8 de enero de 2017

GOOGLE. Corrige 95 vulnerabilidades en Android

Google ha publicado el boletín de seguridad Android correspondiente al mes de enero en el que corrige un total de 95 vulnerabilidades, 29 de ellas calificadas como críticas.
Detalle de las vulnerabilidades corregidas.
  • En el nivel de parches de seguridad 2017-01-01 ("2017-01-01 security patch level") se encuentran los que afectan al núcleo de servicios Android, controladores y componentes que todos los fabricantes de smartphones Android deberían incluir con mayor prioridad.
  • En este bloque se solucionan 23 vulnerabilidades, tan solo una de ellas se considera crítica y podría permitir la ejecución remota de código en MediaServer. Otras 14 de ellas son de gravedad alta y otras ocho de importancia moderada. Los problemas más graves se refieren a vulnerabilidades de ejecución remota de código en MediaServer, en Framesequence, Framework APIs, Audioserver, libnl o en el almacenamiento externo.
  • Por otra en el nivel de parches de seguridad 2017-01-05 ("2017-01-05 security patch level") se incluyen vulnerabilidades en controladores y componentes incluidos solo por algunos fabricantes en sus versiones de Android. En este bloque se solucionan 72 fallos en subsistemas del kernel, controladores y componentes OEM. 28 de las vulnerabilidades están consideradas críticas, 27 de gravedad alta y 17 de riesgo medio. Cabe destacar que los componentes NVIDIA y Qualcomm son los más afectados.
  • Los problemas críticos se tratan principalmente de vulnerabilidades de elevación de privilegios, a través del subsistema de memoria del kernel, del sistema de archivos del kernel, del controlador MediaTek y 11 a través del controlador NVIDIA GPU. También hay otros 10 fallos en componentes Qualcomm. 
  • A pesar de las actualizaciones de Google para Android, estas solo llegan puntualmente a los dispositivos Nexus, los propios de Google. Es destacable el esfuerzo realizado por otros fabricantes, como Samsung, que también están aplicando las actualizaciones con periodicidad. En otros casos, la actualización también incluye a las operadoras de telefonía, lo cual alarga aun más el proceso de actualización. 
Más información:
Fuente: Hispasec
Publicado por en
Etiquetas: ,

Grave vulnerabilidad en HPE Operations Orchestration

Se ha confirmado una vulnerabilidad en HPE Operations Orchestration, que podría permitir a un atacante lograr comprometer los sistemas afectados.
El problema, con CVE-2016-8519, afecta a todas las versiones de HPE Operations Orchestration anteriores a la v10.70 y podría permitir a un atacante remoto ejecutar código arbitrario en los sistemas afectados. Sin embargo HP no ha facilitado más información sobre el problema, que fue reportado por Jacob Baines de Tenable Network Security a través de Zero Day Initiative (ZDI) de Trend Micro.
Recomendación
Más información:
Fuente: Hispasec
Publicado por en
Etiquetas:

SQUID. Solucionadas dos vulnerabilidades

Se han solucionado dos vulnerabilidades en SQUID versiones 3x y 4.x que podrían permitir a atacantes remotos conseguir información sensible del sistema atacado.
Squid es uno de los servidores proxys más populares, en gran parte por ser de código abierto y multiplataforma (aunque sus comienzos fueron para sistemas Unix).
El primer problema, con CVE-2016-10003, se debe a una comparación incorrecta de las cabeceras de las peticiones, Squid puede devolver respuestas que contengan datos privados a clientes a los que no debería llegar. Por otra parte, con CVE-2016-10002, otra vulnerabilidad debida a la manipulación incorrecta de petición condicional HTTP, de forma similar Squid puede devolver respuestas que contengan datos privados a clientes.
Ambos problemas afectan a versiones Squid 3.5 a 3.5.22 y Squid 4.0 a 4.0.16. Los problemas están solucionados en las versiones Squid 3.5.23 y 4.0.17, o se puede también aplicar los parches disponibles desde las alertas publicadas.
Más información:
Fuente: Hispasec
Publicado por en
Etiquetas:

Cross-Site scripting en Novell GroupWise

Se ha anunciado una vulnerabilidad en Novell GroupWise 2014, que podría permitir a atacantes remotos construir ataques de cross-site scripting.
Novell GroupWise es un software de colaboración con funcionalidades para uso de correo electrónico, calendarios, mensajería instantánea, coordinación de tareas, control de documentación, etc. En la actualidad Novell forma parte de Micro Focus.
El problema (con CVE-2016-9169) reside en la consola web de GroupWise Document Viewer Agent que podría permtir a un atacante remoto crear una URL, que al ser cargada por el usuario permita la ejecución de código script. Con ello el atacante podría acceder a las cookies (incluyendo las de autenticación) y a información recientemente enviada, además de poder realizar acciones en el sitio haciéndose pasar por la víctima.
  • Para resolver esta vulnerabilidad se recomienda aplicar GroupWise 2014 R2 Support Pack 1 Hot Patch 2 (o posterior).
Más información:
Fuente: Hispasec
Publicado por en
Etiquetas:

Vulnerabilidad crítica en Cisco CloudCenter Orchestrator

Cisco ha confirmado una vulnerabilidad en la configuración Docker Engine de Cisco CloudCenter Orchestrator (CCO; anteriormente conocido como CliQr) que podría permitir a un atacante remoto sin autenticar conseguir privilegios de root en los sistemas afectados.
El problema, con CVE-2016-9223, se debe a una configuración incorrecta que provoca que el puerto de administración del Docker Engine quede accesible fuera del sistema CloudCenter Orchestrator. Un atacante podría explotar esta vulnerabilidad instalando contenedores de Docker en el sistema afectado con privilegios arbitrarios. Como impacto secundario, esto podría permitir al atacante obtener privilegios de root en el CloudCenter Orchestrator afectado.
El problema afecta a todas las versiones de Cisco CloudCenter Orchestrator (CCO) con el puerto 2375 del motor Docker Engine abierto en el sistema y enlazado a la dirección local 0.0.0.0 (cualquier interfaz), configuración por defecto.
  • Se ha solucionado en la versión de Cisco CloudCenter Orchestrator 4.6.2
Más información:
Fuente: Hispasec
Publicado por en
Etiquetas:

Desbordamiento de búfer en la librería libcurl

Se ha publicado un boletín de seguridad del proyecto cURL para alertar de una vulnerabilidad en la librería libcurl, que podría permitir a un atacante remoto ejecutar código arbitrario en los sistemas afectados.
cURL es una librería y herramienta para descargar ficheros mediante la sintaxis URL a través de diferentes protocolos: DICT, FILE, FTP, FTPS, Gopher, HTTP, HTTPS, IMAP, IMAPS, LDAP, LDAPS, POP3, POP3S, RTMP, RTSP, SCP, SFTP, SMTP, SMTPS, Telnet y TFTP, y utilizada por millones de usuarios en diversos sistemas operativos, utilidades y aplicaciones webs.
La vulnerabilidad, con CVE-2016-9586, reside en un desbordamiento de búfer en la implementación de las funciones printf() de la libería libcurl cuando se produce una salida de un punto flotante de gran tamaño. El fallo se produce con salidas de conversión de más de 255 bytes.El fallo se debe a que en las conversiones de punto flotante se usan funciones de sistema sin las adecuadas comprobaciones.
La vulnerabilidad afecta desde la versión 7.1 hasta la 7.51.0 incluida, únicamente en la librería. Esto es la utilidad cURL no se ve afectada. Se deben tener en cuenta las aplicaciones de terceros que incluyen en su implementación la librería de forma interna.
Recomendación
Más información:
Fuente: Hispasec
Publicado por en
Etiquetas:

Cross-site scripting en VMware vSphere Hypervisor (ESXi)

VMware ha publicado una actualización de seguridad para corregir una vulnerabilidad en VMware vSphere Hypervisor (ESXi) que podrían permitir a un atacante construir ataques de cross-site scripting.
VMware es un software que permite ejecutar diferentes sistemas operativos en un mismo PC de forma virtual. Entre otras aplicaciones, VMware es muy utilizado en seguridad informática por la versatilidad que ofrece. VMWare ESX permite asignar recursos de procesador, memoria, almacenamiento de información y redes en múltiples máquinas virtuales.
Detalle e Impacto de la vulnerabilidad
  • El problema, con CVE-2016-7463, reside en que un atacante con permisos para administrar máquinas virtuales a través de Cliente Host ESXi, o engañando al administrador de vSphere para importar una máquina virtual específicamente manipulada, podría realizar ataques de cross-site scripting (XSS) almacenados en el Cliente Host ESXi. El problema se puede provocar en el sistema desde donde el Cliente Host ESXi se utiliza para administrar la máquina virtual especialmente diseñada.
Recursos afectados
  • Afecta a versiones VMware vSphere Hypervisor (ESXi) 6.0 y 5.0.
Recomendación
VMware ha publicado las siguientes actualizaciones:
  1. ESXi 6.0: ESXi600-201611102-SG
  2. ESXi 5.5: ESXi550-201612102-SG
Más información:
Fuente: Hispasec
Publicado por en
Etiquetas:

