NOVEDAD. SUSE y openSUSE en Windows 10?

Por si no había suficiente con Ubuntu en Windows 10, los interesados en sacarle partido al subsistema Linux en Windows 10, léase Windows Subsystem for Linux (WSL), tienen ahora una nueva posibilidad: SUSE y openSUSE en Windows 10.

Como quien no quiere la cosa, el camaleón se ha colado en el sistema operativo de Microsoft por sus propios medios, “porque lo vale”, y no lo decimos nosotros, lo dice Hannes Kühnemund, gerente senior de producto de SUSE Linux Enterprise. “Es realmente desafortunado que Microsoft habilitase el Linux equivocado (en mi opinión) por defecto dentro de WSL y es hora de cambiar a lo bueno“, menciona en un artículo en SUSE Blog en el que además de discutir el asunto, enseña el proceso de instalación paso a paso de SUSE y openSUSE en Windows 10.

Pero el deseo de Kühnemund por make Windows green again (bien traído, pero el chiste se acaba este viernes) no ha terminado, y es que esta es solo la primera parte del viaje. En los próximos días lo completará con una segunda entrega con más información de interés para quienes prefieran SUSE/openSUSE en Windows 10 a lo ya disponible. En concreto, SUSE Enterprise Linux 12 SP2 y openSUSE Leap 42.2. Kühnemund, desde luego, lo tiene claro: este y no otro es “el Linux adecuado para WSL“.

SUSE WSL

• No conviene tomarse las palabras del directivo de SUSE muy a pecho, pues es lógico que barra para casa. Además, por el nivel de calidad de SUSE y openSUSE Leap, será sin duda una opción bienvenida para los administradores de sistemas ya acostumbrados a la idiosincrasia de estas distribuciones.
• Con todo, recordar al lector despistado que aunque se pueden ejecutar entornos de escritorio e incluso aplicaciones de Linux en Windows 10, lo que está soportado oficialmente son utilidades de consola relacionadas con Bash. Muy poca cosa en comparación a lo que ofrece una distribución GNU/Linux de verdad, pero una herramienta a tener en consideración para los profesionales que usan Windows.
• Desde que se anunció y más tarde lanzó WSL como parte de Windows 10 Anniversary Update, han sido varias las iniciativas que han surgido intentando llevar más Linux a Windows 10, pero al margen de la implementación oficial con Ubuntu, esta de SUSE es la más destacada hasta la fecha por venir del propio proyecto.

Fuente: Muy Linux.com

EUROPOL. Identificación de 'malware' contra cajeros automáticos sin utilizar tarjetas de crédito

Investigadores de seguridad de Trend Micro y el grupo EC3, perteneciente a Europol, han descubierto un nuevo 'software' bautizado como 'Alice' que permite a los criminales robar en cajeros automáticos sin hacer uso de tarjetas de crédito y cuya sencillez ha puesto en alerta a autoridades y bancos.

   Este 'software' no es el primero que permite robar en cajeros, pero su simplicidad resulta especialmente preocupante, según revela la investigación, publicada el 13 de enero en la web de seguridad 'S21 SEC'. 'Alice' permite sustraer el dinero de cualquier tipo de cajero automático hasta que este se queda sin fondos sin necesidad de robar datos personales de los clientes ni de copiar tarjetas de crédito o débito.

   Para utilizar este 'malware', los criminales simplemente fuerzan el cajero para acceder a la CPU, y a través de puertos USB o la unidad CD-ROM instalan el 'malware'. El programa toma control del dispensador de billetes y permite a los ladrones extraer todo el efectivo del cajero. Tras esto, 'Alice' se desinstala y oculta su rastro con un sistema de limpieza, casi sin dejar huella, ya que, como explican, el proceso de desinstalación no elimina el archivo de registro de errores.

    El 'software' Alice es un ejemplo de ataque más tradicional basado en el acceso físico, si bien los investigadores han recordado casos anteriores de ataques a cajeros con programas informáticos como 'RIPPER' o 'Cobalt', ataques basados en red.

   El 'jackpotting', como se denomina al funcionamiento de este tipo de ataque, es sólo uno de los métodos de que disponen los criminales para atacar cajeros automáticos. Los más frecuentes, según 'S21 SEC', son los ataques que afectan a la red, en vez de al acceso físico.

Fuente: Europa Press

UNIVERSIDAD DE HARVARD. Desarrollan exoesqueleto ligero para enfermos y ancianos

   Científicos de la Universidad de Harvard trabajan en un exoesqueleto ligero que se engancha a la cadera y el tobillo con el fin de aligera rel esfuerzo para caminar. Este avance podría beneficiar a enfermos y ancianos y, además, prevenir la pérdida de movilidad.

   En la investigación, que ha contado con la participación de siete personas sanas, el equipo pudo comprobar que el prototipo del aparato ofrece una reducción del 23% en el esfuerzo para caminar. Según Connor Walsh, director del Instituto Wyss y de la investigación, se trata de "la mayor reducción de energía observada hasta la fecha con un exoesqueleto" de este tipo. Los resultados de la investigación se han publicado este miércoles en la revista 'Science Robotics'.

   El sistema que se empleó en el estudio consta de una funda que se coloca sobre los tobillos y otra en la cadera, unidas por un entramado de correas que transmiten el movimiento, todo ello conectado al dispositivo que gestiona el exoesqueleto. Se trata de un modelo distinto a los aparatos habituales de este tipo, ya que utiliza materiales ligeros, frente a los exoesqueletos con materiales rígidos y pesadas baterías.

   Este descubrimiento acarrea importantes implicaciones que podrían beneficiar a una amplia variedad de personas con problemas motrices como enfermos de Parkinson, ancianos con movilidad reducida o incluso aquellos que trabajan cargando objetos pesados. Aunque la cuestión aún está apenas avanzada, mediante el ahorro de esfuerzo para el cuerpo, sistemas como este podrían incluso conseguir ralentizar la pérdida de facultades asociada a la edad.

Fuente: Europa Press

SUPERORDENADOR. China comenzará a construir el más potente del mundo en 2017

   China ha anunciado que iniciará la construcción del 'superordenador' más potente del mundo en este 2017, y está previsto que se termine en 2020 y que supere ampliamente al más eficiente en la actualidad, también de fabricación china.

El nuevo superordenador será el primero capaz de superar la barrera del 'exaflop', es decir, del trillón de cálculos por segundo, como ha explicado Zhang Ting, ingeniero del Centro Nacional de Superordenadores de Tianjin, en una rueda de prensa del Partido Comunista chino en la ciudad de Tianjin, al norte del país

   Aunque la construcción del superordenador comenzará este 2017, tardará unos tres años en concluirse. Según declaraciones de Zhang recogidas por la agencia china Xinhua, tanto el ordenador como el sistema "pueden esperarse no antes de 2020". "Será 200 veces más potente que el ordenador Tianhe-1, reconocido como el ordenador más potente del mundo en 2010", añade.

