ASTERISK. Actualización de seguridad

Asterisk ha publicado una actualización de seguridad para solucionar una vulnerabilidad que podría permitir a un atacante remoto sin autenticar acceder a los sistemas afectados.

Asterisk es una implementación de una central telefónica (PBX) de código abierto. Como cualquier PBX, se pueden conectar un número determinado de teléfonos para hacer llamadas entre sí e incluso conectarlos a un proveedor de VoIP para realizar comunicaciones con el exterior. Asterisk es ampliamente usado e incluye un gran número de interesantes características: buzón de voz, conferencias, IVR, distribución automática de llamadas, etc. Además el software creado por Digium está disponible para plataformas Linux, BSD, MacOS X, Solaris y Microsoft Windows.

Detalle de la vulnerabilidad corregida

• El problema, descrito en el boletín AST-2016-009, reside en que el controlador de canal chan_sip define el espacio en blanco de forma diferente que un proxy SIP. Por ello, si Asterisk se configura detrás de un proxy SIP un usuario remoto podrá facilitar valores de cabeceras SIP específicamente construidos para evitar la autenticación y conseguir acceder al sistema Asterisk. Por ejemplo, encabezados como "Contact\x01:" será tratado como una cabecera Contact válida. Solo afecta si se usa chan_sip  y un proxy para la autenticación.

Recursos afectados

• Afecta a Asterisk Open Source 11.x y 13.x, y a Asterisk Open Source 14.x y 13.8. Se han publicado las versiones Asterisk Open Source 11.25.1, 13.13.1 y 14.2.1 y Certified Asterisk 11.6-cert16 y 13.8-cert4 que solucionan este problema.

Más información:

•      Asterisk Project Security Advisory - ASTERISK-2016-009 http://downloads.asterisk.org/pub/security/AST-2016-009.html

Fuente: Hispasec

IMAGEMAGICK. Ejecución remota de código

Se ha anunciado una vulnerabilidad en ImageMagick, una herramienta empleada por millones de sitios web para el tratamiento de imágenes, que podría permitir a un atacante remoto ejecutar código arbitrario.

ImageMagick es un conjunto de utilidades de código abierto para mostrar, manipular y convertir imágenes, capaz de leer y escribir más de 200 formatos. Se trata de un conjunto de utilidades de línea de comandos empleado para la manipulación de imágenes. Muchas aplicaciones Web como MediaWiki, phpBB o vBulletin, pueden usar ImageMagick para generar miniaturas. También es usado por otros programas para la conversión de imágenes.

Detalle de las vulnerabilidades

• El problema (con CVE-2016-8707), descubierto por el equipo Cisco Talos, reside en una escritura fuera de límites en el tratamiento de archivos TIFF comprimidos por la utilidad de conversión de ImageMagick. Una imagen TIFF específicamente manipulada podría provocar una escritura fuera de límites que daría lugar a la ejecución remota de código.

Recursos afectados

• La vulnerabilidad se ha confirmado en versiones de ImageMagick anteriores a 7.0.3-9 y anteriores a 6.9.6-7.

Recomendación

• Se han publicado las versiones 7.0.3-9 y 6.9.6-7 disponibles desde https://www.imagemagick.org/script/binary-releases.php

Más información:

•      Release ImageMagick 6.9.6-7 https://github.com/ImageMagick/ImageMagick/blob/6.9.6-7/ChangeLog

•      2016-12-05 7.0.3-9 Cristy https://www.imagemagick.org/script/changelog.php

•      Vulnerability Spotlight: ImageMagick Convert Tiff Out of Bounds Write http://blog.talosintel.com/2016/12/ImageMagick-Tiff-out-of-Bounds.html

•      ImageMagick Convert Tiff Adobe Deflate Code Execution Vulnerability http://www.talosintelligence.com/reports/TALOS-2016-0216/

Fuente: Hispasec

GOOGLE. Corrige 74 vulnerabilidades en Android

Google ha publicado el boletín de seguridad Android correspondiente al mes de diciembre en el que corrige un total de 74 vulnerabilidades, 11 de ellas calificadas como críticas.

Google divide las vulnerabilidades corregidas en dos bloques principales en función de los componentes afectados. En el nivel de parches de seguridad 2016-12-01 ("2016-12-01 security patch level") se encuentran los que afectan al núcleo de servicios Android, controladores y componentes que todos los fabricantes de smartphones Android deberían incluir con mayor prioridad.

En este bloque se solucionan 16 vulnerabilidades, 10 de ellas de gravedad alta y otras seis de importancia moderada. Los problemas más graves se refieren a tres vulnerabilidades de ejecución remota de código en Curl y LibCurl y otra en Framesequence, también hay elevación de privilegios a través de libziparchive.

Por otra en el nivel de parches de seguridad 2016-10-05 ("2016-10-05 security patch level") se incluyen vulnerabilidades en controladores y componentes incluidos solo por algunos fabricantes en sus versiones de Android. En este bloque se solucionan 58 fallos en subsistemas del kernel, controladores y componentes OEM. 11 de las vulnerabilidades están consideradas críticas, 33 de gravedad alta y 14 de riesgo medio. Cabe destacar que los componentes NVIDIA, seguido de Qualcomm, son los más afectados.

Sin duda, el más importante de los parches críticos incluidos en esta actualización se refiere a la vulnerabilidad conocida como Dirty COW (CVE-2016-5195). Una vulnerabilidad de elevación de privilegios en el kernel de Linux, que también afecta al subsistema de memoria del kernel de Android. Lo que más agrava el problema es que además se conocen exploits públicos.

Otras vulnerabilidades críticas incluyen elevaciones de privilegios a través de los controladores NVIDIA, en el driver kernel ION o en el propio kernel, así como vulnerabilidades en componentes Qualcomm.

