¿ LAS NUEVAS COOKIES SON DE CONFIANZA?

ENISA, la agencia de seguridad europea, ha lanzado una advertencia sobre un nuevo tipo de cookie llamada ‘Bittersweet’, que podría convertirse en una seria amenaza si no se le hace frente rápidamente.

• El informe, titulado “ENISA Privacy, Accountability and Trust”, afirma que el mercado de publicidad ha creado un nuevo tipo de cookie, particularmente potente y de gran alcance y que a menudo se utilizan sin el conocimiento del usuario.
• El informe sugiere que tanto el servidor de origen como el usuario deberían agregar algún tipo de mecanismo de consentimiento antes de aceptar una cookie, que además deberían poder ser eliminadas.

Recomendaciones :

ENISA ha pedido que los usuarios de Internet deberían dar su consentimiento para el uso de este nuevo tipo de cookie, y que deberían ser capaces de ver qué tipo de dato está almacenando.

Fuente: Itespresso

INTEL POTENCIA LA SEGURIDAD Y LA ADMINISTRACIÓN CON EL CHIP “vPro 2.0”

El chip vPro implementará una nueva versión de herramientas que mejorará y simplificará las tareas de seguridad y administración de equipos.

Intel anunció las novedades que incluirán las herramientas del chip vPro 2.0, disponibles en la próxima generación de procesadores ‘Sandy Bridge’ a finales del primer trimestre de 2011.

Características principales de las herramientas del chip vPro 2.0 :

• Posibilidad de bloquear ordenadores robados o perdidos directamente a través de un simple mensaje SMS vía 3G.

Esta nueva funcionalidad es llamada "Anti-Theft 3.0", y ahora permite bloquear un PC vía 3G, cuando hasta ahora era una función disponible mediante conexión WiFi y Ethernet.

Para ello existirá un controlador 3G integrado en el portátil que permitirá enviar un mensaje de texto para comenzar la localización del equipo y bloquearlo en el momento en que se ponga en funcionamiento. Mediante el envío de otro SMS se podrá desbloquear ya que los datos almacenados en él se mantendrán intactos.

• Mejoras en las capacidades de virtualización de vPro 2.0, que incluyen un control más exhaustivo y eficaz cuando se llevan a cabo estas tareas en los equipos. Permitiendo el cambio de un sistema virtualizado a uno físico, tarea que se realiza rápidamente, según el fabricante.

Intel vPro 2.0 utiliza el hipervisor XenClient, de Citrix Systems, aunque también es compatible con los productos de VMware y Microsoft.

Resumen final:

• La tecnología vPro ofrece a los usuarios diversas herramientas integradas directamente a nivel de procesador, por lo que no es necesario instalar ningún software adicional sino que estarán disponibles en aquellos equipos que comercializados con las últimas generaciones de microprocesadores.
• A estas nuevas funcionalidades del vPro se le unirán en un futuro capacidades de seguridad provenientes de la adquisición de McAfee.

Fuente: Eweek Europe

NUEVO TROYANO PARA ANDROID

El troyano llamado HongTouTou ó ADRD, descubierto por expertos de Lookout Mobile Security, se extiende por medio de tiendas de aplicaciones de terceros y foros de China, ocultándose en las apps.

Detalles técnicos:

1. Cuando se ejecuta una aplicación que contiene HongTouTou, envía datos cifrados que contienen el IMEI y el IMSI del dispositivo a un host remoto.
   
2. Después, HongTouTou recibe una serie de URL y palabras clave , comienzando una búsqueda a través de Google, sin que el usuario se percate de ello.
   
3. Además el troyano pide una serie de permisos adicionales, y también es capaz de descargar archivos APK destinados a monitorear las conversaciones vía SMS del usuario e inserta palabras clave específicas (spam) en los mensajes de texto.