   Con este nuevo equipo, China busca consolidar su posición como principal potencia mundial en superordenadores. El país asiático ya posee el modelo más potente del mundo en la actualidad: el Sunway TaihuLight, con una potencia de 93 petaflops por segundo. China es el líder en este tipo de computadores, con 167 del Top 500 mundial, según recoge el 'ranking' internacional de junio de 2016, y entre ellos los dos más potentes. Estados Unidos cuenta con 165 superordenadores entre los primeros 500.

América Latina también cuenta con superordenadores. Argentina, México, Chile o Brasil son ejemplo de ello, si bien en este último caso, debido a la falta de financiación tuvo que ser apagado al no poder hacer frente al coste energético.

Fuente: Europa Press

LINUX. Actualización del kernel para Red Hat Enterprise Linux 6

Red Hat ha publicado una actualización (considerada importante) del kernel para toda la familia Red Hat Enterprise Linux 6 que solventa tres nuevas vulnerabilidades que podrían ser aprovechadas por atacantes remotos para ejecutar código arbitrario, provocar denegaciones de servicio o reiniciar conexiones.

El primer problema, con CVE-2016-7117, reside en un uso de memoria después de liberarla en el subsistema de sockets recvmmsg del kernel, que podría permitir a un atacante remoto ejecutar código arbitrario. Un acceso a memoria fuera de límites en setsockopt() que podría permitir provocar condiciones de denegación de servicio o divulgación del contenido del heap (CVE-2016-4998). Por último, un uso de memoria después de liberarla en tcp_xmit_retransmit_queue y otras funciones tcp_*, que podría provocar el reinicio de una conexión (CVE-2016-6828).

También se han corregido otros siete fallos no relacionados directamente con problemas de seguridad.

Recomendación 

• Detalles sobre la aplicación de ésta actualización se encuentran disponibles desde  https://access.redhat.com/articles/11258

Más información:

• Important: kernel security and bug fix update https://rhn.redhat.com/errata/RHSA-2017-0036.html

Fuente: Hispasec

ORACLE. Actualizaciones críticas de Enero de 2017

Oracle ha publicado una actualización crítica con parches para corregir 270 vulnerabilidades que afectan a múltiples productos, catalogadas de Importancia 5- Crítica

Recursos afectados:

Las familias de productos afectados son la siguientes:

1. Oracle Database
2. Oracle Secure Backup
3. Oracle Big Data Graph
4. Oracle Fusion Middlewre
5. Oracle Enterprise Manager
6. Oracle E-Business Suite
7. Oracle Supply Chain Products
8. Oracle PeopleSoft
9. Oracle JD Edwards
10. Oracle Siebel
11. Oracle Commerce
12. Oracle Fusion Applications
13. Oracle Communications Network Intelligence
14. Oracle FLEXCUBE
15. Oracle MICROS Lucas
16. Oracle Retail Allocation
17. Oracle Retail Assortment Planning
18. Oracle Retail Order Broker
19. Oracle Retail Predictive Application Server
20. Oracle Retail Price Management
21. Oracle Primavera Products Suite
22. Oracle Java SE
23. Oracle and Sun Systems Products Suite
24. Oracle Linux and Virtualization
25. Oracle MySQL

Para detalles sobre el producto y versión concreta, consultar sección «Detalle».

Recomendación :

• Aplicar los parches correspondientes según el/los productos afectados. La información para descargar las actualizaciones puede obtenerse del boletín de seguridad publicado por Oracle y cuyo enlace se proporciona en la sección "Más información”

Detalle

Las versiones de productos afectados son las siguientes:

• Oracle Database Server, versiones 11.2.0.4, 12.1.0.2
• Oracle Secure Backup, versiones anteriores a 12.1.0.3
• Spatial, versiones anteriores a 1.2
• Oracle Fusion Middleware, versiones 11.1.1.7, 11.1.1.9, 11.1.2.3, 11.1.2.4, 12.1.3.0, 12.2.1.0, 12.2.1.1
• Oracle GlassFish Server, versiones 2.1.1, 3.0.1, 3.1.2
• Oracle JDeveloper, versiones 11.1.1.7.0, 11.1.1.9.0, 11.1.2.4.0, 12.1.3.0.0, 12.2.1.0.0, 12.2.1.1.0, 12.2.1.2.0
• Oracle Outside In Technology, versiones 8.5.2, 8.5.3
• Oracle Tuxedo, versión 12.1.1
• Oracle WebLogic Server, versiones 10.3.6.0, 12.1.3.0, 12.2.1.0, 12.2.1.1
• Application Testing Suite, versiones 12.4.0.2, 12.5.0.2, 12.5.0.3
• Enterprise Manager Base Platform, versiones 12.1.0.5, 13.1, 13.2
• Enterprise Manager Ops Center, versiones 12.1.4, 12.2.2, 12.3.2
• Oracle E-Business Suite, versiones 12.1.1, 12.1.2, 12.1.3, 12.2.3, 12.2.4, 12.2.5, 12.2.6
• Oracle Transportation Management, versión 6.1, 6.2
• PeolpeSoft Enterprise HCM ePerformance, versión 9.2
• PeopleSoft Enterprise PeopleTools, versiones 8.54, 8.55
• JD Edwards EnterpriseOne Tools, versión 9.2.1.1
• Siebel Applications, versión 16.1
• Oracle Commerce Platform, versiones 10.0.3.5, 10.2.0.5, 11.2.0.2
• Oracle Fusion Applications, versiones 11.1.2 hasta 11.1.9
• Oracle Communications Indexing and Search Service, versiones anteriores a 1.0.5.28.0
• Oracle Communications Network Charging and Control, versiones 4.4.1.5, 5.0.0.1, 5.0.0.2, 5.0.1.0, 5.0.2.0
• Oracle Communications Network Intelligence, versiones 7.3.0.0
• Oracle FLEXCUBE Core Banking, versiones 5.1.0, 5.2.0, 11.5.0
• Oracle FLEXCUBE Direct Banking, versiones 12.0.0, 12.0.1, 12.0.2, 12.0.3
• Oracle FLEXCUBE Enterprise Limits and Collateral Management, versiones 12.0.0, 12.0.2
• Oracle FLEXCUBE Investor Servicing, versiones 12.0.1, 12.0.2, 12.0.4, 12.1.0, 12.3.0
• Oracle FLEXCUBE Private Banking, versiones 2.0.1, 2.2.0, 12.0.1
• Oracle FLEXCUBE Universal Banking, versiones 11.3.0, 11.4.0, 12.0.0, 12.0.1, 12.0.2, 12.0.3, 12.1.0, 12.2.0
• MICROS Lucas, versiones 2.9.1, 2.9.2, 2.9.3, 2.9.4, 2.9.5
• Oracle Retail Allocation, versiones 12.0, 13.0, 13.1, 13.2, 13.3, 14.0, 14.1
• Oracle Retail Assortment Planning, versiones 14.1, 15.0
• Oracle Retail Order Broker, versiones 4.1, 5.1, 5.2, 15.0, 16.0
• Oracle Retail Predictive Application Server, versiones 13.1, 13.2, 13.3, 13.4, 14.0, 14.1, 15.0
• Oracle Retail Price Management, versiones 13.1, 13.2, 14.0, 14.1
• Primavera P6 Enterprise Project Portfolio Management, versiones 8.2, 8.3, 8.4, 15.1, 15.2, 16.1, 16.2
• Oracle Java SE, versiones 6u131, 7u121, 8u112
• Oracle Java SE Embedded, versión 8u111
• Oracle JRockit, versión R28.3.12
• Oracle VM Server for Sparc, versiones 3.2, 3.4
• Solaris, versiones 11.3
• Oracle VM VirtualBox, versiones anteriores a 5.0.32, anteriores a 5.1.14
• MySQL Cluster, versiones 7.2.26 y anteriores, 7.3.14 y anteriores, 7.4.12 y anteriores
• MySQL Enterprise Monitor, versiones 3.1.3.7856 y anteriores, 3.1.4.7895 y anteriores, 3.1.5.7958 y anteriores, 3.2.1.1049 y anteriores, 3.2.4.1102 y anteriores, 3.3.0.1098 y anteriores
• MySQL Server, version(s) 5.5.53 y anteriores, 5.6.34 y anteriores, 5.7.16 y anteriores