A pesar de las actualizaciones de Google para Android, estas solo llegan puntualmente a los dispositivos Nexus, los propios de Google. Es destacable el esfuerzo realizado por otros fabricantes, como Samsung, que también están aplicando las actualizaciones con periodicidad. En otros casos, la actualización también incluye a las operadoras de telefonía, lo cual alarga aun más el proceso de actualización. Lamentablemente esto no ocurre con todos los fabricantes. En la mayoría de los casos, que la actualización llegue al usuario, si llega, puede alargarse muchos meses desde su publicación por parte de Google. Por ello, como ya hemos comentado en múltiples ocasiones las actualizaciones siguen siendo uno de los puntos débiles de Android.

Más información:

•      Android Security Bulletin—December 2016 https://source.android.com/security/bulletin/2016-12-01.html

Fuente: Hispasec

Vulnerabilidades en Foxit Reader y Foxit PhantomPDF

Foxit ha corregido tres vulnerabilidades que afectan a Foxit Reader y Foxit PhantomPDF que podrían permitir a un atacante obtener información sensible o lograr la ejecución de código arbitrario.

Foxit es un lector de PDF de la compañía Foxit Software, gratuito en su versión Reader y con versión de pago que permite modificar PDFs. Se encuentra disponible para sistemas operativos Windows y GNU/Linux, y en forma de plugin para navegadores web. Supone una alternativa más ligera y menos "atacada" al lector de Adobe.

Detalles de las vulnerabilidades

• Los problemas corregidos se deben a problemas en el tratamiento de archivos JPEG2000; una lectura fuera de límites que podría permitir la obtención de información sensible y un uso de memoria después de liberarla y un desbordamiento de búfer que podrían permitir la ejecución remota de código.
• Los problemas han sido corregidos en las versiones de Foxit Reader 8.1.1 y Foxit PhantomPDF 8.1.1.

Recomendación

Se puede descargar las versiones actualizadas desde:

•      https://www.foxitsoftware.com/downloads/#Foxit-Reader

•      https://www.foxitsoftware.com/downloads/#Foxit-PhantomPDF-Business

Más información:

•      Security updates available in Foxit Reader 8.1.1 and Foxit PhantomPDF 8.1.1 https://www.foxitsoftware.com/support/security-bulletins.php#content-2016

Fuente: Hispasec

Actualización del kernel para SuSE Linux Enterprise 12

SuSE ha publicado una actualización del kernel para SuSE Linux Enterprise 12 destinado a solucionar 11 vulnerabilidades que podrían permitir a un atacante provocar denegaciones de servicio, obtener información sensible o elevar sus privilegios en el sistema.

Detalle de la actualización

• Los problemas corregidos están relacionados con la función proc_keys_show de security/keys/proc.c, la implementación del sistema de archivos en el kernel de Linux mantiene el setgid durante una llamada setxattr, la function rfcomm_sock_bind de net/bluetooth/rfcomm/sock.c, net/ipv4/tcp_input.c del kernel de Linux no determina adecuadamente el ritmo de desafío de los segmentos ACK, una condición de carrera en la función sclp_ctl_ioctl_sccb de drivers/s390/char/sclp_ctl.c y en la función ioctl_send_fib de /scsi/aacraid/commctrl.c.
• Por otra parte, un desbordamiento de búfer en la función brcmf_cfg80211_start_ap de drivers/net/wireless/broadcom/brcm80211/brcmfmac/cfg80211.c y una denegación de servicio en la pila IP del kernel Linux. También vulnerabilidades en drivers/infiniband/ulp/srpt/ib_srpt.c, en la función tcp_check_send_head de include/net/tcp.h, en la función arcmsr_iop_message_xfer de drivers/scsi/arcmsr/arcmsr_hba.c.
• Los CVE asociados a los problemas corregidos son: CVE-2015-8956, CVE-2016-5696, CVE-2016-6130, CVE-2016-6327, CVE-2016-6480, CVE-2016-6828, CVE-2016-7042, CVE-2016-7097, CVE-2016-7425, CVE-2016-8658 y CVE-2016-8666.
• Además se han corregido otros 111 problemas no relacionados directamente con fallos de seguridad.

Recursos afectados

•      SUSE Linux Enterprise Workstation Extension 12-SP1

•      SUSE Linux Enterprise Software Development Kit 12-SP1

•      SUSE Linux Enterprise Server 12-SP1

•      SUSE Linux Enterprise Module for Public Cloud 12

•      SUSE Linux Enterprise Live Patching 12

•      SUSE Linux Enterprise Desktop 12-SP1

Recomendación

•      Se recomienda actualizar a la última versión del kernel, disponible a través de la herramienta automática YaST con el módulo "Online Update" o con la herramienta de línea de comando "zypper".

Más información:

•      SUSE-SU-2016:2912-1: important: Security update for the Linux Kernel http://lists.suse.com/pipermail/sle-security-updates/2016-November/002422.html

Fuente: Hispasec

Múltiples vulnerabilidades en IBM iNotes y Domino

IBM ha publicado actualizaciones destinadas a solucionar ocho vulnerabilidades de cross-site scripting y una de denegación de servicio en IBM Domino y en IBM iNotes versiones 8.5 y 9.0.

Detalle e Impacto de las vulnerabilidades

• Se trata de ocho vulnerabilidades de cross-site scripting en IBM iNotes, que se incluye como parte de IBM Domino. Como es habitual en estos casos el problema reside en una validación insuficiente de las entradas suministradas por el usuario. Un atacante remoto podría ejecutar código arbitrario HTML o script en el navegador del usuario en el contexto del sitio afectado. Esto podría permitir que el atacante accediera a información sensible basada en el navegador como cookies de autenticación y los datos presentados recientemente.
• También se soluciona una vulnerabilidad de denegación de servicio relacionada con un problema en Apache Tomcat. El fallo reside en el componente Apache Commons FileUpload, un atacante podrá provocar que el servidor deje de responder mediante el envió de peticiones de subida de archivos.
• Los CVE asociados son: CVE-2016-0282, CVE-2016-3092, CVE-2016-5880, CVE-2016-2939, CVE-2016-5882, CVE-2016-6113, CVE-2016-5884, CVE-2016-2938 y CVE-2016-2939.