Recomendaciones:

• Los expertos en seguridad aseguran que ya han constatado la presencia de HongTouTou en 14 aplicaciones diferentes y en varios fondos de escritorio.
• Por el momento el troyano sólo afecta a usuarios chinos que descargan apps en foros y tiendas no autorizadas.

Fuente: The Inquirer

NUEVA VULNERABILIDAD EN “Cisco Security Agent”

Descubierta una vulnerabilidad en versiones de Cisco Security Agent que podrían explotar ciberdelincuentes con objeto de ejecución de código arbitrario.

Las versiones afectadas son Cisco Security Agent 5.1, 5.2, y 6.0.

Detalles técnicos:

• Cisco anunció que el origen del problema está en el Centro de administración (Management Center) de Cisco Security Agent y podría permitir modificar las reglas de seguridad, la configuración del sistema o realizar cualquier otra tarea administrativa.
• Para utilizar la vulnerabilidad el atacante deberá enviar paquetes específicamente modificados al interfaz de administración web (que por defecto se encuentra en el puerto 443).

Recomendaciones:

Para corregir la vulnerabilidad actualizar a la versión Cisco Security Agent versión 6.0.2.145 y posteriores, que pueden descargarse desde:

http://tools.cisco.com/support/downloads/go/Redirect.x?mdfid=278065206

Fuente: Hispasec

MÚLTIPLES VULNERABILIDADES DE “Oracle Java SE” y “Java for Business”

Anunciadas 21 vulnerabilidades diferentes en Oracle Java SE y Java for Business en las versiones 1.4.2_29, 5.0 Update 27, 6 Update 23; y anteriores que podrían permitir a ciberdelincuentes comprometer los sistemas afectados.

Detalles técnicos:

Los fallos encontrados tienen diversos efectos, de forma que un atacante remoto podría provocar denegaciones de servicio, obtener información sensible, modificar la información de usuario o ejecutar código arbitrario.

Se ven afectados los componentes:

• Deployment, Networking, Launcher, Install, Sound, Swing, JDBC, HotSpot, JAXP, 2D, XML Digital Signature, Java Language y el componente Security de JavaDB.

Recomendaciones :

A fin de corregir los problemas descritos, Oracle ha publicado las actualizaciones necesarias, disponibles en la dirección:

http://www.oracle.com/technetwork/topics/security/javacpufeb2011-304611.html

Fuente: Hispasec

GRAVE VULNERABILIDAD ZERO-DAY PARA ENTORNOS CON DIRECTORIO ACTIVO

Publicado un exploit que permite ejecutar código en servidores Windows (XP y Server 2003) desde un equipo en la misma red interna. No existe parche disponible.

Los expertos advierten que el fallo en SMB (Server Message Block) que afecta a Windows XP y Server 2003 podría utilizarse para secuestrar la máquina.

Detalles técnicos:

• El fallo se debe a un error al comprobar el tamaño de un búfer asignado a la cadena "Server Name" que podría provocar un desbordamiento de memoria intermedia basada en heap en el fichero mrxsmb.sys.
  
• Para llevar a cabo el ataque, se debe enviar un paquete de petición Browser Election al servidor SMB (de compartición de ficheros e impresoras) vulnerable.
• El exploit lo envía concretamente al puerto 138 sin necesidad de autenticación en un entorno de directorio activo.

Efectos y soluciones a la vulnerabilidad:

• Por ahora el exploit permite provocar una denegación de servicio, pero parece ser posible modificarlo para conseguir ejecución de código y secuestrar la máquina.
• Microsoft no ha publicado "advisory" oficial y por supuesto, no existe parche oficial disponible.

Fuente: Hispasec

“iBooks” DETECTA DISPOSITIVOS CON “jailbreak” PARA “iOS 4.2.1”

Quienes hayan ejecutado el “jailbreak” Greenpois0n para iOS 4.2.1, tendrán problemas para el acceso a contenidos comprados por medio de la aplicación iBooks.