Más información

• Oracle Critical Patch Update Advisory - January 2017 http://www.oracle.com/technetwork/security-advisory/cpujan2017-2881727.html

Fuente: INCIBE

Vulnerabilidades en BlackBerry Enterprise Service

BlackBerry ha solucionado dos vulnerabilidades en su software BlackBerry Enterprise Service 12 (BES), que podrían permitir obtener información sensible o realizar ataques de falsificación.

BlackBerry Enterprise Service es un producto enfocado al mundo empresarial, se utiliza para la gestión multiplataforma (PC, Mac, iOS , Android y Blackberry OS) de todos los dispositivos, móviles y tablets.

Detalle de las vulnerabilidades corregidas

• La primera vulnerabilidad, con CVE-2016-3128, reside en un error en el núcleo de  BlackBerry Enterprise Service que podría emplearse para falsificar un dispositivo registrado y posteriormente acceder a otros parámetros de configuración restringidos para el dispositivo y enviar información especialmente restringida y especialmente diseñada.
• Por otra parte, con CVE-2016-3130, un error relacionado con el núcleo de BlackBerry Enterprise Service y la Consola de Administración que podría aprovecharse para obtener las credenciales de usuarios mediante la escucha del tráfico de red entre la consola de administración y BES Core en un intento de autenticación.

Recursos afectados

• Ambos problemas afectan a BES12 versión 12.5.2 y anteriores.

Recomendación

• Se recomienda la instalación de BlackBerry Unified Endpoint Manager (UEM) versión 12.6, disponible desde https://swdownloads.blackberry.com/Downloads/entry.do?code=687FE34A901A03ABED262A62E22F90DB

Más información:

• BSRT-2017-001 Vulnerability in BES Core impacts BES12 http://support.blackberry.com/kb/articleDetail?articleNumber=000038913&language=English 
• BSRT-2017-002 Information disclosure vulnerability affects BES12 http://support.blackberry.com/kb/articleDetail?articleNumber=000038914&language=English

Fuente: Hispasec

VULNERABILIDAD. Ejecución remota de código en productos Symantec

Symantec ha confirmado una vulnerabilidad en productos Norton y Symantec Endpoint Protection Cloud que podría permitir a un atacante remoto ejecutar código arbitrario en los sistemas afectados.

La vulnerabilidad, con CVE-2016-6592, reside en el Norton Download Manager, un pequeño ejecutable descargado inicialmente cuando un usuario visita el portal de Nortonpara descargar una versión (de prueba o con licencia) de los productos de seguridad Norton o de la familia Norton. El problema se debe a un problema en la carga de librerías DLL, por un fallo en el Norton Download Manager al usar una ruta absoluta cuando carga las DLLs requeridas durante el proceso de inicio.

Esto podría permitir la ejecución sin autorización de una dll específicamente creada que sustituya una dll autorizada en la ruta de búsqueda del Norton Download Manager (habitualmente la carpeta de descargas del navegador del usuario).

Recursos afectados

1. Norton Family
2. Norton AntiVirus
3. Norton AntiVirus Basic
4. Norton Internet Security
5. Norton 360
6. Norton 360 Premier
7. Norton Security
8. Norton Security with Backup
9. Norton Security Standard
10. Norton Security Deluxe
11. Norton Security Premium
12. Symantec Endpoint Protection Cloud

Recomendación

• Norton Download Manager no se actualiza a través de Liveupdate. Los usuarios descargan Norton Download Manager durante la instalación inicial de algún producto Norton y habitualmente solo se ejecuta una vez para gestionar la descarga e instalación del producto seleccionado.
• La solución para los usuarios afectados pasa por eliminar cualquier versión de Norton Download Manager 5.6 (o anterior) descargada. En caso necesario descargar la versión actualizada del software desde el portal Norton.

Más información:

• Security Advisories Relating to Symantec Products - Norton Download Manager DLL Loading https://www.symantec.com/security_response/securityupdates/detail.jsp?fid=security_advisory&pvid=security_advisory&year=&suid=20170117_00

Fuente: Hispasec

VULNERABILIDAD. Ejecución remota de código en Apple GarageBand

La vulnerabilidad, reportada por Tyler Bohan del equipo Cisco Talos, afecta a GarageBand para OS X, el popular programa de composición musical de Apple, que podría permitir a un atacante remoto ejecutar código arbitrario en los sistemas afectados.

GarageBand es un estudio de grabación que incluye una biblioteca de sonidos con instrumentos, baterías de estudio virtuales y preajustes para voz y guitarra. El diseño de la interfaz hace que tocar, aprender, grabar, componer y compartir música sea sencillo.

Como hemos mencionado en múltiples ocasiones, el vector de ataque, la vulnerabilidad empleada para atacar un sistema puede residir en el lugar más insospechado. Siempre se centra toda la importancia en el sistema operativo, e incluso en productos de uso habitual y sobre los que se centran y conocen múltiples vulnerabilidades, navegadores, visualizadores de pdfs, Flash, etc. Pero es fácil tender a descuidar otro tipo de software como, en este caso, un programa para componer música.

Detalle de la vulnerabilidad

• El problema, con CVE-2017-2372, reside en el tratamiento de archivos de proyecto específicamente creados. De forma que cuando el usuario atacado abre el archivo provoca una corrupción de memoria, que permite la ejecución de código arbitrario en el sistema. El código se ejecutará con los privilegios del usuario afectado.

Recursos afectados

• Afecta a GarageBand para OS X Yosemite v10.10 (y posteriores). Apple ha publicado GarageBand 10.1.5 para solucionar el problema descrito.

