede ver que la función recvfrom() se encarga de copiar información de un network socket y seleccionar un protocolo a utilizar según el primer byte del paquete enviado. En la versión 1 comprueba el segundo byte para realizar una llamada a la función que va a tratar este paquete. Si este segundo byte es 0x31 llama a CMD_FTEST_CONFIG.
CMD_FTEST_CONFIG parsea el contenido del paquete a un payload que contiene dos strings separadas por un punto y coma. La primera cadena corresponde a un nombre de fichero y la segunda a un archivo de configuración. Luego llama a tddp_exexCmd
tddp_execCmd("cd /tmp; tftp -gr %s %s &",luaFile,remote_address)
Que ejecuta el comando tftp en segundo plano y se conecta de nuevo a la máquina que envió el comando donde trata de descargar el archivo correspondiente al nombre pasado como parámetro.
El proceso en tddp espera 4 segundos para que aparezca el archivo, una vez aparece, lo carga en un interprete Lua inicializado anteriormente, y llama a la función config_test() enviándole como argumentos el nombre de archivo de configuración junto con la dirección remota.
Al ser config_test() proporcionado por el archivo que se descargó desde la máquina remota, nos da la opción de realizar una ejecución remota en el intérprete. Pudiendo ser explotada utilizando el método os.execute de Lua con el que podremos ejecuta comandos bash.
Al ejecutarse tddp como root tendremos permiso de administrador.
Para llevar este proceso a cabo es necesario estar conectado en la misma red, ya que las reglas de firewall por defecto bloquean el acceso a la WAN, aunque una vez explotado es posible dejar un backdoor que de acceso remoto en el futuro.
Matthew Garret, investigador de Google, fue quien encontró el fallo, y en su cuenta de Twitter explica que reportó el error a la empresa TP-Link, pero al no obtener respuesta decidió hacerlo público 90 días después de dicho reporte.
Más información
·        dreamwidth.org https://mjg59.dreamwidth.org/51672.html
Fuente: Hispasec

Ataques CSS Exfil: qué son y cómo protegerte de ellos en Google Chrome y Firefox

El navegador representa una parte fundamental a la hora de conectarnos a Internet. Son muchos los métodos con los que podrían infectar nuestros equipos, pero sin duda es el navegador una fuente importante. Hoy vamos a hablar de qué son los ataques CSS Exfil y cómo podemos protegernos al utilizar Google Chrome o Mozilla Firefox. 
Qué son los ataques CSS Exfil y cómo podemos protegernos
CSS Exfil es un método por el cual pueden atacar a los usuarios a través de los navegadores. Con ello podrían robar datos de todo tipo. Como sabemos, muchas páginas hoy en día dependen de CSS. Esto hace que llevando a cabo un ataque de este tipo puedan acceder a muchos tipos de datos e información.
Entre otras cosas, podrían robar nombres de usuarios, claves e información confidencial. El problema es que los navegadores de serie no cuentan con un sistema de protección contra este tipo de ataques. Esto podría dejar inseguros a los usuarios que utilicen Google Chrome y Mozilla Firefox en caso de encontrarse con un sitio que pueda resultar en una amenaza.
El investigador de seguridad Mike Gualtieri realizó una serie de pruebas de concepto para explotar esta vulnerabilidad. En esas pruebas indicó que se podían robar datos como los que hemos mencionado.
Por suerte podemos agregar herramientas a los navegadores para protegernos de ataques de CSS Exfil. Hemos indicado que de forma predeterminada no cuentan con protección contra esto. Pero ya sabemos que tanto Google Chrome como Mozilla Firefox cuentan con una gran cantidad de usuarios en todo el mundo. Esto hace que aparezcan extensiones muy variadas, muchas de ellas orientadas en la privacidad y seguridad.
Cómo protegernos de los ataques CSS Exfil en Google Chrome y Mozilla Firefox
Si empezamos por Google Chrome, el navegador más popular y utilizado hoy en día, podemos instalar una extensión para protegernos de los ataques CSS Exfil. Se llama CSS Exfil Protection y está disponible en la tienda oficial del navegador. Como siempre decimos, nuestra recomendación es instalar las extensiones desde fuentes oficiales. Nunca hay que bajarlas de páginas de terceros, ya que podríamos agregar software que ha sido modificado de forma maliciosa.
La función de esta extensión es la de analizar cualquier intento de ataque. Bloquea si encuentra una regla CSS que esté diseñada para robar cualquier tipo de datos. De esta forma estamos protegidos ante posibles atacantes que utilicen este método.
De la misma manera que para Google Chrome, también podemos utilizar una extensión para Mozilla Firefox. Se trata del mismo software y con un funcionamiento similar. CSS Exfil Protection lo podemos bajar de la tienda oficial de Mozilla Firefox.
En definitiva, gracias a la posibilidad de instalar extensiones adicionales podemos agregar protección a Google Chrome y Mozilla Firefox frente a ataques CSS Exfil.
Fuente: Mike-Gualtieri