• Los usuarios reciben un mensaje en pantalla que les informa de un problema en la configuración de su iPhone y les invita a reinstalar iBooks.
• Apple recuerda que los acuerdos comerciales, que tiene con las empresas que les suministran el contenido para iBooks, les obligan a bloquear el acceso a la aplicación en dispositivos que hayan ejecutado programas como Greenp0ison.
• Desde Grenpois0n anunciaron que han lanzado un parche para arreglar el problema.

Fuente: Cnet

ANONYMOUS CREA UNA WEB CON MILES DE CORREOS DE LA EMPRESA “HBGary”

Anonymous ha creado un sitio web en el que se ha colgado 70.802 correos de HBGary en respuesta a declaraciones y acusaciones vertidas por la compañía de seguridad informática HBGary sobre las actividades de Anonymous y WikiLeaks.

Detalles del portal:

1. Se trata de un portal en el que los usuarios pueden descargarse más de 27.000 direcciones de correo extraídas de HBGary.
2. Los responsables de la página han organizado paquetes de datos que se pueden descargar por torrent.
3. Entre los datos que se ponen a disposición de los usuarios están correos extraídos directamente del director de HBGary, Greg Hoglund.

Desecripción de la empresa HBGary:

• HBGary es una compañía de seguridad de alto nivel, que mantiene algunos acuerdos con el Gobierno Federal de Estados Unidos.
• Con la publicación de estos datos personales los miembros de Anonymous podrían tener problemas serios.
• La comunicación pública de este tipo de datos está penada, por la compañía podría emprender acciones legales contra la página y tratar de identificar a alguno de los responsables.

Dirección del nuevo portal:

Los usuarios que quieran pueden consultar el portal en http://hbgary.anonleaks.ru/.

Fuente: Europapress

PRESENTADO EL INFORME SOBRE “Malware en Smartphones"

El Consejo Nacional Consultivo de Cyberseguridad (CNCCS) presenta el primer Informe sobre Malware en Smartphones.

El CNCCS en este informe propone una serie de buenas prácticas para ayudarnos a proteger nuestros dispositivos móviles:

1. Habilitar medidas de acceso al dispositivo como el PIN o contraseña si está disponible.
2. Configurar el smartphone para su bloqueo automático pasados unos minutos de inactividad.
3. Antes de instalar una nueva aplicación revisar su reputación. Sólo instalar aplicaciones que provengan de fuentes de confianza.
4. Prestar atención a los permisos solicitados por las aplicaciones y servicios a instalar.
5. Mantener el software actualizado, tanto el Sistema Operativo como las aplicaciones.
6. Deshabilitar características mientras no se usen: Bluetooth, infrarrojos o Wi-fi.
7. Configurar el Bluetooth como oculto y con necesidad de contraseña.
8. Realizar copias de seguridad periódicas.
9. Cifrar la información sensible cuando sea posible.
10. Utilizar software de cifrado para llamadas y SMS.
11. Siempre que sea posible no almacenar información sensible en el smartphone, asegurándose que no se cachea en local.
12. Al deshacerse del smartphone borrar toda la información contenida en el smartphone.
13. En caso de robo o pérdida del smartphone informar al proveedor de servicios aportando el IMEI del dispositivo para proceder a su bloqueo.
14. En determinados casos pueden utilizarse opciones de borrado remoto o automático (después de varios intentos de acceso fallidos).
15. Monitorizar el uso de recursos en el smartphone para detectar anomalías.
16. Revisar facturas para detectar posibles usos fraudulentos.
17. Mantener una actitud de concienciación en el correcto uso de estos dispositivos y los riesgos asociados.
18. Extremar la precaución al abrir un correo, un adjunto de un SMS o hacer click en un enlace. Cabe destacar que esta fue una de las vías de entrada del Zeus-Mitmo.
19. Desconfiar de los archivos, enlaces o números que vengan en correos o SMS no solicitados.
20. Evitar el uso de redes Wi-fi que no ofrezcan confianza.
21. Tener en cuenta este tipo de dispositivos en su política de seguridad corporativa.

