Vulnerabilidades » MuyComputer
[ Vulnerabilidades ]
Mozilla actualiza Firefox para corregir las vulnerabilidades de Pwn2Own

Mozilla actualiza Firefox para corregir las vulnerabilidades de Pwn2Own

Mozilla ha liberado una actualización para Firefox que corrige las vulnerabilidades utilizadas para realizar los ataques en el concurso hacker Pwn2Own 2017.Siempre lo decimos. Tan importante como crear un software seguro es parchear las vulnerabilidades encontradas lo antes posible. Y Mozilla destaca positivamente en este apartado desde siempre.Ayer veíamos como solo Chrome se libró (por los pelos ya que fue cuestión de tiempo) del hackeo al que fueron sometidos los grandes navegadores web en el Pwn2Own 2017 y que tuvo como claro perdedor al Edge de Microsoft.Navegadores y también sistemas porque cayeron todos, Windows, Mac OS y Ubuntu, además de las habituales aplicaciones Adobe Flash y Reader, y otro software tan importante como VMWare que fue utilizado para el hack más espectacular del concurso y el mejor premiado con 105.000 dólares.Mozilla cumple con la liberación en un tiempo mínimo de Firefox 52.0.1 y Firefox ESR 52.0.1 para corregir la vulnerabilidad crítica CVE-2017-5428.Esta vulnerabilidad fue la utilizada por el equipo de Chaitin Security Research Lab en el Pwn2Own para realizar un desbordamiento de entero en la función createImageBitmap() a través de un búfer sin inicializar en el kernel de Windows para elevar privilegios, conseguir atacar con éxito el navegador y ganar 30.000 dólares de premio.Aunque no hay constancia de un exploit externo que aproveche esta vulnerabilidad crítica, porque ningún detalle técnico de la sucedido en la conferencia se hace público, se recomienda actualizar Firefox a la mayor brevedad. Para nuevos usuarios, la nueva versión (Firefox 52.0.1) ya está disponible para descarga desde el portal web de Mozilla.
4 comentarios68 shares
23/03/2017Juan Ranchal
Cómo deshabilitar Adobe Flash en todos los navegadores web