Recursos afectados

1. IBM Domino 9.0.1 a 9.0.1 Fix Pack 7
2. IBM Domino 9.0.0x
3. IBM Domino 8.5.3 a 8.5.3 Fix Pack 6 Interim Fix 14
4. IBM Domino 8.5.2x
5. IBM Domino 8.5.1x

Recomendación

IBM ha publicado las siguientes actualizaciones:

•      Domino 9.0.1 Fix Pack 7 Interim Fix 1 http://www.ibm.com/support/docview.wss?uid=swg21657963

•      Domino 8.5.3 Fix Pack 6 Interim Fix 15 http://www.ibm.com/support/docview.wss?uid=swg21663874

Más información:

•      Security Bulletin: Multiple Vulnerabilities affect IBM Domino & IBM iNotes http://www-01.ibm.com/support/docview.wss?uid=swg21992835

Fuente: Hispasec

GOOGLE. Publica Chrome 55 y corrige 36 vulnerabilidades

Google anuncia una nueva versión de su navegador Google Chrome 55. Se publica la versión 55.0.2883.75 para las plataformas Windows, Mac y Linux, que junto con nuevas funcionalidades y mejoras, además viene a corregir 36 nuevas vulnerabilidades.

En esta ocasión, aunque se han solucionado 36 nuevas vulnerabilidades, solo se facilita información de 26 de ellas (12 de gravedad alta, nueve de importancia media y cinco bajas).

Detalle de la actualización

• Se corrigen vulnerabilidades por cross-site scriptings en Blink, salto de la política de mismo origen en PDFium y en SVG, acceso a datos privados en V8, escritura fuera de límites en Blink y en PDFium, uso de memoria después de liberarla en PDFium y en V8, descubrimiento de archivos locales en DevTools, salto de la protección de descarga de archivos.
• Otros fallos corregidos residen en un uso de datos sin validar en PDFium, falsificación de direcciones en Omnibox, desbordamiento de entero en ANGLE y en PDFium, acceso a archivos locales en PDFium y problemas con Content Security Policy (CSP).
• Se han asignado los CVE-2016-5203 al CVE-2016-5226, CVE-2016-9650 y CVE-2016-9651.
• También del trabajo de seguridad interno, varias correcciones procedentes de auditoría interna, pruebas automáticas y otras iniciativas (CVE-2016-9652). Según la política de la compañía las vulnerabilidades anunciadas han supuesto un total de 70.000 dólares en recompensas a los descubridores de los problemas.

Recomendación

• Esta actualización está disponible a través de Chrome Update automáticamente en los equipos así configurados o a través de "Información sobre Google Chrome" (chrome://chrome/). O descargar directamente desde: google.com/chrome.

Más información:

•      Stable Channel Update https://googlechromereleases.blogspot.com.es/2016/12/stable-channel-update-for-desktop.html

Fuente: Hispsec

Malware para Android compromete más de un millón de cuentas de Google

CheckPoint ha anunciado una nueva campaña de malware, que bajo el nombre de Gooligan ha comprometido más de un millón de cuentas de Google, y continúa creciendo a un ritmo de 13.000 dispositivos infectados al día. 

Recursos afectados

• Gooligan afecta a dispositivos con Android 4 (Jelly Bean, KitKat) y 5 (Lollipop), lo que actualmente representa más de un 74% de los dispositivos actuales de los registrados en el market de Google. Calculan que el 9% de estos dispositivos infectados están en Europa y un 19% en América.

Detalle del ataque

• La infección comienza cuando un usuario descarga e instala una aplicación infectada por Gooligan en un dispositivo Android. Esta instalación se puede producir de diferentes maneras: desde correos basura (scam) invitando al usuario a probar una nueva aplicación, hasta en "markets" no oficiales. Tras la instalación de la aplicación infectada, ésta envía información del dispositivo al servidor punto de control (C&C del inglés Command&Control) de la campaña.
• Tras esto, Gooligan descarga un rootkit del servidor C&C, lo instala en el dispositivo y lo ejecuta. Este rootkit aprovecha múltiples vulnerabilidades en Android 4 y 5 incluyendo las ya conocidas VROOT (CVE-2013-6282) y Towelroot (CVE-2014-3153). Estas vulnerabilidades, a pesar de tener más de tres años, siguen estando sin parchear en muchos dispositivos actuales dada la dificultad e incluso imposibilidad de actualizar muchos dispositivos. Si el exploit tiene éxito, el atacante tendrá control total del dispositivo y podrá ejecutar comandos con privilegios de forma remota.

Después de conseguir el acceso root, Gooligan descarga e instala un nuevo módulo malicioso del servidor C&C. Este módulo se inyecta en la ejecución de Google Play o GMS (Google Mobile Services) para imitar el comportamiento del usuario y evitar su detección. Este nuevo módulo permite:

1. Robar la cuenta de correo electrónico de Google del usuario y la información del token de autenticación
2. Instalar aplicaciones de Google Play y calificarlas para aumentar su reputación 
3. Instalar adware para generar ingresos

Cabe decir que la instalación de adware para generar ingresos se intenta conseguir a través del bombardeo al usuario con una técnica conocida como "drive-by-download". Esta consiste en indicar al usuario que debe descargar una aplicación/archivo pero sin dejar muy claro para qué. Con esto el malware se lucra a base de publicidad.

El token de autenticación de Google tiene una función clave. Este se asigna al usuario una vez se identifica en su cuenta de Google y con él se pueden realizar casi la mayoría de acciones relacionadas con los servicios del mismo. Ya se observó el mismo comportamiento en otras familias anteriormente (HummingBad) y el objetivo principal era votar aplicaciones positivamente en Google Play y comentarlas. En este caso sucede lo mismo.

