Vulnerabilidad crítica en Cisco CloudCenter Orchestrator

Cisco ha confirmado una vulnerabilidad en la configuración Docker Engine de Cisco CloudCenter Orchestrator (CCO; anteriormente conocido como CliQr) que podría permitir a un atacante remoto sin autenticar conseguir privilegios de root en los sistemas afectados.

El problema, con CVE-2016-9223, se debe a una configuración incorrecta que provoca que el puerto de administración del Docker Engine quede accesible fuera del sistema CloudCenter Orchestrator. Un atacante podría explotar esta vulnerabilidad instalando contenedores de Docker en el sistema afectado con privilegios arbitrarios. Como impacto secundario, esto podría permitir al atacante obtener privilegios de root en el CloudCenter Orchestrator afectado.

El problema afecta a todas las versiones de Cisco CloudCenter Orchestrator (CCO) con el puerto 2375 del motor Docker Engine abierto en el sistema y enlazado a la dirección local 0.0.0.0 (cualquier interfaz), configuración por defecto.

• Se ha solucionado en la versión de Cisco CloudCenter Orchestrator 4.6.2

Más información:

• Cisco CloudCenter Orchestrator Docker Engine Privilege Escalation Vulnerability https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20161221-cco

Fuente: Hispasec

Desbordamiento de búfer en la librería libcurl

Se ha publicado un boletín de seguridad del proyecto cURL para alertar de una vulnerabilidad en la librería libcurl, que podría permitir a un atacante remoto ejecutar código arbitrario en los sistemas afectados.

cURL es una librería y herramienta para descargar ficheros mediante la sintaxis URL a través de diferentes protocolos: DICT, FILE, FTP, FTPS, Gopher, HTTP, HTTPS, IMAP, IMAPS, LDAP, LDAPS, POP3, POP3S, RTMP, RTSP, SCP, SFTP, SMTP, SMTPS, Telnet y TFTP, y utilizada por millones de usuarios en diversos sistemas operativos, utilidades y aplicaciones webs.

La vulnerabilidad, con CVE-2016-9586, reside en un desbordamiento de búfer en la implementación de las funciones printf() de la libería libcurl cuando se produce una salida de un punto flotante de gran tamaño. El fallo se produce con salidas de conversión de más de 255 bytes.El fallo se debe a que en las conversiones de punto flotante se usan funciones de sistema sin las adecuadas comprobaciones.

La vulnerabilidad afecta desde la versión 7.1 hasta la 7.51.0 incluida, únicamente en la librería. Esto es la utilidad cURL no se ve afectada. Se deben tener en cuenta las aplicaciones de terceros que incluyen en su implementación la librería de forma interna.

Recomendación

• Se ha publicado la versión 7.52.0 que soluciona totalmente la vulnerabilidad. https://curl.haxx.se/docs/vuln-7.52.0.html
• También existe un parche específico: https://curl.haxx.se/CVE-2016-9586.patch

Más información:

• printf floating point buffer overflow https://curl.haxx.se/docs/adv_20161221A.html

Fuente: Hispasec

Cross-site scripting en VMware vSphere Hypervisor (ESXi)

VMware ha publicado una actualización de seguridad para corregir una vulnerabilidad en VMware vSphere Hypervisor (ESXi) que podrían permitir a un atacante construir ataques de cross-site scripting.

VMware es un software que permite ejecutar diferentes sistemas operativos en un mismo PC de forma virtual. Entre otras aplicaciones, VMware es muy utilizado en seguridad informática por la versatilidad que ofrece. VMWare ESX permite asignar recursos de procesador, memoria, almacenamiento de información y redes en múltiples máquinas virtuales.

Detalle e Impacto de la vulnerabilidad

• El problema, con CVE-2016-7463, reside en que un atacante con permisos para administrar máquinas virtuales a través de Cliente Host ESXi, o engañando al administrador de vSphere para importar una máquina virtual específicamente manipulada, podría realizar ataques de cross-site scripting (XSS) almacenados en el Cliente Host ESXi. El problema se puede provocar en el sistema desde donde el Cliente Host ESXi se utiliza para administrar la máquina virtual especialmente diseñada.

Recursos afectados

• Afecta a versiones VMware vSphere Hypervisor (ESXi) 6.0 y 5.0.

Recomendación

VMware ha publicado las siguientes actualizaciones:

1. ESXi 6.0: ESXi600-201611102-SG
2. ESXi 5.5: ESXi550-201612102-SG

• Disponibles desde https://www.vmware.com/patchmgr/findPatch.portal

Más información:

• VMSA-2016-0023.  VMware ESXi updates address a cross-site scripting issue. http://www.vmware.com/security/advisories/VMSA-2016-0023.html

Fuente: Hispasec

OpenSSH. Nueva versión que soluciona diversas vulnerabilidades

Se ha publicado una nueva versión de OpenSSH destinada a corregir seis vulnerabilidades que podrían permitir la ejecución de código, elevar privilegios, obtener llaves privadas, escribir archivos o provocar condiciones de denegación de servicio.

OpenSSH es una implementación libre de la familia de protocolos SSH, que ofrecen una alternativa segura a los servicios telnet, rlogin, rsh, rcp, ftp y similares. Todo el tráfico entre un servidor SSH y un cliente SSH se realiza de forma cifrada y se aplican fuertes mecanismos para garantizar la autenticación.

Detalle de la vulnerabilidad

• Un usuario remoto autenticado con control de un servicio sshd podría devolver una petición al ssh-agent para cargar un módulo PKCS#11 manipulado y ejecutar código o escribir archivos en el sistema que ejecuta ssh-agent (CVE-2016-10009).
• Por otra parte, con CVE-2016-10010, un usuario podría conseguir privilegios de root a través del reenvío de sockets Unix-domain en sistemas con separación de privilegios desactivada. Un usuario local con privilegios podría conseguir llaves privadas del host (CVE-2016-10011).
• Con CVE-2016-10012, una vulnerabilidad de elevación de privilegios por un fallo en la comprobación de límites en el administrador de memoria compartida. Una condición de denegación de servicio debido a que un atacante que envíe múltiples mensajes KEXINIT puede llegar a consumir hasta 128MB por conexión.
• Por último, un atacante remoto podría evitar los controles de acceso basados en direcciones si la directiva AllowUser está configurada con rangos de direcciones CIDR no válidos.