OpenSSH. Nueva versión que soluciona diversas vulnerabilidades

Se ha publicado una nueva versión de OpenSSH destinada a corregir seis vulnerabilidades que podrían permitir la ejecución de código, elevar privilegios, obtener llaves privadas, escribir archivos o provocar condiciones de denegación de servicio.
OpenSSH es una implementación libre de la familia de protocolos SSH, que ofrecen una alternativa segura a los servicios telnet, rlogin, rsh, rcp, ftp y similares. Todo el tráfico entre un servidor SSH y un cliente SSH se realiza de forma cifrada y se aplican fuertes mecanismos para garantizar la autenticación.
Detalle de la vulnerabilidad
  • Un usuario remoto autenticado con control de un servicio sshd podría devolver una petición al ssh-agent para cargar un módulo PKCS#11 manipulado y ejecutar código o escribir archivos en el sistema que ejecuta ssh-agent (CVE-2016-10009).
  • Por otra parte, con CVE-2016-10010, un usuario podría conseguir privilegios de root a través del reenvío de sockets Unix-domain en sistemas con separación de privilegios desactivada. Un usuario local con privilegios podría conseguir llaves privadas del host (CVE-2016-10011).
  • Con CVE-2016-10012, una vulnerabilidad de elevación de privilegios por un fallo en la comprobación de límites en el administrador de memoria compartida. Una condición de denegación de servicio debido a que un atacante que envíe múltiples mensajes KEXINIT puede llegar a consumir hasta 128MB por conexión.
  • Por último, un atacante remoto podría evitar los controles de acceso basados en direcciones si la directiva AllowUser está configurada con rangos de direcciones CIDR no válidos.
Recomendación
  • OpenSSH ha publicado la versión OpenSSH 7.4 que corrige estos problemas y algunos otros fallos no relacionados directamente con la seguridad.
Más información:
Fuente: Hispasec
Publicado por en
Etiquetas:

SAMBA. Nuevas versiones que solucionan distintas vulnerabilidades

Se han publicado nuevas versiones de Samba, destinadas a solucionar tres vulnerabilidades que podrían permitir a un atacante ejecutar código de forma remota o elevar privilegios en los sistemas afectados.
Samba es un software gratuito que permite acceder y utilizar archivos, impresoras y otros recursos compartidos en una intranet o en Internet. Está soportado por una gran variedad de sistemas operativos, como Linux, openVMS y OS/2. Está basado en los protocolos SMB (Server Message Block) y CIFS (Common Internet File System).
Detalle de las vulnerabilidades subsanadas
  • El primero de los problemas (con CVE-2016-2123) reside en un desbordamiento de búfer en ndr_pull_dnsp_name al tratar objetos Samba NDR (Network Data Representation). Por otra parte, con CVE-2016-2125, una elevación de privilegios en servidores Kerberos en sitios de confianza. Y por último, con CVE-2016-2126, fallos en la validación PAC de Kerberos que podrían permitir elevar privilegios a usuarios locales.
Recomendación
Adicionalmente, se han publicado parches para solucionar estas vulnerabilidades:
Más información:
Fuente: Hispasec
Publicado por en
Etiquetas:

Vulnerabilidad crítica en múltiples routers Netgear

Se ha confirmado una vulnerabilidad de inyección de comandos en múltiples modelos de routers Netgear. El problema es especialmente grave dada la facilidad con que se puede reproducir.
Netgear ha confirmado el problema y ratifica que afecta a los siguientes modelos:
  1. R6250
  2. R6400
  3. R6700
  4. R6900
  5. R7000
  6. R7100LG
  7. R7300DST
  8. R7900
  9. R8000
  10. D6220
  11. D6400
La vulnerabilidad puede permitir a un atacante remoto ejecutar comandos arbitrarios en los dispositivos afectados. Basta con tener acceso a la interfaz de administración web del router (aunque no se esté autenticado). Para conseguir su objetivo el atacante puede convencer o engañar al usuario para que visite un sitio web específicamente creado.
El ataque se reduce a:
http:///cgi-bin/;COMANDO
Un atacante puede abrir un Telnet remoto en el puerto 45, con una petición como:
http://RouterIP/;telnetd$IFS-p$IFS'45'
Como contramedida se puede desactivar la interfaz de administración web, mediante el siguiente comando:
http:///cgi-bin/;killall$IFS'httpd'
"NETGEAR is working on a production firmware version that fixes this command injection vulnerability and will release it as quickly as possible." ("NETGEAR está trabajando en una versión de firmware de producción que corrija esta vulnerabilidad de inyección de comandos y la publicará lo más rápido posible")
En la actualidad existen versiones beta del firmware que solucionan el problema para los siguientes modelos:
Y las siguientes versiones de producción del firmware:
Más información:
Fuente: Hispasec
Publicado por en
Etiquetas:

Múltiples vulnerabilidades en McAfee VirusScan Enterprise para Linux

McAfee ha confirmado un total de 10 vulnerabilidades en McAfee VirusScan Enterprise para Linux/LinuxShield con diferentes efectos que incluyen saltos de autenticación, obtención de información sensible, Cross-Site Request Forgery o Cross-site Scripting. La combinación de varias de ellas podría permitir la ejecución remota de código como root.
Las vulnerabilidades corregidas incluyen la exposición de información sensible que podría permitir a atacantes remotos obtener la existencia de archivos no autorizados en el sistema a través de parámetros en una URL (CVE-2016-8016). Inyección de elementos especiales que podría permitir a atacantes remotos leer archivos del servidor web a través de entradas de usuario manipuladas (CVE-2016-8017).
Con CVE-2016-8018 un Cross Site Request Forgery (CSRF) y con CVE-2016-8019 otra vulnerabilidad de Cross-Site Scripting (XSS) en Attributes. Un control inadecuado de generación de código podría permitir a atacantes remotos autenticados ejecutar código arbitrario a través de parámetros http manipulados (CVE-2016-8020).
La verificación inadecuada de firma criptográfica (CVE-2016-8021) podría permitir a usuarios remotos autenticados falsificar el servidor de actualizaciones y ejecutar código arbitrario a través de un archivo manipulado. Dos vulnerabilidades (con CVE-2016-8022 y CVE-2016-8023) de salto de autenticación mediante cookies manipuladas.
Una neutralización inadecuada de secuencias CRLF en cabeceras http podría permitir a atacantes remotos sin autenticar obtener información sensible a través de falsificación de respuestas http (CVE-2016-8024). Por ultimo, con CVE-2016-8025, una inyección SQL a través de parámetros http específicamente construidos.
Los problemas afectan a VirusScan Enterprise para Linux (VSEL) 2.0.3 y anteriores. 
Recomendación
Más información:
Fuente: Hispasec
Publicado por en
Etiquetas:

MOZILLA. Publica actualizaciones para Firefox y Firefox ESR

La Fundación Mozilla ha publicado dos boletines de seguridad considerados críticos (MFSA 2016-94 y MFSA 2016-95) destinados a corregir 13 vulnerabilidades en el navegador Firefox y otras 10 en la versión ESR de soporte extendido.
Se han publicado las versiones Firefox 50.1 y Firefox ESR 45.6. Centrándonos en el navegador Firefox, según la propia clasificación de Mozilla de las 13 vulnerabilidades corregidas cuatro vulnerabilidades están consideradas críticas, 6 de gravedad alta y 3 moderada.
Los problemas críticos residen en un desbordamiento de búfer en SkiaGL (CVE-2016-9894), un uso de memoria después de liberarla mientras se manipulan eventos DOM y elementos de audio (CVE-2016-9899), problemas de corrupción de memoria en Firefox que podrían permitir la ejecución remota de código (CVE-2016-9080) y de forma similar, múltiples problemas de corrupción de memoria en Firefox y Firefox ESR que igualmente podrían permitir la ejecución remota de código (CVE-2016-9893).
Las vulnerabilidades consideradas de gravedad alta, consisten en un uso de memoria después de liberarla en el Editor mientras se manipulan subárboles DOM (CVE-2016-9898), imágenes SVG permiten la carga de recursos externos restringidos a través de URLs data: (CVE-2016-9900) y una fuga de información en atoms compartidos (CVE-2016-9904).
Se han publicado las versiones Firefox 50.1 y Firefox ESR 45.6, disponibles para su descarga a través de los canales habituales o mediante las actualizaciones automáticas.
Más información:
Fuente: Hispasec
Publicado por en
Etiquetas:

APPLE. Publica actualizaciones para macOS, Safari, iTunes e iCloud

Apple continúa con la actualización de productos. Destaca la publicación de nuevas versiones del software para Mac, macOS Sierra 10.12.2, Security Update 2016-003 El Capitan y Security Update 2016-007 Yosemite. Además de actualizaciones para el navegador Safari, iTunes para Windows e iCloud para Windows. Estas nuevas versiones solucionan un total de 97 vulnerabilidades.
Dada la gran cantidad de novedades y productos actualizados, vamos a realizar un breve repaso de las actualizaciones publicadas y problemas solucionados.
Se ha publicado macOS (anteriormente OS X) Sierra 10.12.2, Security Update 2016-003 El Capitan y Security Update 2016-007 Yosemite. En total se corrigen 72 nuevas vulnerabilidades; todas ellas afectan a macOS Sierra mientras que solo tres afectan a sistemas El Capitan y una a Yosemite.
Las vulnerabilidades corregidas afectan a múltiples componentes incluyendo: apache_mod_php, Assets, Audio, Bluetooth, CoreCapture, CoreGraphics, curl, Directory Services, Disk Images, Grapher, ICU, ImageIO, IOKit, IOSurface, Kernel, libarchive, LibreSSL, OpenLDAP, OpenPAM, OpenSSL, Security y syslog.
Las actualizaciones también han llegado a Safari, el popular navegador web de Apple, que se actualiza a la versión 10.0.2 para OS X Yosemite v10.10.5, OS X El Capitan v10.11.6 y macOS Sierra 10.12.2. Se solucionan 25 vulnerabilidades, 24 de ellas relacionadas con problemas en WebKit, el motor de navegador de código abierto que es la base de Safari. Y podrían ser aprovechadas por un atacante remoto para provocar condiciones de denegación de servicio, obtener información sensible o ejecutar código arbitrario al visitar una página web específicamente creada.
El contenido de seguridad de Safari 10.0.2 se encuentra incluido en macOS Sierra 10.12.2, Security Update 2016-003 El Capitan y Security Update 2016-007 Yosemite.
También se ha publicado iCloud para Windows 6.1 destinado a corregir las mismas 24 vulnerabilidades en WebKit que afectan a Safari.
Por último, iTunes para Windows también se ve afectado por 23 de esas mismas vulnerabilidades en WebKit por lo que se actualiza a la versión 12.5.4.
Más información:
Fuente: Hispasec
Publicado por en
Etiquetas:

ADOBE. Actualización para múltiples de sus productos, incluido Flash

Adobe ha publicado una actualización para nueve de sus productos. En esta ocasión los productos afectados son Adobe Animate, Adobe Flash Player, Adobe Experience Manager Forms, Adobe DNG Converter, Adobe Experience Manager, InDesign, ColdFusion Builder, Adobe Digital Editions y RoboHelp. En total se han solucionado 30 vulnerabilidades incluido un 0day en Flash Player.
Adobe Flash Player
Sin duda la actualización más importante es la de Adobe Flash Player. Para el que se ha publicado el boletín APSB16-39, destinado a solucionar 17 vulnerabilidades, entre las que se incluye un 0day. Todos los problemas, excepto uno, podrían permitir a un atacante tomar el control de los sistemas afectados.
Adobe reconoce que existe un exploit para una vulnerabilidad por uso de memoria después de liberarla, con CVE-2016-7892, que se está utilizando en la actualidad de forma activa en ataques dirigidos contra usuarios con Internet Explorer (32-bit) en Windows.
Los problemas que se corrigen en este boletín podrían permitir la ejecución de código arbitrario aprovechando siete vulnerabilidades de uso de memoria después de liberarla, cuatro desbordamientos de búfer y cinco de corrupción de memoria. Otra vulnerabilidad podría permitir evitar características de seguridad.
Los CVE asignados son: CVE-2016-7867 al CVE-2016-7881, CVE-2016-7890 y CVE-2016-7892.
De igual forma, como viene siendo habitual en los últimos meses, Microsoft también publicó el boletín MS16-154, para reflejar estas actualizaciones de Adobe Flash.
Adobe ha publicado la versión 24.0.0.186 de Flash Player Desktop Runtime, Flash Player para Linux y para navegadores Internet Explorer, Edge y Chrome destinada a solucionar las vulnerabilidades.
Adobe recomienda a los usuarios de Adobe Flash Player Desktop Runtime para Windows, Linux y Macintosh actualizar a través del sistema de actualización del propio producto o desde
Adobe Animate
En el boletín APSB16-38 se trata una vulnerabilidad de corrupción de memoria en Adobe Animate (CVE-2016-7866) para Windows o Macintosh.
Adobe Experience Manager
Adobe ha publicado actualizaciones para Adobe Experience Manager para resolver cuatro vulnerabilidades consideradas importantes. Tres cross-site scripting (CVE-2016-7882 al CVE-2016-7884) y un Cross-Site Request Forgery (CVE-2016-7885).
Se han publicado actualizaciones para las versiones 6.0, 6.1 y 6.2:
Adobe Experience Manager Forms
Adobe ha publicado el boletín APSB16-40 en el que informa de las actualizaciones para para Adobe Experience Manager (AEM) Forms en Windows, Linux, Solaris y AIX. AEM Forms es el sucesor de Adobe LiveCycle.
  • Afectan a Adobe Experience Manager Forms 6.2, 6.1 y 6.0 y LiveCycle 11.0.1 y 10.0.4.
Las actualizaciones resuelven dos vulnerabilidades importantes de validación de entradas que podrían permitir la construcción de ataques de cross-site scripting (CVE-2016-6933 y CVE-2016-6934).
Se han publicado las siguientes actualizaciones:
Para Adobe Experience Manager Forms 6.2
Para Adobe Experience Manager Forms 6.1
Para Adobe Experience Manager Forms 6.0
Para LiveCycle 11.0.1
Para LiveCycle 10.0.4
Adobe DNG Converter
Adobe ha publicado una actualización de seguridad para Adobe DNG Converter para Windows y Macintosh, que resuelve una vulnerabilidad de corrupción de memoria considera crítica (CVE-2016-7856)
Se recomienda actualizar a Adobe DNG Converter 9.8 desde:
InDesign
En el boletín APSB16-43 Adobe publica actualizaciones para resolver una vulnerabilidad (CVE-2016-7886) de corrupción de memoria, considerada crítica, en InDesign para Windows y Macintosh.
  • Se recomienda actualizar a la versión 12.0.0 de InDesign e InDesign Server.
ColdFusion Builder
También ha publicado actualizaciones (APSB16-44) para resolver una vulnerabilidad importante en Adobe ColdFusion Builder para Windows, Linux y Macintosh. El problema podría permitir la obtención de información sensible (CVE-2016-7887).
 Se recomienda actualizar a las versiones:
ColdFusion Builder 2016 Update 3
ColdFusion Builder 3.0 3.0.3 Hotfix
Adobe Digital Editions
También se han solucionado dos vulnerabilidades en Adobe Digital Editions (ADE) para Windows, Macintosh y Android; un software gratuito que permite la descarga y lectura de eBooks en formato EPUB y PDF en el ordenador, así como transferirlos a lectores de eBooks. (APSB16-45)
Se ha solucionado una vulnerabilidad que podría permitir la fuga de direcciones de memoria (CVE-2016-7888) y otro problema de fuga de información asociado con el tratamiento de entidades XML modificadas (CVE-2016-7889).
Adobe recomienda a los usuarios actualizar los productos afectados a la versión 4.5.3 desde:
Para Windows y Macintosh:
Para Android:
RoboHelp
Por último, el boletín APSB16-46 trata una actualización para solucionar una vulnerabilidad de cross-site scripting en RoboHelp para Windows (CVE-2016-7891).
Se recomienda actualizar a las versiones:
RoboHelp 2015.0.4
RoboHelp 11 (Hotfix)
Nota técnica:
Más información:
Fuente: Hispasec
Publicado por en
Etiquetas:

MICROSOFT. Publica 12 boletines de seguridad y soluciona 42 vulnerabilidades

Microsoft ha publicado 12 boletines de seguridad (del MS16-144 al MS16-155) correspondientes a su ciclo habitual de actualizaciones. Según la propia clasificación de Microsoft seis de los boletines presentan un nivel de gravedad "crítico" mientras que los cinco restantes son "importantes". En total se han solucionado 42 vulnerabilidades (algunas de ellas en varios productos). Además se han corregido otras 17 vulnerabilidades adicionales en Flash Player.
Boletines publicados
  1. MS16-144: La habitual actualización acumulativa para Microsoft Internet Explorer que además soluciona ocho nuevas vulnerabilidades, tres de ellas se habían publicado con anterioridad. La más grave de ellas podría permitir la ejecución remota de código si un usuario visita, con Internet Explorer, una página web especialmente creada (CVE-2016-7202, CVE-2016-7278, CVE-2016-7279, CVE-2016-7281, CVE-2016-7282, CVE-2016-7283, CVE-2016-7284 y CVE-2016-7287).
  2. MS16-145: Boletín "crítico" que incluye la también habitual actualización acumulativa para Microsoft Edge, el navegador incluido en Windows 10. En esta ocasión se solucionan 11 vulnerabilidades, tres de ellas ya se conocían con anterioridad. La más grave de ellas podría permitir la ejecución remota de código si un usuario visita, con Microsoft Edge, una página web especialmente creada (CVE-2016-7181, CVE-2016-7206, CVE-2016-7279, CVE-2016-7280, CVE-2016-7281, CVE-2016-7282, CVE-2016-7286, CVE-2016-7287, CVE-2016-7288, CVE-2016-7296 y CVE-2016-7297).
  3. MS16-146: Boletín "crítico" destinado a corregir tres vulnerabilidades en Microsoft Graphics Component, dos de ellas podrían permitir la ejecución remota de código si se abre un documento o web específicamente creada. Una de ellas se está explotando de forma activa en la actualidad. (CVE-2016-7257, CVE-2016-7272 y CVE-2016-7273)
  4. MS16-147: Actualización considerada "crítica" destinada a corregir una vulnerabilidad (con CVE-2016-7274) en Windows Uniscribe, debido a la forma en que trata objetos en memoria. El problema podría permitir la ejecución remota de código si un usuario visita un sitio web específicamente creado o abre un documento manipulado.
  5. MS16-148: Boletín "crítico" que soluciona 16 vulnerabilidades, la más grave de ellas que podría permitir la ejecución remota de código si se abre un archivo específicamente creado con Microsoft Office (CVE-2016-7257, CVE-2016-7262, CVE-2016-7263, CVE-2016-7264, CVE-2016-7265, CVE-2016-7266, CVE-2016-7267, CVE-2016-7268, CVE-2016-7275, CVE-2016-7276, CVE-2016-7277, CVE-2016-7289, CVE-2016-7290, CVE-2016-7291, CVE-2016-7298 y CVE-2016-7300).
  6. MS16-149: Actualización considerada "crítica" destinada a corregir dos vulnerabilidades en diferentes componentes de Windows. La más grave podría permitir la ejecución remota de código arbitrario (CVE-2016-7219 y CVE-2016-7292).
  7. MS16-150: Boletín de carácter "importante" destinado a corregir una vulnerabilidad (CVE-2016-7271) que podría permitir la elevación de privilegios cuando Windows Secure Kernel Mode trata objetos en memoria de forma inadecuada
  8. MS16-151: Boletín de carácter "importante" destinado a corregir dos vulnerabilidades en el controlador modo kernel de Windows que podrían permitir la elevación de privilegios si un usuario ejecuta una aplicación específicamente creada. (CVE-2016-7259 y CVE-2016-7260). Afecta a Windows Vista, Windows Server 2008, Windows 7, Windows 8.1, Windows Server 2012, Windows 10 y Windows Server 2016.
  9. MS16-152: Boletín considerado "importante" que resuelve una vulnerabilidad que podría permitir la obtención de información sensible debido a la forma en que el kernel de Windows trata objetos en memoria (CVE-2016-7258). Afecta a Windows 10 y Windows Server 2016.
  10. MS16-153: Destinado a corregir una vulnerabilidad (CVE-2016-7295) de gravedad "importante", que podría permitir la obtención de información sensible cuando el controlador Windows Common Log File System (CLFS) trata objetos en memoria de forma inadecuada. Afecta a Windows Vista, Windows Server 2008, Windows 7, Windows 8.1, Windows Server 2012, Windows 10 y Windows Server 2016.
  11. MS16-154: Como ya es habitual, Microsoft publica un boletín para resolver las vulnerabilidades solucionadas por Adobe en Flash Player en su también boletín periódico. Se trata de un boletín "crítico" que en esta ocasión soluciona 17 vulnerabilidades en Adobe Flash Player instalado en Windows Server 2012, Windows Server 2016, Windows 8.1 y Windows 10; correspondientes al boletín APSB16-39 de Adobe (y que comentaremos con más detalle en una próxima una-al-día).
  12. MS16-155: Boletín "importante" que soluciona una vulnerabilidad (CVE-2016-7270) en el Data Provider para SQL Server de Microsoft .NET 4.6.2 Framework que podría permitir a un atacante la obtención de información sensible que debería estar defendida por la funcionalidad Always Encrypted.
Las actualizaciones publicadas pueden descargarse a través de Windows Update o consultando los boletines de Microsoft donde se incluyen las direcciones de descarga directa de cada parche. Se recomienda la actualización de los sistemas con la mayor brevedad posible.
Más información:
Fuente: Hispasec
Publicado por en
Etiquetas:

APPLE. Publica nuevas versiones de iOS, watchOS y tvOS

Apple ha publicado una nueva versiones de varios sus sistemas como iOS 10.2, wachOS 3.1.1 y tvOS 10.1 destinadas a solucionar un total de 15 vulnerabilidades, las más graves podrían permitir la ejecución remota de código arbitrario.
iOS 10.2 presenta una actualización del sistema operativo de Apple para sus productos móviles (iPad, iPhone, iPod…) que además de incluir mejoras y solución de problemas, está destinado a solucionar 12 nuevas vulnerabilidades. Los problemas corregidos están relacionados con diferentes componentes, como Accessibility, Accounts, Find My iPhone, Graphics Driver, Image Capture, Local Authentication, Mail, Media Player, Profiles y SpringBoard. Varios de los problemas podrían permitir la ejecución de código arbitrario o acceder al dispositivo evitando la pantalla de bloqueo.
De forma similar, Apple publica WatchOS 3.1.1, destinada a todos los modelos de su reloj inteligente (smartwatch) conocido como Apple Watch, con la que se solucionan dos vulnerabilidades. Los problemas corregidos afectan a los componentes Accounts y Profiles. La primera consiste en que no se reinicia la configuración de autorizaciones tras la desinstalación de aplicaciones y la segunda, con CVE-2016-7626, podría permitir la ejecución de código arbitrario.
Por último, también ha publicado tvOS 10.1, el sistema operativo para Apple TV (de cuarta generación), que soluciona una vulnerabilidad, con CVE-2016-7626, en Profiles que podría permitir la ejecución de código arbitrario.
Más información:
Fuente: Hispasec
Publicado por en
Etiquetas:

PHISHING BOTNET. Nueva campaña que afecta a diversas entidades bancarias europeas

El Laboratorio Antifraude de Hispasec, ha detectado una nueva campaña de phishings que está afectando a diversas entidades europeas, entre ellas algunas españolas como Banco Santander y que como particularidad está utilizando una botnet de servidores JBoss comprometidos.
El término botnet casi siempre está unido a familias de malware como pudieran ser Zeus, Spyeye o la última detectada para Android, Gooligan. Sin embargo existen múltiples tipos de botnets para diferentes causas: SPAM, denegaciones de servicio (como Mirai), o despliegue de campañas phishings, como el que nos atañe.
Durante el proceso de detección y cierre que hemos llevado a cabo, hemos podido comprobar que las entidades afectadas eran Deutsche Bank (Alemania), BancaMarche y Posteitaliane (Italia) y al Banco Santander en España en otros.
La campaña de phishing detectada es bastante sencilla en su diseño: un html que carga un fondo previamente capturado del portal principal de la entidad y un formulario que captura los datos y los envía al atacante:
Pero donde gana en complejidad es en su despliegue, con el uso de diferentes tipos de redirección, mediante acortadores de URLs para la campaña de mail masivo y dominios de redirección y con el uso de sitios web comprometidos. Todo ello en búsqueda de frenar los cierres y dar tiempo a montar nuevos sitios comprometidos según van cayendo. También llegan a utilizar técnicas de GeoIP para impedir la visita a aquellos usuarios que no sean objetivo de la campaña, de esta forma sólo muestran el phishing adecuado a cada país.
Una vez comprobados todos estos filtros se expone al visitante el phishing final, que durante nuestros análisis hemos podido comprobar que se encuentran albergados en servidores JBoss vulnerables previamente comprometidos. Es aquí donde hemos podido detectar como novedad en este tipo de casos de phishing, de la presencia de una botnet mediante IRC que controlaba el despliegue de las campañas finales, según se realizaban los mailings masivos a los usuarios.
Ejemplo de la última campaña desactivada es la IP 34.192.25.188, de la que se pueden comprobar los dominios fraudulentos asociados que redireccionaban a la misma: https://virustotal.com/es/ip-address/34.192.25.188/information/
Por el momento la botnet se encuentra activa y está compuesta por más de 30 servidores comprometidos. Por lo que no dudamos, y según las fechas en las que nos encontramos, se activen nuevas campañas.
Hemos recogido en una entrada denuestro blog del Laboratorio todo el análisis técnico e investigación realizada para el que quiera profundizar en ello.
Por nuestra parte recomendamos como siempre no abrir correos de los que no sepamos su procedencia y aplicar todas las medidas oportunas y sentido común.
Más información:
Fuente: Hispasec
Publicado por en
Etiquetas:
Suscribirse a: Entradas (Atom)