Fuente: Hispasec

PROYECTO DE TELEFÓNICA PARA LLEVAR EL DNI ELECTRÓNICO A LOS MÓVILES ESPAÑOLES

Telefónica quiere llevar los datos personales del DNI electrónico de sus usuarios a las tarjetas SIM gracias a un nuevo proyecto para agilizar los trámites en la red y permitir una forma de identificación más rápida.

El proyecto se ha presentado en el Mobile World Congress en el que Telefónica se ha asociado con la firma Secuware, con el objetivo de garantizar la seguridad de los datos del usuario.

Según Tefónica la tarjeta SIM al llevar por defecto un procesador criptográfico, un sistema de archivos, y un protocolo para el intercambio de datos, les permitirá llevar un espacio seguro de bolsillo, que podrían utilizar para:

Aplicaciones del Sistema:

• El proyecto consiste en almacenar en las tarjetas SIM los datos personales del DNI electrónico para poder utilizarlos en sitios web que exigen autentificación como bancos.
• También podrían servir para aumentar la rapidez en el acceso a centros que requieran identificación como edificios oficiales, aeropuertos, etc.

Detalles técnicos:

1. El proceso se incia cuando el usuario realiza la petición a través de un PC equipado con lector de DNI electrónico, tras lo cual recibirá un SMS de confirmación.
2. Después se activará un canal de comunicación cifrado entre el PC y los servidores de Secuware y se verificará que el DNI solicitado se encuentre vigente y que no ha sido denunciado por pérdida o robo.
3. Tras las comprobaciones, los datos pasarán a formar parte de los ficheros seguros de la tarjeta SIM y sólo estarán accesibles a las aplicaciones firmadas con el certificado de Telefónica.

Fuente: The Inquirer

RESUMEN DE VENTAJAS E INSEGURIDADES DE “FACEBOOK “

Los 600 millones de usuarios que tiene Facebook, lo convierten en el portal de referencia en Internet pero la seguridad del sistema sea convertido en su talón de Aquiles, por lo que la compañía decidió aumentar la protección del portal, pero sin prisas.

Problemas asociados a Facebook:

La privacidad.- Los usuarios necesitan confiar en el sitio donde 600 millones de personas se reunen virtualemente, depositan sus datos y fotografías, necesitando para ello mecanismos y una infraestructura adecuados que garantice su intimidad, que Facebook aporta poco a poco.

Resumen de las mejoras en inseguridades aportadas por Facebook:

• Marzo de 2008 (introdujo la categoría "amigos de amigos")
• Diciembre de 2009 (facilitó los controles para proteger la seguridad de las cuentas), etc...
• El 26 de enero de 2011, Alex Rice, responsable de seguridad de Facebook anunciaba dos mejoras importantes con respecto a la seguridad:

• Conexión segura (SSL), no solo a la hora de introducir la clave, sino durante toda la sesión.
• Autenticación Social, eliminando el tradicional CAPTCHA y utilizar el reconocimiento de caras de amigos para demostrar que eres un ser humano.

Fuente: Hispasec

PUBLICADA LISTA DE COMPONENTES DE "PC's" COMPATIBLES CON “Linux/Ubuntu”

Canonical ha puesto a disposición de usuarios y fabricantes la base de datos que recoge todos los componentes de PC que están certificados para Linux y más concretamente para su distribución Ubuntu.

Los responsables de Canonical aseguran que este catálogo ofrece a los Original Design Manufacturers (ODM) una selección de más de 1300 componentes certificados de 161 fabricantes, por lo que es la mayor lista de componentes compatibles con Linux disponible.