Recomendación

• OpenSSH ha publicado la versión OpenSSH 7.4 que corrige estos problemas y algunos otros fallos no relacionados directamente con la seguridad.

Más información:

• OpenSSH 7.4 has just been released http://www.openssh.com/txt/release-7.4

Fuente: Hispasec

SAMBA. Nuevas versiones que solucionan distintas vulnerabilidades

Se han publicado nuevas versiones de Samba, destinadas a solucionar tres vulnerabilidades que podrían permitir a un atacante ejecutar código de forma remota o elevar privilegios en los sistemas afectados.

Samba es un software gratuito que permite acceder y utilizar archivos, impresoras y otros recursos compartidos en una intranet o en Internet. Está soportado por una gran variedad de sistemas operativos, como Linux, openVMS y OS/2. Está basado en los protocolos SMB (Server Message Block) y CIFS (Common Internet File System).

Detalle de las vulnerabilidades subsanadas

• El primero de los problemas (con CVE-2016-2123) reside en un desbordamiento de búfer en ndr_pull_dnsp_name al tratar objetos Samba NDR (Network Data Representation). Por otra parte, con CVE-2016-2125, una elevación de privilegios en servidores Kerberos en sitios de confianza. Y por último, con CVE-2016-2126, fallos en la validación PAC de Kerberos que podrían permitir elevar privilegios a usuarios locales.

Recomendación

• Se han publicado las versiones Samba 4.5.3, 4.4.8 y 4.3.13 que corrigen los problemas. http://www.samba.org/samba/security/

Adicionalmente, se han publicado parches para solucionar estas vulnerabilidades:

• Para Samba 4.5.2: https://download.samba.org/pub/samba/patches/samba-4.5.2-4.5.3.diffs.gz
• Para Samba 4.4.7: https://download.samba.org/pub/samba/patches/samba-4.4.7-4.4.8.diffs.gz
• Para Samba 4.3.12: https://download.samba.org/pub/samba/patches/patch-4.3.12-4.3.13.diffs.gz

Más información:

• Samba 4.5.3, 4.4.8 and 4.3.13 Security Releases Available for Download https://www.samba.org/samba/history/
• Samba NDR Parsing ndr_pull_dnsp_name Heap-based Buffer Overflow Remote Code Execution Vulnerability https://www.samba.org/samba/security/CVE-2016-2123.html
• Unconditional privilege delegation to Kerberos servers in trusted realms https://www.samba.org/samba/security/CVE-2016-2125.html
• Samba 4.5.3 Available for Download https://www.samba.org/samba/history/samba-4.5.3.html
• Samba 4.4.8 Available for Download https://www.samba.org/samba/history/samba-4.4.8.html
• Samba 4.3.13 Available for Download https://www.samba.org/samba/history/samba-4.3.13.html

Fuente: Hispasec

Vulnerabilidad crítica en múltiples routers Netgear

Se ha confirmado una vulnerabilidad de inyección de comandos en múltiples modelos de routers Netgear. El problema es especialmente grave dada la facilidad con que se puede reproducir.

Netgear ha confirmado el problema y ratifica que afecta a los siguientes modelos:

1. R6250
2. R6400
3. R6700
4. R6900
5. R7000
6. R7100LG
7. R7300DST
8. R7900
9. R8000
10. D6220
11. D6400

La vulnerabilidad puede permitir a un atacante remoto ejecutar comandos arbitrarios en los dispositivos afectados. Basta con tener acceso a la interfaz de administración web del router (aunque no se esté autenticado). Para conseguir su objetivo el atacante puede convencer o engañar al usuario para que visite un sitio web específicamente creado.

El ataque se reduce a:

http:///cgi-bin/;COMANDO

Un atacante puede abrir un Telnet remoto en el puerto 45, con una petición como:

http://RouterIP/;telnetd$IFS-p$IFS'45'

Como contramedida se puede desactivar la interfaz de administración web, mediante el siguiente comando:

http:///cgi-bin/;killall$IFS'httpd'

"NETGEAR is working on a production firmware version that fixes this command injection vulnerability and will release it as quickly as possible." ("NETGEAR está trabajando en una versión de firmware de producción que corrija esta vulnerabilidad de inyección de comandos y la publicará lo más rápido posible")

En la actualidad existen versiones beta del firmware que solucionan el problema para los siguientes modelos:

• R6250 http://kb.netgear.com/000036456/R6250-Firmware-Version-1-0-4-6-Beta
• R6700 http://kb.netgear.com/000036457/R6700-Firmware-Version-1-0-1-14-Beta
• R6900 http://kb.netgear.com/000036462/
• R7100LG http://kb.netgear.com/000036461/R7100LG-Firmware-Version-1-0-0-28-Beta
• R7300DST http://kb.netgear.com/000036460/R7300DST-Firmware-Version-1-0-0-46-Beta
• R7900 http://kb.netgear.com/000036459/R7900-Firmware-Version-1-0-1-8-Beta
• D6220 http://kb.netgear.com/000036463/D6220-Firmware-Version-1-0-0-22-Beta
• D6400 http://kb.netgear.com/000036464/D6400-Firmware-Version-1-0-0-56-Beta

Y las siguientes versiones de producción del firmware:

• R6400 http://kb.netgear.com/000036533/R6400-Firmware-Version-1-0-1-18
• R7000 http://kb.netgear.com/000036470/R7000-Firmware-Version-1-0-7-6
• R8000 http://kb.netgear.com/000036534/R8000-Firmware-Version-1-0-3-26

Más información:

• Netgear R7000 - Command Injection https://www.exploit-db.com/exploits/40889/
• Multiple Netgear routers are vulnerable to arbitrary command injection http://www.kb.cert.org/vuls/id/582384
• Security Advisory for VU 582384 http://kb.netgear.com/000036386/CVE-2016-582384

Fuente: Hispasec

Múltiples vulnerabilidades en McAfee VirusScan Enterprise para Linux

McAfee ha confirmado un total de 10 vulnerabilidades en McAfee VirusScan Enterprise para Linux/LinuxShield con diferentes efectos que incluyen saltos de autenticación, obtención de información sensible, Cross-Site Request Forgery o Cross-site Scripting. La combinación de varias de ellas podría permitir la ejecución remota de código como root.