Cómo deshabilitar Adobe Flash en todos los navegadores web

Los ciberdelincuentes tienen pintada una gran diana en el plug-in Adobe Flash. Un desarrollo que junto a Java y Adobe Reader es uno de los mayores receptores mundiales de malware. Las vulnerabilidades críticas se registran por semanas y permiten exploits 0-Day como los últimos relacionados con Hacking Team.Flash tiene fecha de caducidad y cada vez es menos necesario a medida que HTML 5 se hace fuerte. Plataformas como iOS y Android no lo soportan por defecto con la importancia que tienen los ecosistemas móviles en la actualidad. Esta misma semana el jefe de seguridad de Facebook, Alex Stamos, ha hecho un llamamiento para forzar la extinción de Adobe Flash ante el constante problema de seguridad.Mozilla ha tomado la decisión de bloquear Adobe Flash Player por defecto en Firefox ante la última vulnerabilidad crítica (Flash Player 18.0.0.194 y anteriores) y sus exploits activos y también Google ha bloqueado el plug-in hasta que los usuarios actualicen el navegador a una nueva versión de Chrome (43.0.2357.132) que ya incluye las actualizaciones necesarias tras el parcheo realizado por Adobe, y justificando el bloqueo por la gravedad de esta vulnerabilidad.Un problema de consideración ya que aún son millones los sitios web que utilizan Flash para reproducción de contenido multimedia. Si puedes vivir sin él hoy repasamos como deshabilitar Adobe Flash en los navegadores web más relevantes. Los métodos son fácilmente reversibles por si lo necesitas en algún momento o puedes dejarlo activado en alguno de tus navegadores y eliminarlo en el resto. Internet Explorer A partir de Windows 8, Microsoft incluyó el plug-in de Flash en Windows para utilización por Internet Explorer. En todos los sistemas incluyendo el IE que convivirá con Edge en Windows 10, accede a la pestaña de Herramientas-Administrar complementos-Barra de herramientas y extensiones. Localiza Shockwave Flash Object en las extensiones instaladas y deshabilítalo. Administradores o usuarios avanzados pueden deshabilitarlo mediante las políticas de grupo. Chrome El navegador de Google incluye un plug-in de Adobe Flash en todas las plataformas que soporta, Windows, Mac OS X, Chrome OS o Linux. Para desactivarlo, escribe "chrome://plugins/" en la barra de direcciones. Localiza Adobe Flash Player y deshabílitalo. Administradores pueden gestionar el grupo de plug-ins en la política AllowOutdatedPlugins. Firefox Accede al Menú-Complementos-Plugins. Localiza Adobe Shockwave y en la pestaña selecciona 'No activar nunca'. Opera Escribe "about:plugins" en la barra de direcciones. Localiza Adobe Flash Player y desactívalo. Safari Accede al menú Safari-Preferencias-Seguridad-Plugins. Selecciona Adobe Flash Player y bloquéalo. Microsoft Edge Por si estás probando Windows 10, el nuevo navegador de Microsoft para Windows 10 integra el plug-in Flash. Para desactivarlo accede a la configuración-ajustes avanzados y fija en "off" el control deslizante.Navegadores en Windows Adobe ofrece tres plug-ins separados para sistemas Windows. Un ActiveX para Internet Explorer, un NPAPI para Firefox y un PPAPI para Opera y Chromium. Se eliminan como haríamos como cualquier aplicación en Windows. Accede al Panel de Control-Programas y desinstala todos los programas que comiencen por "Adobe Flash Player". Navegadores en Mac OS X En la plataforma de Apple, Adobe proporciona dos plug-ins diferentes. Un NPAPI para Safari y Firefox y el mencionado PPAPI para Opera y Chrome. Para desinstalar estos plug-ins en un Mac, visita el sitio web de Adobe y descarga el programa de desinstalación del plugin Flash. Ejecute el programa de desinstalación para eliminar Flash desde tu Mac. Navegadores en Linux La desinstalación de Flash en Linux dependerá de la distribución y de la forma en la que se instaló. Para Ubuntu, Linux Mint o Debian que se instaló desde los repositorios de software, ejecuta los siguientes comandos en un terminal:- Para el plug-in NPAPI o Firefox: "sudo apt-get remove flashplugin-installer"- Para el plug-in PPAPI o Chromium: "sudo update-pepperflashplugin-no libre --uninstall" ¿Y si quiero volver a habilitar Flash? Todos los mecanismos indicados para desactivar Adobe Flash en los navegadores que lo incluyen integrado son reversibles, es decir se puede volver a habilitar Flash siguiendo el paso contrario. También en el caso de Firefox aunque Mozilla lo entregue desactivado por defecto. En el caso de los plug-in que ofrece Adobe directamente tendrás que volver a instalar el Flash Player.Muchos usuarios utilizan varios navegadores. Una opción versátil pasa por deshabilitar (o desinstalar) Adobe Flash en el navegador principal manteniéndolo en otro secundario. Adobe Flash es un problema de seguridad de talla mundial pero como decíamos aún es usado por millones de sitios web.
23 comentarios696 shares
15/07/2015Juan Ranchal
Las vulnerabilidades de software se han incrementado un 18% en 2014

Las vulnerabilidades de software se han incrementado un 18% en 2014

Los errores en el software, independientemente de que provengan de una aplicación o del propio sistema operativo, siempre han sido una fuente de ataques por parte de hackers y cibercriminales.En 2014 15.435 vulnerabilidades en 3.870 aplicaciones han sido descubiertas según un informe presentado por la empresa de investigación de vulnerabilidades Secunia. Estos números representan un incremento del 18% con respecto al año anterior, además de haber un 22% más de productos vulnerables.Kasper Lidegaard, Director en Seguridad e Investigación de Secunia, ha comentado que cada año ven un incremento en el número de vulnerabilidades descubiertas, haciendo hincapié en la necesidad de las organizaciones de estar al tanto de sus propios entornos. Por otro lado ha recalcado que los equipos de TI tienen que tener visibilidad completa de las aplicaciones que están en uso, además de que necesitan políticas y procedimientos firmes con el fin de hacer frente a las vulnerabilidades nada más ser descubiertas.El ranking de los productos más vulnerables sorprenderá a muchos, ya que está liderado por Google Chrome, con 504 vulnerabilidades, seguido del sistema operativo Oracle Solaris, el veterano sistema operativo Unix, con 483. En tercer lugar se sitúa la distribución Gentoo Linux con 350 y cuarto el defenestrado Internet Explorer, con 259. OS X, el sistema operativo de Apple para sus Macs, ha sido decimotercero con 147, mientras que Windows 8 ocupa el vigésimo lugar con 105.Mirando el apartado The Top 50 Prortfolio, se puede ver que 1.348 vulnerabilidades han sido detectadas en 18 productos. Sin embargo es interesante ver que el 77% de la vulnerabilidades no afectaban a productos de Microsoft. De hecho solo se encontraron un 2% de las vulnerabilidades totales en Windows 7 y un 21 en aplicaciones de Microsoft.Sobre el Open Source, el informe destaca que las aplicaciones y las bibliotecas pueden ser agrupados en una gran variedad de productos e instalados en contextos diferentes, que condicionan la manera en que un software de código abierto puede ser más o menos vulnerable.También hay buenas noticias, ya que el pasado año el 83% de las 15.435 vulnerabilidades fueron parcheadas en el mismo día que fueron descubiertas, representando una gran mejora con respecto 2012, año en el cual solo el 49,9% fueron parcheado en el mismo día.Fuente | BetaNews Más información | Secunia
5 comentarios410 shares
25/03/2015Eduardo Medina
Google amplía el periodo de divulgación de vulnerabilidades de Project Zero