Presentación del listado:

• La idea es que esta base de datos se convierta en una herramienta útil para los fabricantes, desarrolladores y también para los usuarios, que podrán consultar en cualquier momento y de forma rápida las compatibilidades de los componentes.
• Está ordenado por fabricantes y categorías, y una vez que se elige un componente, la página muestra para qué versiones está certificado.
• Pueden acceder al listado desde el sitio :

http://www.ubuntu.com/certification/catalog

Objetivos del listado:

“No ha habido un catálogo completo y actualizado disponible libremente durante mucho tiempo”, apunta Victor Palau, administrador de servicios de Canonical.

El objetivo es “acelerar la selección de componentes para máquinas Ubuntu, y permitir que tanto nosotros como nuestros fabricantes asociados nos podamos centrar en aportar valor añadido de la experiencia del usuario”, según explica Palau.

Fuente: The Inquirer

CADA 15 SEGUNDOS SE “LIBERA” NUEVO MALWARE CONTRA “Windows”

El “Informe de Malware 2010” de G Data, compañía líder en el desarrollo de software de seguridad y protección antivirus, ha contabilizado más de 2 millones de nuevas amenazas.

El “Informe de Malware 2010” de G Data, destaca :

• Cada 15 segundos, los cibercriminales “liberaron” una nueva pieza de malware específicamente diseñada contra el sistema operativo Windows,
• Con casi 2,1 millones de nuevos virus, el año 2010 marcó un nuevo hito en cuanto a producción de malware, con una tasa de crecimiento del 32% respecto a 2009.
• La plataforma Java se convirtió durante el pasado año en la nueva diana de la industria del malware con un incremento notable de los virus creados para explotar sus brechas de seguridad.

Respecto a 2011, el informe detalla que:

• El hacktivismo y los ataques contra Java y las redes sociales crecerán en 2011.

El ‘hacktivismo’ reemplaza las protestas callejeras.

También crecerán durante este año los ataques a empresas por parte de ciberactivistas que se amparan en motivos políticos o ideológicos.

• Redes sociales en el centro de la diana.-Los criminales centrarán su atención en las redes sociales, que les permiten segmentar sus ataques y la distribución masiva de malware.

Fuente: Gdata

DESCUBIERTO NUEVO SEMICONDUCTOR QUE CONSUME 100.000 VECES MENOS QUE EL SILICIO

Investigadores suizos mostraron un nuevo sustrato basado en el mineral Molibdenita capaz de permitir el flujo de electrones a través de una lámina, sustituyendo al actual silicio como semiconductor.

Descripción del semiconductor:

El disulfuro de molibdeno (MoS2), comúnmente denominado Molibdenita, es un mineral parecido al grafito en apariencia y tacto y suele ser utilizado como lubricante en aplicaciones industriales.

Ventajas del nuevo semiconductor:

• Según estos investigadores, es capaz de permitir el flujo de electrones consumiendo 100.000 veces menos energía que los actuales diseños de silicio.
• Además, este material ofrece otra ventaja adicional ya que es capaz de retener la energía, mientras que en otros circuitos parte de la corriente consumida se “escapa” de ellos inevitablemente.
• Dada la conductividad de la Molibdenita se puede llevar a cabo en unas láminas con un grosor tres veces menor que las de silicio.

Aplicaciones del nuevo semiconductor:

Los Investigadores suizos de la Escuela Politécnica Federal de Lausanne (EPFL) le han dado un nuevo uso gracias a un interesante desarrollo, ya que lo están implementando para reemplazar a los sustratos basados en silicio dentro de componentes electrónicos, como es el caso de transistores, microprocesadores, LEDs o paneles solares.

Fuente: Eweek Europe

"INTERNET EXPLORER 9" MÁS RÁPIDO QUE "FIREFOX Y CHROME" SEGÚN "MICROSOFT"

Microsoft informó que Internet Explorer 9 será un 35 por ciento más rápido que la versión beta actual y también informó que las posibilidades de privacidad de Internet Explorer 9 hará que su sistema esté un paso por delante respecto a sus competidores.