Más información:

• About the security content of GarageBand 10.1.5  https://support.apple.com/en-us/HT207477

Fuente: Hispasec

IBM. Vulnerabilidad de Cross-Site Scripting en IBM iNotes

IBM ha confirmado una vulnerabilidad en IBM iNotes que podría permitir a atacantes remotos la realización de ataques de cross-site scripting.

IBM iNotes (anteriormente conocido como IBM Lotus iNotes) es una versión completa basada en web del cliente de Notes, incluyendo todas sus funciones. iNotes proporciona acceso desde el navegador al correo electrónico, el calendario y los contactos de Notes, así como el acceso a las aplicaciones y herramientas empresariales.

El problema corregido (con CVE-2016-5881) reside en una validación inadecuada de las entradas del usuario. Un atacante remoto podría explotar la vulnerabilidad mediante URLs específicamente creadas, lo que le permitiría ejecutar scripts en el navegador de la víctima. Se podría utilizar esta vulnerabilidad para robar las cookies de las credenciales de autenticación de la víctima y los datos presentados recientemente.

Recursos afectados

• Se ven afectadas las versions IBM iNotes 9.0 y 9.0.1 anterior a 9.0.1 Fix Pack 7 e IBM iNotes 8.5, 8.5.1, 8.5.2 y 8.5.3 anterior a 8.5.3 Fix Pack 6 Interim Fix 15

Recomendación

IBM ha publicado las actualizaciones necesarias en Domino e iNotes versiones 9.0.1 Fix Pack 7 y 8.5.3 Fix Pack 6 Interim Fix 15. Disponible desde:

• Notes/Domino 9.0.1 Fix Packs http://www.ibm.com/support/docview.wss?uid=swg24037141
• Interim Fixes para 8.5.3 Fix Pack 6 IBM Notes, IBM Domino e IBM iNotes http://www.ibm.com/support/docview.wss?uid=swg21663874
• Notes/Domino 8.5.3 Fix Packs http://www.ibm.com/support/docview.wss?uid=swg24032242

Más información:

• Security Bulletin: Fix Available for IBM iNotes Cross-site Scripting Vulnerability (CVE-2016-5881) http://www-01.ibm.com/support/docview.wss?uid=swg21995122

Fuente: Hispasec

Descubren un spyware para macOS que lleva funcionando desde 2014

El nuevo software malicioso que ha sido detectado por la empresa de seguridad Malwarebytes.

Este nuevo software espía ha sido detectado gracias a que un administrador de redes de una empresa pudo ver cómo se registraba algo de tráfico saliente de uno de los Mac de su red local. Al detectar ese extraño tráfico, se puso en contacto con los expertos de seguridad de Malwarebytes, quienes han dado con este nuevo malware. A pesar de ser un malware muy simple, hasta ahora nunca se había visto nada tan complejo como él. Este se basa, principalmente, de dos ficheros, un script, muy complejo, además, escrito en PERL y ofuscado para complicar la comprensión de su funcionamiento, y un fichero xml de configuración.

El script puede ser considerado el malware como tal. Este se basa principalmente en establecer la conexión con el servidor C&C, tanto a través de una IP directa como de un servidor DNS basado en No-IP, y cuenta con varias funciones adicionales como la posibilidad de tomar capturas de pantalla y registrar el tiempo que el sistema lleva en funcionamiento.

Además, este software espía hace un llamamiento a un fichero binario Java que lanza una serie de funciones bastante más complejas, por ejemplo, para poder acceder a la cámara del ordenador (en caso de que la tenga). Analizando este nuevo binario, los expertos de seguridad han encontrado llamadas obsoletas a funciones que, desde años, están inoperativas en el sistema. Además, el binario incluye de base el código de libjpeg, librería desactualizada desde 1998, por lo que se cree que este software espía puede haber empezado a funcionar desde mucho antes que 2014, aunque no hay nada que pueda confirmar su edad más que un comentario en el código referente a Mac OS X 10.10 Yosemite, la actualización de 2014 del sistema operativo de Apple.

Apple ha lanzado un parche de seguridad, que se instalará en segundo plano en todos sus ordenadores, con el que evitará que este software malicioso siga haciendo de las suyas. Además, los expertos de seguridad de Malwarebytes lo han registrado con el nombre OSX.Backdoor.Quimitchin en honor a los espías aztecas que se infiltraban en otras tribus rivales.

Fuente : Malwarebytes

MEITU. Cámara para Android que envía tu IMEI y MAC a servidores remotos

Meitu es una extraña aplicación de origen chino creada para facilitar la captura de selfies y aplicarlas un gran número de filtros y mejoras para mejorar su estética. En las últimas semanas, la popularidad de esta aplicación ha crecido exponencialmente, saliendo de China y ganando usuarios en todo el mundo. Sin embargo, esta aplicación esconde una sorpresa bastante desagradable.

Tan pronto como ha crecido la popularidad de esta aplicación, muchos usuarios y expertos de seguridad han empezado a comprobar qué tipo de cambios hace en los dispositivos y, sobre todo, qué datos enviaba al servidor de los desarrolladores sobre sus usuarios. 

De esta manera, realizando una captura de paquetes de la red, han podido comprobar que Meitu envía una gran cantidad de información personal y privada a varios servidores chinos conectados en Internet, entre los que destacan el IMEI de los dispositivos que instalan la aplicación y su dirección MAC, además del modelo del smartphone, la resolución y la versión de Android instalada.

@Laughing_Mantis I had my doubts but guess what!Destination110.173.196.36124.243.219.15942.62.120.41_IMEI pic.twitter.com/zV66cMm5AO— FourOctets (@FourOctets) January 19, 2017

Si ya has descargado esta aplicación alguna vez, lo más probable es que no puedas hacer nada, ya que los datos ya habrán sido enviados a los servidores chinos. Por el contrario, si no la has descargado, os recomendamos no hacerlo ya que, como hemos visto, Meitu es, a partes iguales, una cámara y un spyware.

Más información

• Análisis completo de esta cámara para selfies https://www.elandroidelibre.com/2017/01/mejor-app-selfies-android-meitu.html

Fuente: Redeszone.net

NVIDIA. Encuentran varias vulnerabilidades en sus controladores

El último boletín de seguridad de Nvidia ha hecho públicos 6 fallos de seguridad en los drivers de Nvidia para Windows, concretamente dentro del módulo “nvlddmkm.sys“. 

Estos fallos, que listamos a continuación, han sido considerados como de peligrosidad baja y pueden permitir a un atacante tanto causar un error y un DoS en un sistema afectado como escalar privilegios de manera que, aprovechando otros fallos potenciales, puedan llegar a ejecutar código con permisos de administrador, o SYSTEM.