Google amplía el periodo de divulgación de vulnerabilidades de Project Zero

Google ha ampliado el periodo de divulgación de vulnerabilidades de su departamento de seguridad Project Zero, después de la polémica generada por la publicación de vulnerabilidades Zero Day en Windows que no habían sido parcheadas.El último "ajuste en su política de divulgación" aumenta bajo un periodo de gracia en 14 días, los 90 oficiales fijados en las políticas de divulgación de Project Zero una vez que Google ha informado al productor del software de la misma y si se informa a Google de la publicación del parche en el periodo.Además, se reserva una posible ampliación del plazo dependiendo del tipo de vulnerabilidad “en el deseo de mejorar los tiempos de respuesta de la industria a los errores de seguridad”. Google explica que cualquier vulnerabilidad que divulgue tendrá que tener asignada una CVE, estándar industrial para la identificación exclusiva de vulnerabilidades. En respuesta a las críticas de Microsoft de la utilización de estas vulnerabilidades como medida de presión a competidores, desde Project Zero recuerdan que los errores en los productos de Google (Chrome y Android) están sujetos a la misma política de plazos.Plazos que se relajan pero que no cierran el debate. Unos consideran que publicar vulnerabilidades críticas sin parchear es una irresponsabilidad y otros opinan que poner un plazo es la única forma para que los desarrolladores las solucionen.Google no es la única gran compañía de tecnología con plazos de divulgación. La iniciativa Zero Day de HP tiene un periodo de 120 días, mientras que el Instituto de Ingeniería de Software de la Universidad Carnegie Mellon, tiene un plazo de 45 días.Este tipo de política de plazos pretende asegurar que los proveedores no mantienen vulnerabilidades sin parchear durante meses o años en algunos casos. Y no se libra ninguna, ni siquiera el impulsor de Project Zero: Google.
24 comentarios162 shares
17/02/2015Juan Ranchal
Google pasa de Microsoft y publica otra vulnerabilidad en Windows sin parchear

Google pasa de Microsoft y publica otra vulnerabilidad en Windows sin parchear

Google "pasa" de las críticas de Microsoft y ha publicado una segunda vulnerabilidad en Windows todavía no parcheada por Microsoft, una vez pasado el plazo de 90 días fijado en las políticas de divulgación de Project Zero.Las duras críticas del responsable del Centro de respuesta de seguridad de Microsoft, Chris Betz, por la publicación de una vulnerabilidad Zero Day (para la que no se conoce solución) que permitía eventualmente una elevación de privilegios y el control de equipos con Windows 8.1, no ha hecho cambiar las normas de Google en su servicio Project Zero en cuanto a revelar vulnerabilidades encontradas, tres meses después de haber informado a la compañía afectada. La primera vulnerabilidad ha sido parcheada esta misma semana en el boletín de seguridad mensual pero una segunda presentada retoma la polémica. Dicen desde Google que "Microsoft les informó que esta segunda vulnerabilidad también iba a ser parcheada en el boletín pero tuvo que ser aplazada por un problema de compatibilidad". La vulnerabilidad reside en el cifrado de memoria de la función CryptProtectMemory. Afecta a sistemas con Windows 7 y Windows 8.1 y no sabemos su alcance y gravedad.El parche llegará en el boletín de febrero pero Google ha dejado claro que no variará sus políticas de divulgación de vulnerabilidades, estén o no parcheadas. Conviene indicar que Google invierte dinero en Project Zero para encontrar vulnerabilidades en todo tipo de software e informa de ellos a los fabricantes lo que siempre es positivo. La cuestión a aclarar es si lo hace es por el bien de la seguridad de los usuarios o para meter presión a los competidores como criticó el ejecutivo de Microsoft.El debate continúa. ¿Es una irresponsabilidad de Google revelar vulnerabilidades sin parchear? ¿90 días deberían ser suficientes para que Microsoft parchee este tipo de vulnerabilidades? ¿Google debería esperar a la publicación del parche más allá del periodo fijado o es la única manera que se corrijan en un tiempo determinado? Tú opinas. 
64 comentarios844 shares
16/01/2015Juan Ranchal
Destierra Internet Explorer si usas Windows XP