Check Point pone a disposición de los usuarios un sitio web en el que comprobar si la cuenta Google ha sido comprometida por Gooligan: https://gooligan.checkpoint.com/.

Más información:

• More Than 1 Million Google Accounts Breached by Gooligan http://blog.checkpoint.com/2016/11/30/1-million-google-accounts-breached-gooligan/

Fuente: Hispasec

MOZILLA. Solventa una vulnerabilidad para Firefox y Thunderbird

La fundación Mozilla ha reportado una vulnerabilidad considerada crítica en Firefox y Thunderbird (MFSA 2016-92). Esta vulnerabilidad podría ser aprovechada por un atacante remoto para ejecutar código arbitrario.

Detalle de la vulnerabilidad

• El problema, con CVE-2016-9079, reside en que un atacante remoto que se aproveche de un error de validación en SVG Animation podría causar la liberación de memoria previamente liberada y así ejecutar código arbitrario con los privilegios del usuario a través de páginas web especialmente manipuladas.
• La vulnerabilidad se está explotando de forma activa en sistemas Windows contra Firefox y el navegador Tor para descubrir a los usuarios de la red Tor.
• Existe código exploit disponible desde https://lists.torproject.org/pipermail/tor-talk/2016-November/042639.html

Recomendación

Se recomienda actualizar a las últimas versiones, disponibles para su descarga a través de los canales habituales o mediante las actualizaciones automáticas.

Para corregir esta vulnerabilidad Mozilla ha publicado las versiones actualizadas:

• Firefox 50.0.2
• Firefox ESR 45.5.1
• Thunderbird 45.5.1

Más información:

• Mozilla Foundation Security Advisory 2016-92 https://www.mozilla.org/en-US/security/advisories/mfsa2016-92

Fuente: Hispasec

LENOVO. Vulnerabilidades en el software propietario preinstalado en sus ordenadores

Se han reportado dos vulnerabilidades en ordenadores Lenovo (incluyendo portátiles, servidores y equipos de sobremesa). Las vulnerabilidades son consideradas de gravedad alta y podrían permitir a un atacante local ejecutar código arbitrario y elevar privilegios dentro del sistema. Una vez más los problemas residen en el software propietario preinstalado por Lenovo.

Las vulnerabilidades han sido reportadas a través de auditorías internas de la propia compañía y por Alexander Ermolov de Digital Security ltd.

Detalle e Impacto de la primera vulnerabilidad

• En el primer problema, con CVE-2016-8223, en el que un atacante local con privilegios limitados podría aprovecharse de un error en Lenovo System Interface Foundation (Lenovo.Modern.ImController.exe o Lenovo.Modern.ImController.PluginHost.exe que funciona como servicio en el administrador de tareas de Windows 10) para ejecutar código arbitrario dentro del sistema con privilegios de administrador. Lenovo Sistem Interface Foundation proporciona servicios, drivers y aplicaciones de ayuda a otros softwares propios de Lenovo y otros servicios dentro de Windows 10.

Recursos afectados

• Afecta a todos los Thinkpad, Thinkcentre, ThinkStation y sistemas Lenovo preinstalados con Windows 10 u cualquier otro sistema que ejecute Lenovo Companion, Lenovo Settins o Lenovo ID.

Recomendación

• Se recomienda actualizar a la última versión de Lenovo System Interface Foundation http://support.lenovo.com/downloads/ds105970 .

Detalle e Impacto de la primera vulnerabilidad

• El segundo problema, con CVE-2016-8224, podría permitir a un atacante con privilegios administrativos en el sistema causar una denegación de servicio y/o elevar privilegios dentro del sistema a través de una aplicación especialmente manipulada que eluda restricciones de las protecciones del Intel Management Engine.
• Intel Management Engine (ME) es un conjunto de características hardware desarrolladas por Intel para administrar, reparar y proteger ordenadores dentro de sus propias redes.

Recursos afectados

Lenovo Notebook modelos:

1. 110-14IBR/110-15IBR
2. B70-80
3. E31-80
4. E40-80
5. E41-80
6. E51-80
7. G40-80
8. G50-80
9. G50-80 Touch
10. Ideapad 300-14IBR/300-15IBR
11. Ideapad 300-14ISK/300-15ISK/300-17ISK
12. Ideapad 510S-12ISK
13. K21-80
14. K41-80
15. MIIX 710-12IKB
16. XiaoXin Air 12
17. YOGA 510-14ISK/510-15ISK
18. YOGA 710-11IKB
19. Yoga 710-11ISK
20. Yoga 900-13ISK
21. YOGA 900S-12ISK
22. ThinkServer TS150
23. ThinkServer TS250
24. ThinkServer  TS450
25. ThinkServer  TS550

Recomendación

• Lenovo ha publicado actualizaciones para los sistemas afectados, se recomienda consultar la página desde https://support.lenovo.com/es/es/solutions/LEN_9903  para determinar por la versión de la BIOS si el sistema está afectado y la actualización requerida.

Más información:

• Intel Management Engine protection not set on some Lenovo Notebook and ThinkServer systems https://support.lenovo.com/es/es/solutions/LEN_9903
• Lenovo System Interface Foundation Privilege Escalation https://support.lenovo.com/es/es/solutions/LEN_10150

Fuente: Hispasec

TOR 0.2.9. Confirman el inminente lanzamiento con mejoras de seguridad

Tor, esta es una herramienta gratuita y de código abierto que nos permita navegar por una red distribuida, anónima y privada lejos del control que los gobiernos y las grandes empresas ejercen sobre las redes convencionales. 