Las vulnerabilidades corregidas incluyen la exposición de información sensible que podría permitir a atacantes remotos obtener la existencia de archivos no autorizados en el sistema a través de parámetros en una URL (CVE-2016-8016). Inyección de elementos especiales que podría permitir a atacantes remotos leer archivos del servidor web a través de entradas de usuario manipuladas (CVE-2016-8017).

Con CVE-2016-8018 un Cross Site Request Forgery (CSRF) y con CVE-2016-8019 otra vulnerabilidad de Cross-Site Scripting (XSS) en Attributes. Un control inadecuado de generación de código podría permitir a atacantes remotos autenticados ejecutar código arbitrario a través de parámetros http manipulados (CVE-2016-8020).

La verificación inadecuada de firma criptográfica (CVE-2016-8021) podría permitir a usuarios remotos autenticados falsificar el servidor de actualizaciones y ejecutar código arbitrario a través de un archivo manipulado. Dos vulnerabilidades (con CVE-2016-8022 y CVE-2016-8023) de salto de autenticación mediante cookies manipuladas.

Una neutralización inadecuada de secuencias CRLF en cabeceras http podría permitir a atacantes remotos sin autenticar obtener información sensible a través de falsificación de respuestas http (CVE-2016-8024). Por ultimo, con CVE-2016-8025, una inyección SQL a través de parámetros http específicamente construidos.

Los problemas afectan a VirusScan Enterprise para Linux (VSEL) 2.0.3 y anteriores. 

Recomendación

• Se recomienda actualizar a Endpoint Security para Linux (ENSL) 10.2 o posterior, disponible desde: http://www.mcafee.com/us/downloads/downloads.aspx

Más información:

• Intel Security - Security Bulletin: VirusScan Enterprise for Linux/LinuxShield update fixes multiple vulnerabilities https://kc.mcafee.com/corporate/index?page=content&id=SB10181
• McAfee Virus Scan for Linux.  Vulnerability Writeup by Andrew Fasano. https://nation.state.actor/mcafee.html

Fuente: Hispasec

MOZILLA. Publica actualizaciones para Firefox y Firefox ESR

La Fundación Mozilla ha publicado dos boletines de seguridad considerados críticos (MFSA 2016-94 y MFSA 2016-95) destinados a corregir 13 vulnerabilidades en el navegador Firefox y otras 10 en la versión ESR de soporte extendido.

Se han publicado las versiones Firefox 50.1 y Firefox ESR 45.6. Centrándonos en el navegador Firefox, según la propia clasificación de Mozilla de las 13 vulnerabilidades corregidas cuatro vulnerabilidades están consideradas críticas, 6 de gravedad alta y 3 moderada.

Los problemas críticos residen en un desbordamiento de búfer en SkiaGL (CVE-2016-9894), un uso de memoria después de liberarla mientras se manipulan eventos DOM y elementos de audio (CVE-2016-9899), problemas de corrupción de memoria en Firefox que podrían permitir la ejecución remota de código (CVE-2016-9080) y de forma similar, múltiples problemas de corrupción de memoria en Firefox y Firefox ESR que igualmente podrían permitir la ejecución remota de código (CVE-2016-9893).

Las vulnerabilidades consideradas de gravedad alta, consisten en un uso de memoria después de liberarla en el Editor mientras se manipulan subárboles DOM (CVE-2016-9898), imágenes SVG permiten la carga de recursos externos restringidos a través de URLs data: (CVE-2016-9900) y una fuga de información en atoms compartidos (CVE-2016-9904).

Se han publicado las versiones Firefox 50.1 y Firefox ESR 45.6, disponibles para su descarga a través de los canales habituales o mediante las actualizaciones automáticas.

Más información:

• Mozilla Foundation Security Advisory 2016-94. Security vulnerabilities fixed in Firefox 50.1. https://www.mozilla.org/en-US/security/advisories/mfsa2016-94/
• Mozilla Foundation Security Advisory 2016-95. Security vulnerabilities fixed in Firefox ESR 45.6. https://www.mozilla.org/en-US/security/advisories/mfsa2016-95/
• 50.1.0 Firefox Release. https://www.mozilla.org/en-US/firefox/50.1.0/releasenotes/

Fuente: Hispasec

APPLE. Publica actualizaciones para macOS, Safari, iTunes e iCloud

Apple continúa con la actualización de productos. Destaca la publicación de nuevas versiones del software para Mac, macOS Sierra 10.12.2, Security Update 2016-003 El Capitan y Security Update 2016-007 Yosemite. Además de actualizaciones para el navegador Safari, iTunes para Windows e iCloud para Windows. Estas nuevas versiones solucionan un total de 97 vulnerabilidades.

Dada la gran cantidad de novedades y productos actualizados, vamos a realizar un breve repaso de las actualizaciones publicadas y problemas solucionados.

Se ha publicado macOS (anteriormente OS X) Sierra 10.12.2, Security Update 2016-003 El Capitan y Security Update 2016-007 Yosemite. En total se corrigen 72 nuevas vulnerabilidades; todas ellas afectan a macOS Sierra mientras que solo tres afectan a sistemas El Capitan y una a Yosemite.

Las vulnerabilidades corregidas afectan a múltiples componentes incluyendo: apache_mod_php, Assets, Audio, Bluetooth, CoreCapture, CoreGraphics, curl, Directory Services, Disk Images, Grapher, ICU, ImageIO, IOKit, IOSurface, Kernel, libarchive, LibreSSL, OpenLDAP, OpenPAM, OpenSSL, Security y syslog.