Las vulnerabilidades, registradas en 2016, son:

1. CVE-2016-8821
2. CVE-2016-8822
3. CVE-2016-8823
4. CVE-2016-8824
5. CVE-2016-8825
6. CVE-2016-8826

Aunque Nvidia ya solucionó dichos problemas de seguridad en sus controladores para Windows el pasado mes de diciembre, es recomendable comprobar que, efectivamente, tenemos instalados la última versión de los mismos de manera que, en caso de que intenten explotar alguno de esos fallos en nuestro sistema, estemos protegidos.

Recomendación

• Para comprobar la versión de los controladores de Nvidia que tenemos instalada no tenemos más que abrir el Nvidia Geforce Experience y comprobar la versión instalada, además de poder aprovechar para buscar manualmente si hay nuevas versiones disponibles. De igual forma, también podemos utilizar la página web de la compañía para descargar e instalar a mano la última versión de los drivers de Nvidia http://www.nvidia.es/Download/index.aspx?lang=es

Fuente: Nvidia

ORACLE. Bloqueará los JAR firmados con MD5 a partir de abril

En esta ocasión la noticia está relacionada con una mejora de seguridad que afecta directamente a los JAR. Más que una mejora de seguridad, podría decirse que es una restricción, ya que la empresa bloqueará aquellos que estén firmados haciendo uso de MD5.

Para ser más exactos, será a partir del próximo 18 de abril cuando la empresa comenzará a bloquear todos los que estén firmados haciendo uso de este algoritmo. La empresa ya ha comenzado a advertir sobre este aspecto en la página web. Cuando procedemos a la descarga de una de las versiones para desarrolladores, se puede leer un mensaje en el que se indica esto que hemos dicho.

Desde Oracle habían fijado esta decisión para esta misma semana. Sin embargo, dado que muchos desarrolladores no tenían tiempo material para realizar los cambios oportunos, los responsables han tomado la decisión de aplazar esta decisión para mediados del próximo mes de abril.

Oracle Java SE 8u131 será la primera versión que no dispondrá de este algoritmo.

Fuente: Oracle

EEUU.. Servicios inteligencia avisan a Trump que Rusia podría tener información sensible sobre él

Los servicios de inteligencia de Estados Unidos avisaron la semana pasada al presidente electo, Donald Trump, de que Rusia podría poseer  información sensible y comprometedora sobre él, según informaron varios medios de EE.UU.

En un anexo al informe que los servicios de inteligencia presentaron el pasado viernes al presidente saliente, Barack Obama, y a su sucesor, Donald Trump, sobre los ciberataques rusos durante las pasadas elecciones de noviembre, se recoge información no contrastada pero a la que la inteligencia da credibilidad sobre la relación del presidente electo y el Gobierno ruso.

El FBI, explican los medios estadounidenses, está tratando de verificar estas alegaciones, que circulan desde hace meses, pero ha decidido informar al presidente electo por la importancia del hecho. La mayoría de la información procede de fuentes rusas pero también hay un informe de un exagente británico del MI6 que la inteligencia de EE.UU. considera creíble.

Información de contenido político y sexual

• Según informan entre otros el New York Times y la CNN, el documento en cuestión habla de un constante tráfico de contactos e información entre el equipo de campaña de Trump e intermediarios del Gobierno de Vladímir Putin.
• Supuestamente, las autoridades rusas ofrecieron a Trump suculentos negocios inmobiliarios relacionados especialmente con la Copa Mundial de Fútbol que se jugará en Rusia en 2018, aunque el presidente electo los rechazó.
• Lo que sí aceptaron presuntamente tanto el entonces candidadto como sus asesores fue la información sobre los demócratas y su candidata, Hillary Clinton, que la inteligencia rusa había obtenido a través de ataques informáticos, informa Efe.
• El material en manos de Rusia incluiría también información de tipo sexual que podría ser usada contra el presidente electo.

Moscú niega las acusaciones

• Trump ha tachado las revelaciones de "caza de brujas política" dirigida en su contra. Por su parte, Moscú ha negado las acusaciones, que ha tachado de "sinsentido total".
• El portavoz del Kremlin, Dimitry Peskov, ha asegurado que los supuestos informes son invenciones para dañar las relaciones entre ambos países y ha usado también la expresión "caza de brujas política".
• Las agencias de inteligencia de Estados Unidos aseguraron en un informe hecho público el pasado viernes que Putin ordenó influir en las elecciones estadounidenses mediante ciberataques porque sentía una "clara" preferencia por Trump, quien resultó elegido frente a Hillary Clinton.

Fuente: RTVE.es

EEUU..Trump se reunirá con ejecutivos de compañías por ciberseguridad

El presidente electo de Estados Unidos, Donald Trump, planea reunirse con ejecutivos de corporaciones que hayan enfrentado retos de ciberseguridad, en una serie de encuentros organizados por el ex alcalde de Nueva York Rudy Giuliani, anunció en un comunicado su equipo de transición.

Giuliani, un ex asesor de campaña de Trump que dirige un negocio de consultoría de ciberseguridad, facilitará los encuentros, pero "no se espera ni será solicitado un consejo consensuado, ni recomendaciones resultantes de deliberaciones o interacciones en grupo".

En su lugar, el comunicado indicó que Trump busca "obtener información desde la experiencia y las anécdotas de cada ejecutivo".

Fuente: Reuters

UE. Propuesta de privacidad online afectaría ingresos de publicidad (Facebook y Gmail)

Servicios de mensajes online y correos electrónicos como WhatsApp, iMessage y Gmail se enfrentarán a nuevas reglas más duras sobre cómo ubicar a los usuarios en virtud de una nueva propuesta presentada por el ejecutivo de la Unión Europea el martes que podría afectar sus ingresos por publicidad.

Las empresas tecnológicas deberán garantizar la confidencialidad de las conversaciones de sus usuarios y solicitar su consentimiento antes de rastrearlos online para enviarles anuncios personalizados. Por ejemplo, servicios como Gmail y Hotmail no podrán revisar los correos para enviar anuncios personalizados sin la autorización del usuario.

La mayoría de los servicios online gratis dependen de la publicidad para financiarse y la propuesta del martes generó temores de que pueda reducir los ingresos.

La propuesta de la Comisión Europea extiende algunas normas que se aplican ahora a los operadores de telecomunicaciones a las compañías web que ofrecen llamadas y mensajes usando Internet, conocidos como servicios OTT, en busca de cerrar la supuesta brecha regulatoria entre la industria de telecomunicaciones y los gigantes estadounidenses de la red como Facebook, Google y Microsoft.

La propuesta del martes permitiría a las compañías de telecomunicaciones usar los metadatos de los clientes -como la duración y ubicación de las llamadas- para brindar servicios adicionales y sacar un rédito de ellos, algo que tienen prohibido bajo las leyes actuales.

Sin embargo, la industria de telecomunicaciones dijo que la propuesta igualmente imponía obligaciones más estrictas sobre ellos que a las compañías web.

La revisión de la llamada ley de privacidad digital también requerirá que los buscadores web pregunten a los usuarios si quieren permitir que sitios instalen "cookies", elementos que contienen datos del usuario y que son usadas para enviar anuncios personalizados.