En las últimas semanas hemos podido ver cómo se han liberado varias actualizaciones de esta herramienta, concretamente en la rama 2.8.x, corrigiendo poco a poco una serie de fallos y vulnerabilidades presentes en dicha herramienta y que estaban siendo utilizadas por piratas informáticos para llevar a cabo distintos ataques contra la privacidad de los usuarios de esta red.

A pesar de que la última versión de la rama 2.8.x ha llegado hace poco, Tor Project ha confirmado que, en breve, probablemente antes de fin de año, llegue la versión 0.2.9 de esta herramienta como versión estable. Aunque por el momento no se sabe con certeza todos los cambios que incluirá, dos de los más importantes son:

• OpenSSL 1.1.
• Bases de datos GeoIP y GeoIP6 actualizadas a Maxmind GeoLite2 Country.

Además, también se han solucionado un número considerable de fallos y errores, tanto de baja gravedad como bastante graves para la seguridad de los usuarios y el anonimato del tráfico.

Los usuarios que no quieran esperar al lanzamiento de esta versión, pueden descargar la versión RC desde la web principal del proyecto.

El navegador Tor Browser se actualizará para incluir esta nueva versión de Tor

• Salvo que tengamos una red distribuida montada personalmente, lo más seguro es que no utilicemos directamente esta aplicación, sino que utilizaremos el navegador oficial, conocido como Tor Browser, que viene con todo lo necesario para conectarnos a esta red, proteger nuestra privacidad, y permitirnos navegar de forma anónima y privada por dicha red.
• En cuanto se actualice esta herramienta base, el navegador, que actualmente se encuentra en la versión 6.0.7, también se actualizará para incluir esta nueva versión de la herramienta libre, corregir algunos posibles fallos en el navegador y poder garantizar a los usuarios la máxima seguridad posible

Fuente: Redeszone.net

GOOGLE CHROME 56. Considera inseguras páginas HTTP con contraseñas y datos de pago

Se trata de un cambio disponible en la versión beta existente para todas las plataformas. Desde Mountain View han decidido dar un paso más en lo que se refiere a materia de seguridad. Por eso, si eres usuario de la versión beta de Google Chrome 56 notarás que todas las páginas HTTP en las que se introduzcan contraseñas o datos de pago serán marcadas como inseguras.

Los usuarios de Chrome OS, Linux, Mac OS, Windows y Android ya se han beneficiado de esta modificación. Desde hace tiempo se está persiguiendo que los responsables de páginas web con formularios de introducción de datos, inicio de sesión o pagos modifiquen su página para que estos viajen de forma segura y no en texto plano.

El usuario será informado de esto en la barra de direcciones, justo antes de la URL de la página en la que nos encontramos. Es decir, además de aparecer HTTPS, el anterior tachado cuando el certificado no está validado o HTTP, en este último caso se sustituirá por un “Not Secure” si posee formularios de inicio de sesión o pagos.

Fuente: Redeszone.net

PIÑA COLADA. Herramienta que permite realizar auditorías a redes Wi-Fi

Piña Colada es una herramienta gratuita que permite comprobar cuál es el grado de seguridad existente sobre todo en redes inalámbricas, utilizando para ello diferentes tipos de ataques que los ciberdelincuentes podrían hacer uso en la actualidad.

Al final, con los resultados ya generados, se pueden generar informes para posteriormente revisar toda la información generada de la ejecución de cada una de las pruebas.

La aplicación está programada en Python, permitiendo que se pueda realizar su ejecución en cualquier sistema que posea instalada la consola de este lenguaje. Linux, Windows o Mac Os X, no existe ningún tipo de restricción al respecto, aunque sí que es verdad que sus desarrolladores recomiendan su uso en Linux o Mac OS X.

Para controlar la herramienta el usuario solo debe abrir una consola de Python e invocar al programa o bien utilizando una shell y tecleando sudo python cli.py.

Acceder al manual de la herramienta desde https://github.com/ecthros/pina-colada

Añadir ataques de forma dinámica a Piña Colada

• Los responsables del desarrollo de esta herramienta que por defecto se incluyen una serie de ataques (denegación de servicio, ARP, diferentes tipos de Snifing de información, escaneo de puertos, …). Esta lista se puede ampliar de forma manual gracias a módulos que se encuentren en la página de la herramienta o bien programados por el propio usuario.

Servidor para controlar la herramienta de forma remota

• Uno de los puntos positivos de esta herramienta es que se puede controlar de forma remota gracias a un servidor web existente. Se ejecuta en el puerto TCP 5000 y se encuentra a la escucha en el 9999.
• La herramienta dispone de un complemento en forma de aplicación para dispositivos Android que permite de una forma mucho más intuitiva manejar las pruebas y visualizar los resultados.

Comunicaciones cifradas

• Teniendo en cuenta que se trata de una herramienta de auditorías, la seguridad en sus comunicaciones es un aspecto importante y que los desarrolladores han tenido en cuenta. AES/CBC/PKCS#5 son los cifrados utilizados para garantizar la seguridad de las comunicaciones, sobre todo si estamos haciendo uso del servidor web y controlando la aplicación de forma remota, bien desde un terminal o la aplicación disponible de forma gratuita para dispositivos con sistema operativo Android. De esta forma se evita que se puedan realizar ataques MiTM y proceder al robo de información.
• En definitiva, si estás buscando una herramienta gratuita para realizar auditorías, Piña Colada puede ser una opción muy a tener en cuenta.

Más información

• Proyecto Piña Colada  https://github.com/ecthros/pina-colada

Fuente: Redeszone.net

SPAM. Campaña navideña utilizando la imagen de Apple

Unas fechas muy adecuadas para lanzar este tipo de campañas, aunque en los últimos años cualquier momento es bueno, por lo que no resulta extraño disfrutar de su presencia el resto del año. Estamos hablando de las campañas phishing. En esta ocasión, la última que se está distribuyendo en nuestro país utiliza la imagen de la compañía Apple para conseguir el robo de información.