Las actualizaciones también han llegado a Safari, el popular navegador web de Apple, que se actualiza a la versión 10.0.2 para OS X Yosemite v10.10.5, OS X El Capitan v10.11.6 y macOS Sierra 10.12.2. Se solucionan 25 vulnerabilidades, 24 de ellas relacionadas con problemas en WebKit, el motor de navegador de código abierto que es la base de Safari. Y podrían ser aprovechadas por un atacante remoto para provocar condiciones de denegación de servicio, obtener información sensible o ejecutar código arbitrario al visitar una página web específicamente creada.

El contenido de seguridad de Safari 10.0.2 se encuentra incluido en macOS Sierra 10.12.2, Security Update 2016-003 El Capitan y Security Update 2016-007 Yosemite.

También se ha publicado iCloud para Windows 6.1 destinado a corregir las mismas 24 vulnerabilidades en WebKit que afectan a Safari.

Por último, iTunes para Windows también se ve afectado por 23 de esas mismas vulnerabilidades en WebKit por lo que se actualiza a la versión 12.5.4.

Más información:

• About the security content of macOS Sierra 10.12.2, Security Update 2016-003 El Capitan, and Security Update 2016-007 Yosemite https://support.apple.com/en-us/HT207423
• About the security content of Safari 10.0.2 https://support.apple.com/en-us/HT207421
• About the security content of iCloud for Windows 6.1 https://support.apple.com/en-us/HT207424
• About the security content of iTunes 12.5.4 for Windows https://support.apple.com/en-us/HT207427

Fuente: Hispasec

ADOBE. Actualización para múltiples de sus productos, incluido Flash

Adobe ha publicado una actualización para nueve de sus productos. En esta ocasión los productos afectados son Adobe Animate, Adobe Flash Player, Adobe Experience Manager Forms, Adobe DNG Converter, Adobe Experience Manager, InDesign, ColdFusion Builder, Adobe Digital Editions y RoboHelp. En total se han solucionado 30 vulnerabilidades incluido un 0day en Flash Player.

Adobe Flash Player

Sin duda la actualización más importante es la de Adobe Flash Player. Para el que se ha publicado el boletín APSB16-39, destinado a solucionar 17 vulnerabilidades, entre las que se incluye un 0day. Todos los problemas, excepto uno, podrían permitir a un atacante tomar el control de los sistemas afectados.

Adobe reconoce que existe un exploit para una vulnerabilidad por uso de memoria después de liberarla, con CVE-2016-7892, que se está utilizando en la actualidad de forma activa en ataques dirigidos contra usuarios con Internet Explorer (32-bit) en Windows.

Los problemas que se corrigen en este boletín podrían permitir la ejecución de código arbitrario aprovechando siete vulnerabilidades de uso de memoria después de liberarla, cuatro desbordamientos de búfer y cinco de corrupción de memoria. Otra vulnerabilidad podría permitir evitar características de seguridad.

Los CVE asignados son: CVE-2016-7867 al CVE-2016-7881, CVE-2016-7890 y CVE-2016-7892.

De igual forma, como viene siendo habitual en los últimos meses, Microsoft también publicó el boletín MS16-154, para reflejar estas actualizaciones de Adobe Flash.

Adobe ha publicado la versión 24.0.0.186 de Flash Player Desktop Runtime, Flash Player para Linux y para navegadores Internet Explorer, Edge y Chrome destinada a solucionar las vulnerabilidades.

Adobe recomienda a los usuarios de Adobe Flash Player Desktop Runtime para Windows, Linux y Macintosh actualizar a través del sistema de actualización del propio producto o desde

• http://www.adobe.com/go/getflash

Adobe Animate

En el boletín APSB16-38 se trata una vulnerabilidad de corrupción de memoria en Adobe Animate (CVE-2016-7866) para Windows o Macintosh.

• Se recomienda actualizar a Adobe Animate 16.0.0.112 disponible desde https://creative.adobe.com/products/download/animate

Adobe Experience Manager

Adobe ha publicado actualizaciones para Adobe Experience Manager para resolver cuatro vulnerabilidades consideradas importantes. Tres cross-site scripting (CVE-2016-7882 al CVE-2016-7884) y un Cross-Site Request Forgery (CVE-2016-7885).

Se han publicado actualizaciones para las versiones 6.0, 6.1 y 6.2:

• Adobe Experience Manager 6.0 https://helpx.adobe.com/experience-manager/kb/aem6-available-hotfixes.html
• Adobe Experience Manager 6.1 https://helpx.adobe.com/experience-manager/kb/aem61-available-hotfixes.html
• Adobe Experience Manager 6.2 https://helpx.adobe.com/experience-manager/kb/aem62-available-hotfixes.html

Adobe Experience Manager Forms

Adobe ha publicado el boletín APSB16-40 en el que informa de las actualizaciones para para Adobe Experience Manager (AEM) Forms en Windows, Linux, Solaris y AIX. AEM Forms es el sucesor de Adobe LiveCycle.

• Afectan a Adobe Experience Manager Forms 6.2, 6.1 y 6.0 y LiveCycle 11.0.1 y 10.0.4.

Las actualizaciones resuelven dos vulnerabilidades importantes de validación de entradas que podrían permitir la construcción de ataques de cross-site scripting (CVE-2016-6933 y CVE-2016-6934).