Destierra Internet Explorer si usas Windows XP

Los usuarios de Windows XP deben reemplazar con urgencia Internet Explorer por navegadores web alternativos como Chrome, Firefox u Opera, explican desde la consultora Qualis. La recomendación viene al hilo de la publicación por Microsoft del boletín de seguridad de julio, resolviendo hasta 29 vulnerabilidades, un buen número de ellas para parchear los Internet Explorer.Windows XP no los ha recibido una vez finalizado el soporte técnico y con ello, su situación se asemeja a un queso gruyere, cada vez con más agujeros.La recomendación general sigue siendo actualizar el equipo a Windows 7/Windows 8 si el hardware lo permite o puede ser mejorado, actualizar a Linux con distribuciones ligeras que permitan aprovechar el sistema o comprar un equipo nuevo con cualquiera de los sistemas anteriores o a los Mac de Apple.Si no puedes/quieres optar por las opciones anteriores, la alternativa es mantener XP pero asegurándolo lo máximo posible, por ejemplo siguiendo algunas de las guías que te hemos ofrecido y que contemplan el destierro de los Internet Explorer a favor de Firefox, Chrome u Opera.La última versión del navegador web permitido en Windows XP es Internet Explorer 8 y muchos equipos corporativos todavía mantienen IE 6 'exploiter'. Destierra Internet Explorer y valora la retirada del soporte de Java a Windows XP lo que debería suponer para cualquier usuario de XP preocupado por la seguridad la retirada del sistema.Recordar que las múltiples vulnerabilidades del Java de Oracle o el Flash de Adobe son la base de la mayoría de desarrollos maliciosos para sistemas Windows.
11 comentarios231 shares
10/07/2014Juan Ranchal
Microsoft pagará por hackear Windows 8.1 o IE 11

Microsoft pagará por hackear Windows 8.1 o IE 11

Hasta 100.000 dólares pagará Microsoft al hacker, investigador o aficionado que sea capaz de descubrir y explotar una vulnerabilidad en la próxima versión del sistema operativo Windows 8.1 Preview, que será publicada la semana próxima en la BUILD 2013.Se trata de un programa de recompensas iniciado por Microsoft para aumentar la seguridad de su software y servicios mediante la participación de personal externo.Una estrategia que ya siguen con éxito otras firmas como Google o Mozilla y que en el caso de Microsoft se concretan en los programas:Mitigation Bypass Bounty: Hasta 100.000 dólares por nuevas técnicas de explotación contra las protecciones incorporadas en la última versión del sistema operativo Windows 8.1 Preview.BlueHat Bonus for Defense: Hasta 50.000 dólares por ideas y tecnologías defensivas para ayudar a proteger a los más de mil millones de sistemas informáticos en todo el mundo.Internet Explorer 11 Preview Bug Bounty: Hasta 11.000 dólares por revelar vulnerabilidades críticas en la nueva versión del navegador web Internet Explorer 11 Preview que se publicará en el Windows 8.1 Preview.Si te animas a investigar tienes en este enlace toda la información del programa de recompensas de Microsoft.Fuera de este programa oficial, Microsoft ofrecerá una recompensa especial en la conferencia hacking Black Hat USA 2013 que se celebrará a finales de julio por hackear un portátil con Windows 8.1. El primero que pueda con ello se llevará 100.000 dólares y el portátil.
8 comentarios225 shares
20/06/2013Juan Ranchal
Cambia tu contraseña de Twitter y deshabilita Java