Una de las ventajas de los servicios de las grandes empresas es que con unas credenciales de acceso se pueden gestionar un amplio abanico. Concentrar todo en un usuario y contraseña tiene su lado positivo, pero obviamente también un punto en contra: la seguridad. Al final, el robo de estas puede provocar que los ciberdelincuentes accedan a los datos de varios servicios con suma facilidad. De ahí que haya que tener cuidado con las páginas web a las que accedemos y la credibilidad que damos a correos electrónicos.

Se está distribuyendo con los asuntos Mensaje Nuevo – Apple y Notificación Urgente. Todos los correos poseen como remitente apps@apps.com, aunque de entrada el usuario ve Atención al cliente, dando un poco más de credibilidad al mensaje y su contenido.

Respecto a este último, se informa al usuario que la información de la cuenta es incompleta y que para continuar usando el Apple ID se deberá acceder a una página, iniciar sesión e introducir la información que falta. Para acceder a esta se ofrece un enlace en el mismo cuerpo del mensaje.

Fuente: Redeszone.net

OPENVPN. El software se enfrenta a dos auditoría de seguridad independientes

OpenVPN es un software de código abierto que implementa una VPN SSL/TLS, de esta forma, utilizando el software OpenVPN podremos establecer una red privada virtual de manera segura utilizando el protocolo TLS. OpenVPN es utilizado por millones de personas, y está presente en una gran cantidad de sistemas operativos, y también en firmwares de routers para actuar tanto de servidor VPN como de cliente VPN.

¿Qué es OpenVPN?

• Actualmente este software es uno de los más utilizados para establecer túneles VPN de manera segura, debido al uso de TLS, a su facilidad de configuración y a su compatibilidad con múltiples sistemas operativos, es el preferido por muchos administradores de redes y sistemas.
• Este software tiene versiones para sistemas de escritorio como Microsoft Windows, MacOS y todas las distribuciones de Linux, asimismo también es compatible con sistemas operativos para móviles como Android y iOS ya que existen versiones oficiales. Los fabricantes de routers como ASUS, Edimax, TP-Link y Netgear, han incorporado OpenVPN a sus firmwares para proporcionar a sus usuarios la posibilidad de crear servidores VPN fácilmente en su hogar.
• Os recomendamos acceder a este manual donde encontraréis más información y cómo poner en marcha el sistema http://www.redeszone.net/redes/openvpn/

La auditoría de Private Internet Access

• Private Internet Access soporta varias tecnologías de VPN, incluyendo OpenVPN, y han decidido contratar al consultor Dr. Matthew Green que es un reputado criptógrafo para realizar una auditoría independiente a este software. Matthew Green realizará una evaluación exhaustiva de la versión OpenVPN que actualmente está disponible en Github. Próximamente se lanzará la versión 2.4 de OpenVPN en fase beta, el criptógrafo también evaluará esta nueva versión una vez que salga a la luz.
• Realizar una auditoría de seguridad a uno de los softwares para VPN más utilizados en todo el mundo es fundamental. Los resultados de esta auditoría de seguridad se harán públicos una vez que se hayan corregido todos los posibles fallos de seguridad que Matthew Green encuentre.

La auditoría financiada por OSTIF

• Además de realizar una auditoría de seguridad por parte de PIA y el Dr. Green, la OSTIF (Open Source Technology Improvement Fund) y también por algunos servicios de VPN que utilizan OpenVPN han recaudado fondos para realizar una completa auditoría a la versión 2.4 del software. Anteriormente OSTIF ya recaudó los fondos necesarios para realizar una auditoría de seguridad independiente de TrueCrypt que ahora se ha convertido en VeraCrypt, la empresa que hará esto es QuarksLab en París.
• Las dos auditorías se realizarán por separado, esto es ideal para poder descubrir más fallos de seguridad (si los hay), y que los desarrolladores solucionen cuanto antes todos los problemas para proporcionar una solución VPN segura.

Fuente: Redeszone.net

ALEMANIA. Más de 900.000 personas sin internet, sin teléfono y sin televisión

Se está estudiando un ataque cibernético como posible causa en el fallo del sistema.

Alrededor de 900.000 clientes de Deutsche Telekom en toda Alemania no tienen desde la tarde de este domingo internet, teléfono fijo, ni acceso al servicio de televisión en línea, confirmó este lunes la compañía que está estudiando un ataque cibernético como posible causa en el fallo del sistema.

Según señaló André Hofmann, portavoz de Telekom, a la cadena N24, el problema se registra sólo en determinados tipos de router y la empresa está analizando ahora de cuáles se trata. "Es un "tema relativamente complejo", agregó Hofmann, quien señaló que la compañía estudia una posible "influencia externa".

El portavoz agregó que Deutsche Telekom ha introducido un nuevo programa en la red con el fin de solventar el problema, por lo que recomienda a los clientes desconectar el router y volver a conectarlo.

La compañía informaba a últimas horas de la tarde de este domingo a través de sus cuentas de Twitter y Facebook de los problemas en su red y aseguraba estar trabajando para solventar las causas del fallo.

Ya en junio de 2016 la red de telefonía móvil de Deutsche Telekom se cayó debido a un problema en la base de datos central de la compañía.

Fuente: 20minutos.es

ECUADOR. Fiscal no ve salida inmediata para Assange, entregará informe en diciembre

La fiscalía de Ecuador dijo el lunes que entregará a mediados de diciembre la declaración escrita del fundador de WikiLeaks, Julian Assange, a las autoridades suecas, pero no considera que haya una salida pronta para el australiano asilado en la embajada de su país en Londres desde hace más de cuatro años.

El documento contendrá la información otorgada por Assange durante un interrogatorio realizado a mediados de mes como parte de la investigación que impulsa la Fiscalía de Suecia en su contra por un supuesto delito de violación.