Se han publicado las siguientes actualizaciones:

Para Adobe Experience Manager Forms 6.2

• https://helpx.adobe.com/content/help/en/aem-forms/quick-fixes/6-2/cumulative-jee-patch-0002.html

Para Adobe Experience Manager Forms 6.1

• https://helpx.adobe.com/content/help/en/aem-forms/quick-fixes/6-1-fp1/cor-1064-012.html
• https://helpx.adobe.com/content/help/en/aem-forms/quick-fixes/6-1-fp1/prm-1065-020.html

Para Adobe Experience Manager Forms 6.0

• https://helpx.adobe.com/content/help/en/aem-forms/quick-fixes/6-0-fp1/cor-1042-015.html
• https://helpx.adobe.com/content/help/en/aem-forms/quick-fixes/6-0-fp1/prm-1043-020.html

Para LiveCycle 11.0.1

• https://helpx.adobe.com/content/help/en/livecycle/quick-fixes/livecycle-es4-sp1/cor-1155-044.html
• https://helpx.adobe.com/content/help/en/livecycle/quick-fixes/livecycle-es4-sp1/prm-1161-017.html

Para LiveCycle 10.0.4

• https://helpx.adobe.com/content/help/en/livecycle/quick-fixes/livecycle-es3-sp2/cor-1064-025.html
• https://helpx.adobe.com/content/help/en/livecycle/quick-fixes/livecycle-es3-sp2/prm-1065-007.html

Adobe DNG Converter

Adobe ha publicado una actualización de seguridad para Adobe DNG Converter para Windows y Macintosh, que resuelve una vulnerabilidad de corrupción de memoria considera crítica (CVE-2016-7856)

Se recomienda actualizar a Adobe DNG Converter 9.8 desde:

• Para Windows: https://www.adobe.com/support/downloads/detail.jsp?ftpID=6108
• Para Macintosh: https://www.adobe.com/support/downloads/detail.jsp?ftpID=6107

InDesign

En el boletín APSB16-43 Adobe publica actualizaciones para resolver una vulnerabilidad (CVE-2016-7886) de corrupción de memoria, considerada crítica, en InDesign para Windows y Macintosh.

• Se recomienda actualizar a la versión 12.0.0 de InDesign e InDesign Server.

ColdFusion Builder

También ha publicado actualizaciones (APSB16-44) para resolver una vulnerabilidad importante en Adobe ColdFusion Builder para Windows, Linux y Macintosh. El problema podría permitir la obtención de información sensible (CVE-2016-7887).

 Se recomienda actualizar a las versiones:

ColdFusion Builder 2016 Update 3

• Información técnica: https://helpx.adobe.com/coldfusion/kb/coldfusion-builder-2016-update-3.html

ColdFusion Builder 3.0 3.0.3 Hotfix

• Información técnica: https://helpx.adobe.com/coldfusion/kb/coldfusion-builder-3-update.html

Adobe Digital Editions

También se han solucionado dos vulnerabilidades en Adobe Digital Editions (ADE) para Windows, Macintosh y Android; un software gratuito que permite la descarga y lectura de eBooks en formato EPUB y PDF en el ordenador, así como transferirlos a lectores de eBooks. (APSB16-45)

Se ha solucionado una vulnerabilidad que podría permitir la fuga de direcciones de memoria (CVE-2016-7888) y otro problema de fuga de información asociado con el tratamiento de entidades XML modificadas (CVE-2016-7889).

Adobe recomienda a los usuarios actualizar los productos afectados a la versión 4.5.3 desde:

Para Windows y Macintosh:

• https://www.adobe.com/solutions/ebook/digital-editions/download.html

Para Android:

• https://play.google.com/store/apps/details?id=com.adobe.digitaleditions

RoboHelp

Por último, el boletín APSB16-46 trata una actualización para solucionar una vulnerabilidad de cross-site scripting en RoboHelp para Windows (CVE-2016-7891).

Se recomienda actualizar a las versiones:

RoboHelp 2015.0.4

• https://www.adobe.com/support/robohelp/downloads.html

RoboHelp 11 (Hotfix)

Nota técnica:

• https://helpx.adobe.com/robohelp/kb/cross-site-scripting-vulnerability.html

Más información:

• APSB16-38: Security update available for Adobe Animate https://helpx.adobe.com/security/products/animate/apsb16-38.html
• APSB16-39: Security updates available for Adobe Flash Player https://helpx.adobe.com/security/products/flash-player/apsb16-39.html
• APSB16-40: Security updates available for Adobe Experience Manager Forms https://helpx.adobe.com/security/products/aem-forms/apsb16-40.html
• APSB16-41: Security update available for the Adobe DNG Converter https://helpx.adobe.com/security/products/dng-converter/apsb16-41.html
• APSB16-42: Security updates available for Adobe Experience Manager https://helpx.adobe.com/security/products/experience-manager/apsb16-42.html
• APSB16-43: Security updates available for InDesign https://helpx.adobe.com/security/products/indesign/apsb16-43.html
• APSB16-44: Security update available for ColdFusion Builder https://helpx.adobe.com/security/products/coldfusion/apsb16-44.html
• APSB16-45: Security update available for Adobe Digital Editions https://helpx.adobe.com/security/products/Digital-Editions/apsb16-45.html
• APSB16-46: Security update available for RoboHelp https://helpx.adobe.com/security/products/robohelp/apsb16-46.html

Fuente: Hispasec

MICROSOFT. Publica 12 boletines de seguridad y soluciona 42 vulnerabilidades

Microsoft ha publicado 12 boletines de seguridad (del MS16-144 al MS16-155) correspondientes a su ciclo habitual de actualizaciones. Según la propia clasificación de Microsoft seis de los boletines presentan un nivel de gravedad "crítico" mientras que los cinco restantes son "importantes". En total se han solucionado 42 vulnerabilidades (algunas de ellas en varios productos). Además se han corregido otras 17 vulnerabilidades adicionales en Flash Player.