Empresas online de publicidad han advertido que reglas demasiado estrictas socavarán la capacidad de muchos sitios de financiarse y seguir ofreciendo servicios gratis. Solo en Reino Unido, la publicidad online genera 10.000 millones de libras (12.160 millones de dólares) de ingresos, según la Oficina de Publicidad en Internet.

Fuente: Reuters

CIBERATAQUE. A empresa de hacking y se filtran 900 GB de datos de clientes gubernamentales

El sitio Motherboard ha recibido 900 GB de datos sustraídos a la empresa israelí Cellebrite, dedicada a proporcionar herramientas de hacking móvil a gobiernos de todo el mundo. El paquete filtrado incluye base de datos, nombres de clientes e información técnica sobre los productos de Cellebrite.

Cellebrite comercializa herramientas que permiten a las autoridades policiales extraer información de dispositivos móviles bloqueados o cifrados. La empresa fue relacionada con una investigación del FBI contra los autores de un ataque terrorista perpetrado en San Bernardino, California, en  diciembre de 2015. Aunque la cooperación con el FBI no fue totalmente confirmada, la intrusión revelada por Motherboard deja en evidencia la popularidad de los servicios de Cellebrite entre las autoridades policiales estadounidenses. Según la fuente, diversos organismos de ese país han pagado “varios millones de dólares” a Cellebrite por sus servicios.

Los datos obtenidos por Motherboard habrían sido extraídos desde un servidor web público disponible para los clientes de la empresa. Por lo tanto, la filtración incluye consultas al departamento de soporte técnico de Cellebrite, como así mismo  los datos de contacto de los clientes.

Entre los clientes de Motherboard figura la policía nacional de Turquía, el ministerio del interior de los Emiratos Árabes Unidos, y autoridades policiales rusas. Aunque estos clientes tendrían razones legítimas para utilizar este tipo de herramientas, algunos de los regímenes tienen un nutrido expediente de violaciones de los derechos humanos y las libertades civiles; es decir, es dable cuestionar si sus investigaciones son de índole policial legítimo, o contra disidentes políticos.

Según Motherboard, la licencia de usuario y condiciones de servicio de Cellebrite no impone limitaciones al ámbito de utilización de sus herramientas. El desconocido que proporcionó los datos a Motherboard habría comentado que estos están en venta en canales cerrados de IRC. Explicó además que su motivación para dar a conocer los datos es “su desprecio ante la forma en que las autoridades occidentales han modificado las leyes de espionaje”.

Confirmación oficial de la empresa

• Cellebrite, Por su parte, ha confirmado la intrusión, que califica de “acceso no autorizado a un servidor externo”. La empresa agrega que el servidor contenía, entre otras cosas, en una copia de seguridad de la bases de datos de my.Cellebrite, sistema de gestión de licencias de la empresa. Asimismo, confirma que los datos contenían información de contacto de los clientes, como asimismo una lista de contraseñas aún pendientes de migración a un sistema actualizado. Por lo tanto, recomienda a sus clientes modificar sus contraseñas. Cellebrite anuncia una revisión y fortalecimiento de la seguridad de sus sistemas, junto con informar que la situación está siendo investigada con las autoridades del caso.

Fuente: diarioti.com

AMAZON. Su secreto del éxito en el e-commerce se llama ALEXA

El asistente inteligente, presente en móviles, coches y electrodomésticos, es la apuesta de la firma de Bezos para hacer negocio con el Internet de las Cosas.

Tal y como se pudo comprobar durante el CES, la mayor feria de electrónica de consumo del mundo, que se celebró la semana pasada en Las Vegas (Estados Unidos), Alexa es la gran apuesta de la empresa de Jeff Bezos para seguir dominando el mercado de las compras por Internet.

Alexa es el asistente virtual de Amazon. Una inteligencia artificial, similar a Siri (Apple) o a Cortana (Microsoft), que interactúa con el usuario y es capaz de sincronizarse con el smartphone para llamar, poner música o incluso pedir un taxi. Durante la feria tecnológica, Amazon anunció su integración en múltiples dispositivos: desde los vehículos Ford, en los que actuará como copiloto permitiendo al conductor buscar direcciones o conocer la información del vehículo sólo con una orden en voz alta, a electromésticos y teléfonos móviles. Whirlpool presentó una lavadora conectada controlada con la voz y el fabricante chino de móviles Huawei anunció que su próximo móvil estrella, el Mate 9, que ya está a la venta en Estados Unidos y que pronto llegará a Europa, llevará preinstalado Alexa.

OMNIPRESENTE

• La interconexión del asistente virtual y su altavoz para el hogar, Echo (ver información adjunta), con electrodomésticos, coches y demás objetos, abre un nuevo universo de posibilidades para que el gigante del comercio electrónico aproveche la explosión del Internet de las Cosas y haga negocio con ello. "El objetivo de Amazon con estos acuerdos no es el de recaudar mucho dinero por los derechos de licencia y las regalías", explica el director de Investigación de Gartner, Werner Goertz. "Más bien, Amazon se aprovecha de los acuerdos con los vendedores porque esto les ayuda a hacer a Alexa omnipresente. Cuanto más se difunda Alexa, más se beneficiará Amazon de los ingresos del comercio electrónico", añade.
• Y es que entre las muchas funcionalidades de Alexa está la posibilidad de realizar pedidos a través de Internet. Así, por ejemplo, un usuario con una nevera LG que incorpore esta tecnología, como la que presentó la multinacional surcoreana en el CES, puede hacer la compra a través de Amazon sin necesidad de conectarse, tan sólo ordenando los alimentos en voz alta y confirmando la compra en el móvil. Ahora, imaginen poder ordenar pedidos desde el coche, la televisión o cualquier otro dispositivo con sólo pronunciar su nombre. Quizá sea éste el motivo por el que Goertz se refiere al asistente como "una parte esencial de la estrategia de Amazon", aunque "no se represente fácilmente en los ingresos o los beneficios".

VOZ

• En los últimos años, prácticamente todos los gigantes tecnológicos, de Google a Apple pasando por Microsoft, han presentado su propio asistente digital. El último en sumarse fue el buscador, que a mediados de 2016 lanzó Google Assistant, pensado para facilitar tareas cotidianas en el hogar a través del lenguaje.
• Cada vez más, los usuarios prefieren aparcar el teclado y comunicarse con los dispositivos a través de la voz. Aplicaciones de mensajería instantánea como Facebook Messenger y WhatsApp ya hace tiempo que han incorporado esta funcionalidad. Según Google, alrededor del 20% de las búsquedas realizadas con Android en Estados Unidos se hacen ya con voz.

Fuente: Expansion.com

BIOMEDICINA. Investigadores logran predecir enfermedades gracias a datos recopilados por un smartwatch

Investigadores de la Universidad de Stanford han desarrollado un 'software' basado en los datos recogidos por relojes inteligentes --smartwach-- capaz de detectar posibles dolencias antes incluso de que se produzcan. La investigación ha logrado predecir desde resfriados hasta infecciones graves o diabetes.