Mejoras en las opciones de privacidad en Internet Explorer 9

• Según Microsoft, el nuevo navegador permitirá a los usuarios navegar sin registrar datos de sus actividades.
• Se trata de unas funcionalidades que parece que utilizan ya otros sistemas.
• En esta línea parece que Microsoft ha atendido a los comentarios de los usuarios y ha implementado una navegación sin controles para su nuevo producto.

Internet Explorer ha perdido en el último año parte de su hegemonía como líder entre los navegadores y según la BBC esta pérdida se puede cuantificar en más de seis puntos porcentuales.

Fuente: Microsoft

CIBERDELICUENTES CHINOS ROBARON DATOS DE MULTINACIONALES ENERGÉTICAS DURANTE 2 AÑOS

Ciberdelincuentes chinos asaltan los sistemas informáticos internos de cinco multinacionales de gas y petróleo durante 2 años.

Aprovechando la debilidad de la seguridad de los sistemas informáticos de las compañías, accedieron a información estratégica,según reveló la compañía de seguridad informática McAfee en un informe, en el que no detalla de qué empresas se trata.

Los ataques conocidos como Dragón Nocturno podrían haber afectado a unas siete empresas más.

• Los hechos "hablan del estado bastante pobre de nuestra crucial infraestructura de seguridad", ha dicho el vicepresidente de McAfee para la investigación de amenazas, Dimitri Alperovitch.

• Éste precisa que los piratas no fueron demasiado sofisticados, pese a lo cual tuvieron mucho éxito al alcanzar sus objetivos.

• Se adentraron en los sistemas en uno o dos días, bien a través de sus páginas en Internet o mediante correos electrónicos infectados con virus que enviaron a los ejecutivos.

• Se centraron en documentos financieros relacionados con la exploración de yacimientos y con los contratos de licitación. También hicieron copias de los procesos de propiedad industrial.

"Esa información es tremendamente sensible y estaría valorada en una enorme cantidad de dinero para los competidores", añade Alperovitch, quien subraya que por el momento ninguna prueba apunta a la implicación del Gobierno chino.

• Un servidor de Internet con sede en la provincia china de Shandong fue desde donde se enviaron los archivos infectados, y para ello se utilizaron direcciones de Internet de Pekín.
  

• McAfee no ha podido establecer quién está detrás de las intromisiones y ya ha comunicado los datos pertinentes al FBI, informa EP.

Fuente: www.elpais.com

LIBERAN DEBIAN 6.0 “SQUEEZE” CON NÚCLEO LIBRE

Después de dos años de desarrollo, los responsables de linux Debian han liberado la versión 6.0 bautizada como “Squeeze” con kernel totalmente libre y ya está disponible para su descarga.

Esta última versión del SO, con nombre en clave de “Squeeze”, cuenta con una versión preliminar de dos nuevas adaptaciones al núcleo del proyecto FreeBSD utilizando el entorno de usuario Debian GNU:

• Debian GNU/kFreeBSD para arquitecturas de PCs de 32 bits y de 64 bits.

• Estas adaptaciones han sido incluidas en una versión de Debian sin estar basadas en el núcleo de Linux, según apuntan los responsables del proyecto.

• Otra de las novedades es que el núcleo de Linux completamente libre, de manera que ya no contiene archivos problemáticos de firmware que se han dividido en paquetes separados y se han movido fuera del archivo principal.

• Debian 6.0 incluye los entornos de escritorio KDE, GNOME, Xfce y LXDE, y soporte para un total de nueve arquitecturas.

• La nueva versión cuenta con un sistema de arranque basado en dependencias, por lo que el inicio del sistema es más rápido y robusto, y se han mejorado las opciones del proceso de instalación.

• Se puede decargar la nueva versión desde el sitio http://www.debian.org/

Fuente: Eweek Europe.

NUEVO SISTEMA DE AUTENTIFICACIÓN PARA “Google “

Google anunció la introducción de un nuevo sistema de autotificación para todas sus cuentas, que a partir de ahora requerirá de dos pasos y la inserción de un código.