Boletines publicados

1. MS16-144: La habitual actualización acumulativa para Microsoft Internet Explorer que además soluciona ocho nuevas vulnerabilidades, tres de ellas se habían publicado con anterioridad. La más grave de ellas podría permitir la ejecución remota de código si un usuario visita, con Internet Explorer, una página web especialmente creada (CVE-2016-7202, CVE-2016-7278, CVE-2016-7279, CVE-2016-7281, CVE-2016-7282, CVE-2016-7283, CVE-2016-7284 y CVE-2016-7287).
2. MS16-145: Boletín "crítico" que incluye la también habitual actualización acumulativa para Microsoft Edge, el navegador incluido en Windows 10. En esta ocasión se solucionan 11 vulnerabilidades, tres de ellas ya se conocían con anterioridad. La más grave de ellas podría permitir la ejecución remota de código si un usuario visita, con Microsoft Edge, una página web especialmente creada (CVE-2016-7181, CVE-2016-7206, CVE-2016-7279, CVE-2016-7280, CVE-2016-7281, CVE-2016-7282, CVE-2016-7286, CVE-2016-7287, CVE-2016-7288, CVE-2016-7296 y CVE-2016-7297).
3. MS16-146: Boletín "crítico" destinado a corregir tres vulnerabilidades en Microsoft Graphics Component, dos de ellas podrían permitir la ejecución remota de código si se abre un documento o web específicamente creada. Una de ellas se está explotando de forma activa en la actualidad. (CVE-2016-7257, CVE-2016-7272 y CVE-2016-7273)
4. MS16-147: Actualización considerada "crítica" destinada a corregir una vulnerabilidad (con CVE-2016-7274) en Windows Uniscribe, debido a la forma en que trata objetos en memoria. El problema podría permitir la ejecución remota de código si un usuario visita un sitio web específicamente creado o abre un documento manipulado.
5. MS16-148: Boletín "crítico" que soluciona 16 vulnerabilidades, la más grave de ellas que podría permitir la ejecución remota de código si se abre un archivo específicamente creado con Microsoft Office (CVE-2016-7257, CVE-2016-7262, CVE-2016-7263, CVE-2016-7264, CVE-2016-7265, CVE-2016-7266, CVE-2016-7267, CVE-2016-7268, CVE-2016-7275, CVE-2016-7276, CVE-2016-7277, CVE-2016-7289, CVE-2016-7290, CVE-2016-7291, CVE-2016-7298 y CVE-2016-7300).
6. MS16-149: Actualización considerada "crítica" destinada a corregir dos vulnerabilidades en diferentes componentes de Windows. La más grave podría permitir la ejecución remota de código arbitrario (CVE-2016-7219 y CVE-2016-7292).
7. MS16-150: Boletín de carácter "importante" destinado a corregir una vulnerabilidad (CVE-2016-7271) que podría permitir la elevación de privilegios cuando Windows Secure Kernel Mode trata objetos en memoria de forma inadecuada
8. MS16-151: Boletín de carácter "importante" destinado a corregir dos vulnerabilidades en el controlador modo kernel de Windows que podrían permitir la elevación de privilegios si un usuario ejecuta una aplicación específicamente creada. (CVE-2016-7259 y CVE-2016-7260). Afecta a Windows Vista, Windows Server 2008, Windows 7, Windows 8.1, Windows Server 2012, Windows 10 y Windows Server 2016.
9. MS16-152: Boletín considerado "importante" que resuelve una vulnerabilidad que podría permitir la obtención de información sensible debido a la forma en que el kernel de Windows trata objetos en memoria (CVE-2016-7258). Afecta a Windows 10 y Windows Server 2016.
10. MS16-153: Destinado a corregir una vulnerabilidad (CVE-2016-7295) de gravedad "importante", que podría permitir la obtención de información sensible cuando el controlador Windows Common Log File System (CLFS) trata objetos en memoria de forma inadecuada. Afecta a Windows Vista, Windows Server 2008, Windows 7, Windows 8.1, Windows Server 2012, Windows 10 y Windows Server 2016.
11. MS16-154: Como ya es habitual, Microsoft publica un boletín para resolver las vulnerabilidades solucionadas por Adobe en Flash Player en su también boletín periódico. Se trata de un boletín "crítico" que en esta ocasión soluciona 17 vulnerabilidades en Adobe Flash Player instalado en Windows Server 2012, Windows Server 2016, Windows 8.1 y Windows 10; correspondientes al boletín APSB16-39 de Adobe (y que comentaremos con más detalle en una próxima una-al-día).
12. MS16-155: Boletín "importante" que soluciona una vulnerabilidad (CVE-2016-7270) en el Data Provider para SQL Server de Microsoft .NET 4.6.2 Framework que podría permitir a un atacante la obtención de información sensible que debería estar defendida por la funcionalidad Always Encrypted.

Las actualizaciones publicadas pueden descargarse a través de Windows Update o consultando los boletines de Microsoft donde se incluyen las direcciones de descarga directa de cada parche. Se recomienda la actualización de los sistemas con la mayor brevedad posible.

Más información:

• Microsoft Security Bulletin Summary for December 2016 https://technet.microsoft.com/en-us/library/security/ms16-dec
• Microsoft Security Bulletin MS16-144 – Critical. Cumulative Security Update for Internet Explorer (3204059). https://technet.microsoft.com/library/security/ms16-144
• Microsoft Security Bulletin MS16-145 – Critical. Cumulative Security Update for Microsoft Edge (3204062) . https://technet.microsoft.com/library/security/ms16-145
• Microsoft Security Bulletin MS16-146 – Critical. Security Update for Microsoft Graphics Component (3204066). https://technet.microsoft.com/library/security/ms16-146
• Microsoft Security Bulletin MS16-147 – Critical. Security Update for Microsoft Uniscribe (3204063). https://technet.microsoft.com/library/security/ms16-147
• Microsoft Security Bulletin MS16-148 – Critical. Security Update for Microsoft Office (3204068) https://technet.microsoft.com/library/security/ms16-148
• Microsoft Security Bulletin MS16-149 – Important. Security Update for Microsoft Windows (3205655). https://technet.microsoft.com/library/security/ms16-149
• Microsoft Security Bulletin MS16-150 – Important. Security Update for Secure Kernel Mode (3205642). https://technet.microsoft.com/library/security/ms16-150
• Microsoft Security Bulletin MS16-151 – Important. Security Update for Windows Kernel-Mode Drivers (3205651). https://technet.microsoft.com/library/security/ms16-151
• Microsoft Security Bulletin MS16-152 – Important. Security Update for Windows Kernel (3199709). https://technet.microsoft.com/library/security/ms16-152
• Microsoft Security Bulletin MS16-153 – Important. Security Update for Common Log File System Driver (3207328). https://technet.microsoft.com/library/security/ms16-153
• Microsoft Security Bulletin MS16-154 – Critical. Security Update for Adobe Flash Player (3209498). https://technet.microsoft.com/library/security/ms16-154
• Microsoft Security Bulletin MS16-155 – Important. Security Update for .NET Framework (3205640). https://technet.microsoft.com/library/security/ms16-155