El estudio, publicado el pasado jueves en la revista 'Plos Biology', se basa en una investigación realizada a 43 personas, a quienes se les entregó un 'smartwatch' que portaron durante un año. El dispositivo recogía datos relativos a la frecuencia cardiaca, la temperatura corporal o el sueño, entre otros, y analizaba los resultados poniendo el foco en los periodos en los que alguna de las personas tenía una enfermedad.

En la investigación se observó que el parámetro más efectivo para predecir enfermedades es la frecuencia cardíaca, tanto para resfriados comunes como para dolencias más graves como la enfermedad de Lyme. Los datos de los 'wearables' resultaron especialmente útiles para las enfermedades infecciosas y que producen fiebre, y sirvieron a los científicos para desarrollar un 'software' capaz de identificar el momento en que una persona está cerca de caer enferma.

Por otra parte, también se utilizaron los datos recolectados por los 'smartwatch' en 20 voluntarios para analizar la propensión a sufrir diabetes. De nuevo, el dato más útil resultó el de la frecuencia cardiaca.

A pesar del enorme potencial de los avances planteados en el estudio, los investigadores advierten en el mismo de que los datos de los 'smartwatch' también pueden conducir a diagnósticos erróneos y a una posible intromisión en la privacidad de las personas.

Fuente: Europa Press

BIOMEDICIA. Espray para "fumigar" plantas con ARN, bloquea sus genes y las protege de los virus

El equipo que lo ha creado asegura que una sola aplicación protege la planta hasta 20 días. Aunque podría ser más rápido que cosechar cultivos con OMG, su uso tampoco está exento de debate

Unos científicos han demostrado que pueden emplear espray fumigante para bloquear los genes de las plantas y hacerlas resistentes a un virus durante varias semanas.

Un equipo de la Universidad de Queensland (Australia) ha desarrollado una técnica que permite depositar ácido ribonucleico (ARN) sobre las hojas de las cosechas. El espray utiliza láminas microscópicas de arcilla, en las que se carga el ARN. Una vez las láminas se adhieren a las hojas de una planta y comienzan a degradarse poco a poco, el ARN es absorbido por las plantas donde interfiere con uno de sus genes e impide que se realice su función.

En un trabajo publicado esta semana en la revista Nature Plants, el equipo demuestra que una única aplicación de este espray puede impedir que las plantas de tabaco sucumban al virus del moteado suave de pimiento durante 20 días. El equipo explica que la técnica funciona porque la arcilla se adhiere bien a las hojas, asegurándose así de que el ARN siga en contacto con la planta durante el mayor tiempo posible.

Fuente: Mit Technology Review

SEGURIDAD INFORMÁTICA. Informe Estudio de la Oferta de Certificaciones

Se ha publicado en la red Criptored y para su libre descarga el informe Estudio de la Oferta de Certificaciones en Seguridad Informática. Un documento en pdf con 85 páginas realizado por Dña. María del Mar Martínez Contreras como su Trabajo Fin de Carrera en Ingeniería Informática en la Universidad Politécnica de Madrid.

Este trabajo de investigación forma parte del Proyecto MESI, Mapa de Enseñanza de la Seguridad de la Información. En la actualidad, las certificaciones son la mejor manera de demostrar una especialización en determinados campos de las Tecnologías de la Información (TI). En este ámbito, hay gran cantidad de certificaciones profesionales y las de seguridad son de las más numerosas y más solicitadas en el mercado laboral. Las certificaciones en seguridad informática son una estrategia utilizada por la industria para establecer un estándar de formación y habilidades requeridas.

Todo profesional de seguridad puede recurrir a certificaciones que avalen su conocimiento y experiencia, a nivel nacional e internacional. En este estudio se va a mostrar la oferta de certificaciones de seguridad del mercado y, además, se va a realizar una clasificación de dichas certificaciones, acorde con la especialidad en las que son demandadas. También se van a detallar datos estadísticos de profesionales certificados, oportunidades de trabajo y toda la información necesaria para las personas que deseen certificarse, como empresas y asociaciones que las proporcionan, tipos de exámenes, cuotas, requisitos que hay que cumplir y, una vez certificados, qué hay que hacer para mantener esas certificaciones.

Es decir, en este trabajo se dispone de toda la información que podría necesitar una persona que quiera certificarse en seguridad de la información para elegir qué certificación es la que más se ajusta a sus necesidades. Es importante destacar que este trabajo se va a centrar, sobre todo, en las certificaciones emitidas por las entidades (ISC)2 e ISACA, que son las que copan el mercado de la seguridad de la información, son de las más solicitadas y en las que mayor número de personas certificadas hay.

Más información

• Informe Estudio de la Oferta de Certificaciones http://www.criptored.upm.es/guiateoria/gt_m001p1.htm

Fuente: Hispasec

NESSUS. Vulnerabilidad de cross-site scripting

Tenable ha confirmado la corrección de una vulnerabilidad en Nessus que podría permitir a un atacante autenticado realizar ataques de cross-site scripting almacenados.

La vulnerabilidad, con CVE-2017-5179, reside en un error en el filtrado de código html facilitado por el usuario antes de mostrar la salida. Según ha confirmado Tenable el aviso original, de Asif Balasinor, cubría un XSS reflejado que se consideró que no tenía ningún riesgo ya que sólo podía ser activado por el usuario autenticado. Pero durante la evaluación del problema, el equipo de desarrollo descubrió un problema diferente que podía permitir XXS almacenados. Ambos problemas han sido solucionados, aunque consideran que sólo el XSS almacenado plantea un riesgo.

Recursos afectados

• Se ven afectadas las versiones de Nessus 6.8.0, 6.8.1, 6.9.0, 6.9.1 y 6.9.2. Tenable ha publicado la versión Nessus 6.9.3 que corrige los problemas.

Recomendación

• La actualización está disponible desde el Portal de Soporte: https://support.tenable.com/support-center/index.php?x=&mod_id=200

Más información:

• [R1] Nessus 6.9.3 Fixes One Vulnerability http://www.tenable.com/security/tns-2017-01

Fuente: Hispasec

MICROSOFT. Publica cuatro boletines de seguridad y soluciona 15 vulnerabilidades

Microsoft ha publicado cuatro boletines de seguridad (del MS17-001 al MS17-044) correspondientes a su ciclo habitual de actualizaciones y que según anunció son los últimos boletines que publica como tales. 

Según la propia clasificación de Microsoft dos de los boletines presentan un nivel de gravedad "crítico" mientras que los dos restantes son "importantes". En total se han solucionado 15 vulnerabilidades, 12 de ellas en Flash Player.