"A mediados de diciembre me parece que tendremos ya el documento, se lo remitimos a la fiscalía sueca", informó el fiscal ecuatoriano Galo Chiriboga.

"Han pasado cuatro años y recién estamos en esta etapa, pero eso ya no es imputable a Ecuador, es imputable a la fiscalía sueca. No creo que haya una salida pronta", agregó a medios extranjeros.

Dentro del proceso también se debía tomar muestras de ADN de Assange, pero éstas ya fueron entregadas con anterioridad por el australiano a las autoridades inglesas, informó Chiriboga, al señalar que el papel de la fiscalía ecuatoriana concluirá con la entrega de dicho informe.

Assange buscó refugio en la embajada ecuatoriana en agosto del 2012, por temor a que Reino Unido lo deportara a Suecia y que posteriormente fuera enviado a Estados Unidos, donde podría encarar una larga condena en prisión por la publicación de cientos de miles de cables diplomáticos secretos.

El fiscal ecuatoriano aseguró que durante el interrogatorio se abordó exclusivamente el tema de la acusación por presunto delito de violación.

El australiano, quien ha negado en reiteradas ocasiones la acusación por violación, también es requerido por las autoridades de Reino Unido por no cumplir con las condiciones de su arresto domiciliario.

Fuente: Reuters

VIDEOLLAMADAS. Cinco programas para realizarlas desde ordenador o móvil gratis

Son muchas las aplicaciones que existen para hacer videollamadas a través de un 'smartphone', tableta u ordenador. Nosotros os recogemos cinco programas gratuitos que os servirán para comunicaros con otros siempre que queráis.

SKYPE

• Skype es el programa más popular a la hora de hacer llamadas y videollamadas a través de Internet. Cuenta con más de 300 millones de usuarios mensuales por todo el mundo (datos oficiales de 2013, ya que Microsoft no ha anunciado nada desde entonces) y está disponible para Windows, Mac, Linux, Android, Windows Phone, iOS y videoconsolas, por lo que no tendréis ningún problema a la hora de utilizarlo.
• Una de sus grandes ventajas es que se puede vincular con Facebook y con los antiguos contactos de Hotmail, por lo que la agenda de Skype será bastante completa. Permite hacerllamadas de voz y vídeo entre los dispositivos (incluso entre ordenador y móvil) y de forma grupal, enviar mensajes, archivos y fotos, compartir pantalla (PC) y tiene tarifas para hacer llamadas a teléfonos fijos y móviles que no son especialmente caras. Su punto negativo es que para una buena conexión y calidad de imagen y voz, hay que tener un Internet estable y potente.

VIBER

• Viber tuvo mucho 'boom' hace unos años porque la calidad de sus llamadas llegó a ser mejor que la de Skype, pero desde que el servicio de Microsoft igualó el asunto, ha quedado renegada a un segundo plano, aunque sigue teniendo algo más de 200 millones de usuarios activos al mes, una cantidad mucho más que razonable. Es más una aplicación de mensajería instantánea que permite llamar antes que un programa más enfocado a las llamadas como es Skype.
• Viber está disponible para Windows, Mac y Linux, así como para Android, iOS y Windows Phone. Con asociar el número de teléfono a la aplicación se pueden ver qué contactos de la agenda utilizan el servicio en cuestión.
• Permite hacer llamadas y videollamadas a través de Internet y a todo el mundo, al más puro estilo de WhatsApp pero con una mejor calidad en todos los sentidos, y también deja enviar mensajes de texto, fotografías, ubicaciones, 'stickers', crear grupos o jugar con los juegos integrados.

FACETIME

• Si sois usuarios de Apple y vuestros amigos o familiares también, Facetime es la herramienta ideal para hacer videollamadas de manera totalmente gratuita. Muy cómoda de usar, ofrece una gran calidad de imagen y voz a no ser que estéis en una zona con poca cobertura o que no tengais datos móviles/la WiFi vaya mal.
• No consume en exceso, se integra a la perfección con vuestra agenda de contactos y con la aplicación de iMessage y todo lo que ésta ofrece. En general, en el ecosistema de Apple no da ningún problema, pero no podéis llamar a contactos con otros sistemas operativos.

HANGOUTS

• Hangouts es, posiblemente, el servicio que actualmente le haga una mayor competencia a Skype en lo que a videollamadas se refiere. Pese a ser algo creado por Google y a diferencia de Facetime, sí que se puede utilizar con cualquier sistema operativo móvil y desde Gmail en cualquier PC, por lo que es una herramienta universal y de fácil acceso.
• Básicamente, la aplicación permite tener conversaciones individuales y grupales, así como compartir fotografías, usar emoticonos y, por supuesto, hacer videollamadas. Una de las grandes ventajas de Hangouts es que os avisa cuando alguien os escribe, saltando una alerta o notificación, de modo que se puede utilizar como 'app' de mensajería instantánea sin ningún problema.
• La calidad, en general, de las videollamadas no está mal, pero tampoco es nada del otro mundo y de vez en cuando deja un poco que desear. Lo mejor es que no importa qué sistema operativo tengáis tú o la otra persona ni en qué dispositivo estéis funcionando, porque podéis hacer la videollamada igual.

TANGO

• Tango es una de las aplicaciones más sencillas de utilizar en lo que a videollamadas se refiere. No necesita que os registréis como usuarios, solo que introduzcáis vuestro número de teléfono para que el software mire qué contactos de vuestro móvil también la usan. Está disponible para Android, iOS, Windows Phone y ordenadores con Windows, pero se utiliza mucho más en el móvil dado que es una mezcla entre WhatsApp y Skype.
• Permite realizar videollamadas gratuitas y llamadas nacionales e internacionales entre móviles sin que tengáis que gastar dinero o minutos de vuestra tarifa para ello. Ofrece la opción de enviar y recibir mensajes de manera individual o con grupos de hasta 300 personas. Es un software muy completo, pero su mayor desventaja es que no está tan extendida como las otras aplicaciones de esta lista.