Fuente: Hispasec

APPLE. Publica nuevas versiones de iOS, watchOS y tvOS

Apple ha publicado una nueva versiones de varios sus sistemas como iOS 10.2, wachOS 3.1.1 y tvOS 10.1 destinadas a solucionar un total de 15 vulnerabilidades, las más graves podrían permitir la ejecución remota de código arbitrario.

iOS 10.2 presenta una actualización del sistema operativo de Apple para sus productos móviles (iPad, iPhone, iPod…) que además de incluir mejoras y solución de problemas, está destinado a solucionar 12 nuevas vulnerabilidades. Los problemas corregidos están relacionados con diferentes componentes, como Accessibility, Accounts, Find My iPhone, Graphics Driver, Image Capture, Local Authentication, Mail, Media Player, Profiles y SpringBoard. Varios de los problemas podrían permitir la ejecución de código arbitrario o acceder al dispositivo evitando la pantalla de bloqueo.

De forma similar, Apple publica WatchOS 3.1.1, destinada a todos los modelos de su reloj inteligente (smartwatch) conocido como Apple Watch, con la que se solucionan dos vulnerabilidades. Los problemas corregidos afectan a los componentes Accounts y Profiles. La primera consiste en que no se reinicia la configuración de autorizaciones tras la desinstalación de aplicaciones y la segunda, con CVE-2016-7626, podría permitir la ejecución de código arbitrario.

Por último, también ha publicado tvOS 10.1, el sistema operativo para Apple TV (de cuarta generación), que soluciona una vulnerabilidad, con CVE-2016-7626, en Profiles que podría permitir la ejecución de código arbitrario.

Más información:

• About the security content of iOS 10.2 https://support.apple.com/en-us/HT207422
• About the security content of watchOS 3.1.1 https://support.apple.com/en-us/HT207426
• About the security content of tvOS 10.1 https://support.apple.com/en-us/HT207425

Fuente: Hispasec

PHISHING BOTNET. Nueva campaña que afecta a diversas entidades bancarias europeas

El Laboratorio Antifraude de Hispasec, ha detectado una nueva campaña de phishings que está afectando a diversas entidades europeas, entre ellas algunas españolas como Banco Santander y que como particularidad está utilizando una botnet de servidores JBoss comprometidos.

El término botnet casi siempre está unido a familias de malware como pudieran ser Zeus, Spyeye o la última detectada para Android, Gooligan. Sin embargo existen múltiples tipos de botnets para diferentes causas: SPAM, denegaciones de servicio (como Mirai), o despliegue de campañas phishings, como el que nos atañe.

Durante el proceso de detección y cierre que hemos llevado a cabo, hemos podido comprobar que las entidades afectadas eran Deutsche Bank (Alemania), BancaMarche y Posteitaliane (Italia) y al Banco Santander en España en otros.

La campaña de phishing detectada es bastante sencilla en su diseño: un html que carga un fondo previamente capturado del portal principal de la entidad y un formulario que captura los datos y los envía al atacante:

Pero donde gana en complejidad es en su despliegue, con el uso de diferentes tipos de redirección, mediante acortadores de URLs para la campaña de mail masivo y dominios de redirección y con el uso de sitios web comprometidos. Todo ello en búsqueda de frenar los cierres y dar tiempo a montar nuevos sitios comprometidos según van cayendo. También llegan a utilizar técnicas de GeoIP para impedir la visita a aquellos usuarios que no sean objetivo de la campaña, de esta forma sólo muestran el phishing adecuado a cada país.

Una vez comprobados todos estos filtros se expone al visitante el phishing final, que durante nuestros análisis hemos podido comprobar que se encuentran albergados en servidores JBoss vulnerables previamente comprometidos. Es aquí donde hemos podido detectar como novedad en este tipo de casos de phishing, de la presencia de una botnet mediante IRC que controlaba el despliegue de las campañas finales, según se realizaban los mailings masivos a los usuarios.

Ejemplo de la última campaña desactivada es la IP 34.192.25.188, de la que se pueden comprobar los dominios fraudulentos asociados que redireccionaban a la misma: https://virustotal.com/es/ip-address/34.192.25.188/information/

Por el momento la botnet se encuentra activa y está compuesta por más de 30 servidores comprometidos. Por lo que no dudamos, y según las fechas en las que nos encontramos, se activen nuevas campañas.

Hemos recogido en una entrada denuestro blog del Laboratorio todo el análisis técnico e investigación realizada para el que quiera profundizar en ello.

Por nuestra parte recomendamos como siempre no abrir correos de los que no sepamos su procedencia y aplicar todas las medidas oportunas y sentido común.

Más información:

• una-al-dia (02/12/2016) Malware para Android compromete más de un millón de cuentas de Google http://unaaldia.hispasec.com/2016/12/malware-para-android-compromete-mas-de.html
• Blog Laboratorio Hispasec: Análisis de una Botnet usada para Phishing http://laboratorio.blogs.hispasec.com/2016/12/analisis-de-una-botnet-usada-para.html

Fuente: Hispasec

OBAMA. Ordena revisión de ciberataques en elección de 2016

El presidente de Estados Unidos, Barack Obama, ordenó a las agencias de inteligencia que revisen los ciberataques y la intervención extranjera en las elecciones de 2016 y que entreguen un informe antes de que deje el cargo el 20 de enero, informó el viernes la asesora de Seguridad Nacional, Lisa Monaco.

"El presidente ordenó a la comunidad de inteligencia que realice una revisión completa de lo que ocurrió durante el proceso electoral de 2016 (...) y que redacte las lecciones aprendidas y las transmita a una serie de interesados, incluido el Congreso", dijo Monaco durante un acto organizado por el diario Christian Science Monitor.

Monaco aseguró que los ciberataques no son una novedad, pero que podrían haber cruzado un "nuevo umbral" este año.