Boletines publicados

1. MS17-001: Boletín "crítico" que incluye la también habitual actualización acumulativa para Microsoft Edge, el navegador incluido en Windows 10. En esta ocasión se soluciona una vulnerabilidad de elevación de privilegios si un usuario visita, con Microsoft Edge, una página web especialmente creada (CVE-2017-0002).
2. MS17-002: Boletín "crítico" destinado a corregir una vulnerabilidad si se abre un archivo específicamente creado con Microsoft Office (CVE-2017-0003).
3. MS16-004: Actualización considerada "importante" destinada a corregir una vulnerabilidad (CVE-2017-0004) de denegación de servicio en la forma en que Local Security Authority Subsystem Service (LSASS) trata las peticiones de autenticación.
4. MS16-003: Como ya es habitual, Microsoft publica un boletín para resolver las vulnerabilidades solucionadas por Adobe en Flash Player en su también boletín periódico. Se trata de un boletín "crítico" que en esta ocasión soluciona 12 vulnerabilidades en Adobe Flash Player instalado en Windows Server 2012, Windows Server 2016, Windows 8.1 y Windows 10; correspondientes al boletín APSB17-02 de Adobe 

Recomendación

• Las actualizaciones publicadas pueden descargarse a través de Windows Update o consultando los boletines de Microsoft donde se incluyen las direcciones de descarga directa de cada parche. Se recomienda la actualización de los sistemas con la mayor brevedad posible.

ás información:

• Microsoft Security Bulletin Summary for January 2017 https://technet.microsoft.com/library/security/ms17-jan
• Microsoft Security Bulletin MS17-001 – Important Security Update for Microsoft Edge (3214288) https://technet.microsoft.com/library/security/ms17-001
• Microsoft Security Bulletin MS17-002 – Important. Security Update for Microsoft Office (3214291) https://technet.microsoft.com/library/security/ms17-002
• Microsoft Security Bulletin MS17-003 – Critical. Security Update for Adobe Flash Player (3214628) https://technet.microsoft.com/library/security/ms17-003
• Microsoft Security Bulletin MS17-004 – Important. Security Update for Local Security Authority Subsystem Service (3216771). https://technet.microsoft.com/library/security/ms17-004

Fuente: Hispasec

ADOBE. Actualizaciones de seguridad para Flash Player, Acrobat y Reader

Adobe ha publicado dos boletines de seguridad para anunciar las actualizaciones necesarias para solucionar 13 vulnerabilidades en Flash Player y 29 en Adobe Acrobat y Reader.

ADOBE READER Y ACROBAT

• Adobe dedica el primer boletín de seguridad del año a las actualizaciones para Adobe Reader y Acrobat (boletín APSB17-01). Se han solucionado 29 vulnerabilidades que afectan a las versiones 15.020.20042 (y anteriores) de Acrobat DC y Acrobat Reader DC Continuous, 15.006.30244 (y anteriores) de Acrobat DC y Acrobat Reader DC Classic y Acrobat XI y Reader XI 11.0.18 (y anteriores) para Windows y Macintosh.
• Esta actualización soluciona una confusión de tipos, 12 problemas de corrupción de memoria, siete vulnerabilidades de uso de memoria después de liberarla y ocho desbordamientos de búfer; todos ellos podrían permitir la ejecución de código. También se resuelve otro problema de salto de medidas de seguridad. Los CVE asociados son del CVE-2017-2939 al CVE-2017-2967.

Recomendación

• Adobe ha publicado las versiones 11.0.19 de Acrobat XI y Reader XI, Acrobat DC y Reader DC Continuous 15.023.20053 y Acrobat DC y Reader DC Classic 15.006.30279; las cuales solucionan los fallos descritos. Se encuentran disponibles para su descarga desde la página oficial, y a través del sistema de actualizaciones cuya configuración por defecto es la realización de actualizaciones automáticas periódicas.

FLASH PLAYER

• El ya habitual boletín mensual para Flash, en esta ocasión el boletín APSB17-02 que soluciona 13 vulnerabilidades.
• Los problemas incluyen cinco vulnerabilidades de corrupción de memoria, cuatro desbordamientos de búfer y tres por uso de memoria después de liberarla; que podrían permitir la ejecución de código. Por otra parte, otro problema de salto de medidas de seguridad que podría permitir la obtención de información sensible. Los CVE asignados son CVE-2017-2925 al CVE-2017-2928 y CVE-2017-2930 al CVE-2017-2938.

Recomendación

• Adobe ha publicado las siguientes versiones de Adobe Flash Player destinadas a solucionar las vulnerabilidades, y se encuentran disponibles para su descarga desde la página oficial:
• Flash Player Desktop Runtime 24.0.0.194
• Flash Player para Linux 24.0.0.194
• Igualmente se ha publicado la versión 24.0.0.194 de Flash Player para navegadores Internet Explorer, Edge y Chrome.
• Adobe recomienda a los usuarios de Adobe Flash Player Desktop Runtime para Windows y Macintosh actualizar a través del sistema de actualización del propio producto o desde http://www.adobe.com/go/getflash  
• Para actualizar Adobe Flash Player para Linux http://www.adobe.com/go/getflash  

Más información:

• Security updates available for Adobe Flash Player https://helpx.adobe.com/security/products/flash-player/apsb17-02.html
• Security Updates Available for Adobe Acrobat and Reader https://helpx.adobe.com/security/products/acrobat/apsb17-01.html

Fuente: Hispasec

GNUTLS. Vulnerabilidades de ejecución de código en dicha librería

Se han anunciado cuatro vulnerabilidades en la librería GnuTLS que podrían permitir a un atacante remoto ejecutar código arbitrario en los sistemas afectados.

GnuTLS es una librería de comunicaciones segura que implementa, entre otros protocolos, SSL, TLS y DTLS. Aunque no es tan popular como la librería OpenSSL, GnuTLS también es ampliamente usada. Se incluye por defecto en diversas distribuciones Linux, incluyendo Red Hat, Ubuntu o Debian. Un gran número de productos Linux también dependen de ella para el soporte de SSL/TLS.

Detalle e impacto de las vulnerabilidades

• El primer problema, con CVE-2017-5334, reside en el tratamiento de certificados X.509 específicamente manipulados que contengan una extensión Proxy Certificate Information que provoca un error de doble liberación de memoria en gnutls_x509_ext_import_proxy() y ejecutar código arbitrario en el sistema afectado.
• Por otra parte, otras tres vulnerabilidades residen en el tratamiento de certificados OpenPGP específicamente creados que podrían provocar desbordamientos de búfer y permitir la ejecución de código arbitrario en los sistemas afectados. (CVE-2017-5335 al CVE-2017-5337). Cabe señalar que GnuTLS recuerda que el uso de certificados OpenPGP se considera obsoleto. Por lo que no está recomendado el uso de este tipo de certificados.

Recomendación

• Para corregir el problema se han publicado las versiones 3.3.26 y 3.5.8 de GnuTLS, disponibles desde: http://gnutls.org/download.html

Más información:

About Security Advisories

• https://gnutls.org/security.html#GNUTLS-SA-2017-1
• https://gnutls.org/security.html#GNUTLS-SA-2017-2

Fuente: Hispasec