Fuente: Europa Press

MALWARE. Nueva campaña de envío deL troyano Sharik

El método más habitual para la propagación de un troyano sigue siendo las campañas de envíos masivos de correos con un adjunto. Como es frecuente, se suelen acompañar de un mensaje atractivo que mediante la ingeniería social incite al usuario a abrir el adjunto con el malware. Una nueva campaña de envíos de este tipo está dando a luz, esta vez distribuye a "Sharik".

Sharik es un troyano que afecta a la plataforma Windows y aprovecha para inyectarse en procesos legítimos y añade entradas al registro necesarias para mantener persistencia. Además, envía toda la información recolectada a un servidor remoto, incluso llega a aceptar comandos del atacante.

Nos llega en forma de e-mail a través de este correo, con un adjunto.

Recibido por parte de mgXXXXoz@gmail.com

"Buenos días,

Como hemos comentado, te adjunto la escritura con las rectificaciones marcadas en amarillo. He hablado con los compradores y esta mañana me mandan una copia del cheque.

Un saludo,"

Este adjunto es el troyano que comience el proceso de descarga (dropper), y entre otras cosas creará una serie de carpetas en %APPDATA%.

Comienza conectándose al servidor remoto y aprovecha para descargarse los archivos necesarios para continuar con la infección. Entre ellos, un binario de php funcional (junto a su librería), y un archivo .php que utilizará más adelante.

El archivo en PHP, que se lanza haciendo uso de dicho binario es el que mostramos a continuación:

• Contenido del archivo .php utilizado en conjunto con el binario de PHP descargado.
• En esta ocasión, logramos tener acceso al archivo PHP descifrado.

Basta comprobar el registro para descubrir las evidencias de la persistencia de este Malware:

• Siguiendo el flujo de peticiones al dominio remoto, observamos como en una de las peticiones se obtiene un binario:
• De esta forma, el flujo de funcionamiento del troyano tras su ejecución es inicialmente  se guarda en el registro, tras lo cual lanza el php y el binario oculto

Como es habitual para evitar este tipo de amenazas se recomienda no abrir los adjuntos que provengan de orígenes desconocidos o no solicitados. La prevención es la mejor defensa.

• Binario:https://www.virustotal.com/en/file/5eea0da8c31b48ce3e88fdd0f24192a4305a472f1f44f3740796d0622feb7f9b/analysis/1480321674/
• Archivo php: http://pastebin.com/nUm4Sxt4

Fuente: Hispasec

ACTUALIZACION. Solucionadas tres vulnerabilidades en servidores Apache Tomcat

The Apache Software Foundation ha corregido tres vulnerabilidades importantes que afectan a las ramas 6, 7, 8 y 9 de Apache Tomcat, y que podrían permitir a atacantes provocar condiciones de denegación de servicio, ataques cross-site scripting o la ejecución remota de código. 

Apache Tomcat es un servidor web que funciona como contenedor de servlets, desarrollado en código abierto por Apache Software Foundation. Tomcat implementa las especificaciones de las tecnologías servlets Java y de páginas JSP.

Detalle de vulnerabilidades corregidas

• La primera vulnerabilidad, calificada como "importante", reside en que JmxRemoteLifecycleListener no se actualizó para incluir la corrección de Oracle para CVE-2016-3427. Por ello, las instalaciones de Tomcat que utilicen este Listener siguen siendo siendo vulnerables a una vulnerabilidad de ejecución remota de código. Según Apache son pocas las instalaciones que utilizan este Listener. Afecta a versiones 6.0.0 a 6.0.47, 7.0.0 a 7.0.72, 8.0.0.RC1 a 8.0.38, 8.5.0 a 8.5.6 y 9.0.0.M1 a 9.0.0.M11
• Por otra parte, con CVE-2016-6817, una denegación de servicio debida a que el tratamiento de cabeceras HTTP/2 entra en un bucle infinito si se recibe una cabecera de gran tamaño. Afecta a 8.5.0 a 8.5.6 y 9.0.0.M1 a 9.0.0.M11.
• Por último, con CVE-2016-6816, el código que trata la petición http permite caracteres no válidos. Esto podría emplearse junto con un proxy que también permita caracteres no válidos inyectar datos en la respuesta http. Esto podría permitir envenenar la caché web, obtener información sensible o realizar ataques XSS. Afecta a versiones 6.0.0 a 6.0.47, 7.0.0 a 7.0.72, 8.0.0.RC1 a 8.0.38, 8.5.0 a 8.5.6 y 9.0.0.M1 a 9.0.0.M11

Recomendación

El fabricante recomienda a los usuarios que actualicen a las versiones 9.0.0.M13, 8.0.39, 8.5.8, 7.0.73 o 6.0.48, disponibles desde:

1. http://tomcat.apache.org/download-60.cgi
2. http://tomcat.apache.org/download-70.cgi
3. http://tomcat.apache.org/download-80.cgi
4. http://tomcat.apache.org/download-90.cgi

Más información:

• Fixed in Apache Tomcat 9.0.0.M13  http://tomcat.apache.org/security-9.html#Fixed_in_Apache_Tomcat_9.0.0.M13
• Fixed in Apache Tomcat 8.0.39 http://tomcat.apache.org/security-8.html#Fixed_in_Apache_Tomcat_8.0.39
• Fixed in Apache Tomcat 8.5.8 http://tomcat.apache.org/security-8.html#Fixed_in_Apache_Tomcat_8.5.8
• Fixed in Apache Tomcat 7.0.73 http://tomcat.apache.org/security-7.html#Fixed_in_Apache_Tomcat_7.0.73
• Fixed in Apache Tomcat 6.0.48 http://tomcat.apache.org/security-6.html#Fixed_in_Apache_Tomcat_6.0.48

Fuente: Hispasec