Según contó, cuando era un alto cargo del FBI en 2008, la agencia alertó a las campañas presidenciales del demócrata Obama y de su rival, el republicano John McCain, de que China se había infiltrado en sus respectivos sistemas.

"En 2008 y en esta última elección vimos una ciberactividad maliciosa en el sistema", afirmó.

En octubre, el Gobierno acusó formalmente a Rusia de una campaña de ciberataques contra organizaciones del Partido Demócrata antes de las presidenciales del 8 de noviembre. Obama dijo que advirtió a su par ruso, Vladimir Putin, sobre las consecuencias de estas intromisiones.

Al ser preguntada sobre si el equipo de transición del presidente electo, Donald Trump, no está lo suficientemente preocupado por la influencia de Rusia en la elección u otras amenazas a Estados Unidos como los brotes de enfermedades infecciosas, Monaco aseguró que aún es muy pronto para decirlo.

Como candidato presidencial, Trump alabó a Putin y pidió a Rusia que hiciera públicos correos electrónicos perdidos de su rival, la demócrata Hillary Clinton, cuando era secretaria de Estado de Obama.

Fuente: Reuters

La CIA cree que Rusia ayudó a Trump a ganar las elecciones

La CIA ha llegado a la conclusión de que Rusia intentó ayudar a Donald Trump a ganar las elecciones presidenciales de noviembre, dado que lanzó ciberataques contra las sedes de los dos principales partidos pero sólo sacó a la luz la información sobre los demócratas, y no la de los republicanos.

Las conclusiones de las agencias de inteligencia de EEUU, publicadas hoy por varios diarios, generaron reacciones encontradas en Washington: el equipo de transición de Trump las puso en duda, mientras que algunos senadores se indignaron y el partido republicano negó que sus sistemas hubieran sido atacados.

La CIA ha identificado a personas relacionadas con el Gobierno ruso que proporcionaron a la organización WikiLeaks miles de correos electrónicos pirateados del Comité Nacional Demócrata (DNC) y del equipo de campaña de la candidata de ese partido a la Presidencia de EEUU, Hillary Clinton, según informa el rotativo.

En octubre, el Gobierno de Barack Obama acusó oficialmente a Rusia de estar detrás de los ataques contra el partido demócrata, pero hasta ahora no había aclarado si consideraba que el objetivo expreso de Moscú era ayudar a Trump o simplemente quería generar desconfianza en el proceso electoral estadounidense.

Ni la CIA ni la Casa Blanca han hecho comentarios sobre la información del Post, y Trump tampoco se ha pronunciado, aunque su equipo puso en duda las conclusiones de los agentes de inteligencia.

El presidente electo ha asegurado en varias ocasiones que no cree que Rusia "interfiriera" en el proceso electoral, y esta semana argumentó en una entrevista con la revista Time que los ciberataques contra el partido demócrata "podrían provenir de Rusia, pero también de China, o de un tipo en su casa en Nueva Jersey (EEUU)".

Además, el diario The New York Times dio hoy una vuelta de tuerca a la información publicada por el Post, al asegurar que la conclusión de las agencias de inteligencia se basa en parte en el descubrimiento de que los rusos no sólo atacaron los sistemas informáticos del partido demócrata, sino también del republicano.

El rotativo asegura, citando a funcionarios estadounidenses, que Rusia lanzó ataques la pasada primavera contra los sistemas informáticos del Comité Nacional Republicano (RNC) además de contra los del demócrata, algo que hasta ahora no se sabía.

La duda está en por qué los datos del partido republicano no salieron a la luz, como sí ocurrió con los del demócrata.

Una investigación del FBI concluyó que los intentos rusos de penetrar en los sistemas del partido que lidera Trump no fueron exitosos, pero no todas las agencias de inteligencia estadounidenses comparten esa conclusión, por lo que existe la posibilidad de que Rusia sí consiguiera documentos pero decidiera no publicarlos.

El director de comunicaciones del RNC, Sean Spicer, negó hoy rotundamente que los documentos de su partido fueran pirateados y aseguró que había ofrecido al diario neoyorquino "pruebas concluyentes" de que eso no ocurrió y el rotativo las ignoró.

Las conclusiones de las agencias de inteligencia estarán incluidas en un informe que Obama ha pedido que se le entregue antes de abandonar el poder el próximo 20 de enero, para tener una idea más clara de las dimensiones de los ataques rusos para influir en las elecciones y aconsejar apropiadamente a Trump.

Varios líderes republicanos del Senado, entre ellos Lindsey Graham y John McCain, ya habían pedido antes de conocerse esta información que se iniciara una investigación sobre la supuesta intromisión rusa en las elecciones estadounidenses.

El que a partir de enero será el líder demócrata en el Senado, Chuck Schumer, se sumó hoy a esa corriente al asegurar que reclamará "una investigación en el Congreso para llegar al fondo de esto".

Fuente: EFE

RUSIA. Banco central pierde 31 millones de dólares en ciberataque

Un grupo de hackers robó más de 2.000 millones de rublos (31 millones de dólares) de cuentas en el banco central ruso, informó el viernes la entidad, en un nuevo ejemplo de la escalada de ciberataques contra instituciones financieras en todo el mundo.

El funcionario del banco central Artyom Sychyov habló sobre las pérdidas en una reunión de prensa, y dijo que los piratas informáticos habían intentado robar alrededor de 5.000 millones de rublos.

Más temprano, el banco central había publicado un reporte acerca del ingreso de hackers en sus cuentas falsificando las credenciales de seguridad de un cliente. El banco dio pocos detalles más del incidente en su reporte.

En el último tiempo, reguladores financieros de todo el mundo han exhortado a los bancos a reforzar la seguridad informática ante una ola de golpes contra instituciones financieras en todo el mundo.

Los temores a ciberataques han recrudecido desde que en febrero un grupo de hackers robó 81 millones de dólares en fondos que el banco central de Bangladés tenía depositados en el banco de la Reserva Federal en Nueva York.

Fuente: Reuters