El sistema de autentificación en dos pasos consiste en :

1. Introducir el nombre de usuario y contraseña,
   
2. Escribir también un código que será enviado al usuario en un SMS, aunque también puede ser generado al gusto de cada uno con una aplicación disponible para Android, iPhone o BlackBerry.

• No será necesario introducir el código cada vez que se quiera entrar en el servicio, sino que se puede elegir la opción de recordar para que el sistema sólo pida la clave cada 30 días, aunque si se inicia sesión desde un equipo distinto siempre se requerirá.

• El objetivo de esta medida es aumentar la seguridad de las cuentas de Google, de manera que, aunque alguien consiga hacerse con la contraseña de un usuario no pueda entrar en sus cuentas.

Fuente: The Inquirer

LANZAMIENTO INMINENTE DE “Windows 7 SP1”

Microsoft anunció que alcanzó la etapa ‘release to manufacturing’, ó RTM, de Windows 7 SP1 (Service Pack 1) y Windows Server 2008 R2 SP1, y que iniciará la entrega de la actualización a partir del 22 de febrero a través de Windows Update.

• Los usuarios que estén suscritos a Microsoft Software Developer Network (MSDN) podrán empezar a descargar Windows 7 SP1 el próximo miércoles, lo mismo que las compañías con grandes acuerdos de licencias, el resto deberá esperarar hasta la fecha antes reseñada.
• Microsoft ha dicho que Windows 7 SP1 no incluiría características nuevas al sistema operativo, sino que reuniría parches de seguridad y otros más genéricos que ya se han ido lanzando a través Windows Update.
• La única novedad en Windows 7 SP1 es una actualización a Remote Desktop diseñada para poder trabajar con RemoteFX, una nueva tecnología que debuta en Windows Server 2008 R2 SP1.
  
• Remote FX está diseñada para mejorar el rendimiento gráfico de las máquinas virtuales de Windows 7 alojadas en sistemas Server 2008 R2 SP1.
  
• Windows 7 SP1 también soporta Dynamic Memory, una característica de Server 2008 R2 SP1 que permite al personal de TI ajustar la memoria de las máquinas virtuales invitadas sobre la marcha.

Fuente: Itesspreso.

LANZADA UNA GRAN ACTUALIZACION DE SEGURIDAD PARA “ADOBE “

Adobe Reader X, versión del software que incluye tecnología anti-exploit ‘sandbox’ , recibe su primera actualización de seguridad que soluciona 42 fallos en Reader y Flash.

Adobe acaba de parchear 29 vulnerabilidades en Reader, su aplicación para poder leer documentos en formato PDF, y otras 13 en Flash, como parte de su actualización de seguridad trimestral:

• Casi todos los fallos de Reader se han calificado como ‘críticos’, lo que significa que pueden ser explotados por los atacantes para llenar de malware un sistema no parcheado.
• De las 29 vulnerabilidades, dos podrían generar ataques cross-site scripting (XSS); además, los ciberdelincuentes podrían explotar una de las vulnerabilidades, que sólo afecta a la versión para Windows, para obtener privilegios sobre la máquina.
• La actualización afecta a las versiones 8.2.6, 9.4.2 y 10.0.1 de Reader pata Windows y Mac OS X.
• Desde Adobe confirman que ninguno de los 26 fallos de Reader X no afectan a "sandbox" y que no se pueden utilizar para superar su protección.
• Los usuarios de Linux tendrán que esperar hasta el 28 de febrero.

Adobe también ha actualizado Flash para solventar un total de 13 vulnerabilidades, todas consideradas como ‘críticas’ porque podrían ser explotadas para ejecutar ataques:

• De las 13, ocho están relacionados con fallos de corrupción de memoria.
• La actualización de seguridad ha llevado a Flash a su versión 10.2.152.26.

Fuente: Itesspreso.