Cambia tu contraseña de Twitter y deshabilita Java

¿Por qué? Porque según informa Twitter en su blog oficial, a principios de semana la red social sufrió un ataque informático, ya superado, por el que se han comprometido más de 250.000 cuentas, incluyendo nombres de usuario, direcciones de correo electrónico y contraseñas.Al parecer, los atacantes, calificados por los responsables de Twitter de "extremadamente cuidadosos para pasar desapercibidos por los controles de seguridad”, ganaron acceso a los servidores a través de algún agujero de seguridad todavía sin determinar. A pesar de ello, recomiendan a todos los usuarios deshabilitar Java, pues se intuye una relación entre este suceso y los últimos ataques a diarios estadounidenses, que podrían estar relacionados con el plugin de Oracle, uno de los mayores coladeros del software contemporáneo.La recomendación de deshacerse de Java no solo la lanza Twitter. También hizo lo propio la Seguridad Nacional estadounidense hace un par de semanas. Por su parte, Mozilla y Apple han ido más allá, deshabilitando el complemento por defecto. Y es que por muchos parches que publiquen, Java sigue siendo un riesgo.En cuanto a Twitter, han avisado a todos los usuarios potencialmente afectados para que cambien su contraseña que, de hecho, ha sido reseteada en todos los casos. Aun así, dicen, la gran mayoría de contraseñas sustraídas se encontraban cifradas.En cualquier caso, la recomendación es extensible a todos los usuarios de la red social: si tienes cuenta en Twitter, cambia tu contraseña ya. Y deshabilita Java.
4 comentarios127 shares
02/02/2013J.Pomeyrol
X-Ray, escáner de vulnerabilidades para tu dispositivo Android

X-Ray, escáner de vulnerabilidades para tu dispositivo Android

Los smartphones son un dispositivo cada vez más utilizado y nuestros datos viajan a través de ellos, cada día más usuarios hacen transacciones bancarias, utilizan servicios en la nube, contraseñas, códigos, etc. Android es una gran plataforma móvil, pero sin embargo sufre el problema endémico de la fragmentación según las distintas versiones disponibles.Hoy día hay smartphones con Android Jelly Bean 4.1 y sin embargo aún nos encontramos con dispositivos recién comprados que hacen uso de Android 2.3.6 Gingerbread, con una vaga promesa actualización a ICS en el mejor de los casos.X-Ray no busca aplicaciones maliciosas sino un conjunto de vulnerabilidades conocidas en el núcleo del sistema operativo Android (algunos de los cuales se han utilizado como base para ataques y extensión de malware), informando al usuario de la misma.Muchos de los errores siguen sin reparar en los dispositivos Android vendidos por las grandes compañías, y el usuario medio, no técnico, es probable que tenga poca idea de que estas vulnerabilidades existen o qué se puede hacer con ellas. “Los autores de malware móvil han aprovechado el hecho de que esas vulnerabilidades sin parchear tienen meses de antiguedad debido a las prácticas conservadoras del soporte de seguridad. Esperamos que el X-Ray aumente la conciencia del usuario sobre la seguridad de sus dispositivos móviles y ejerza presión sobre las compañías para aumentar su política de actualización de sus terminales" Alguna de ellas como la conocida como ‘GingerBreak bug’ permite escalada de privilegios y está presente desde el pasado año en terminales con Android 2.3, una versión todavía utilizada por millones de terminales. Puedes descargar X-Ray gratuitamente y conocer en más detalle su funcionamiento desde MuySeguridad.net. 
1 comentario29 shares
24/07/2012Jesús Maturana
Paquete de actualizaciones Windows de mayo 2012 en detalle

Paquete de actualizaciones Windows de mayo 2012 en detalle

Microsoft acaba de publicar su boletín de seguridad mensual correspondiente de este mes de mayo. En él se encuentran actualizaciones de software que resuelven 6 vulnerabilidades y problemas comunes en Word, Microsoft Windows, Microsoft Office, .NET y Microsoft Visio Viewer 2010, además de vulnerabilidades en el protocolo TCP/IP y administrador de particiones de Windows.Los parches de seguridad pueden descargarse automáticamente desde Windows Update y desde MSDN. Como de costumbre, Microsoft recomienda actualizar sistemas a la mayor brevedad. Las vulnerabilidades corregidas son:MS12-029. Una vulnerabilidad en Microsoft Word podría permitir la ejecución remota de código (2680352). Vulnerabilidad Crítica. MS12-034. Actualización de seguridad combinada para Microsoft Office, Windows, .NET Framework y Silverlight (2681578). Vulnerabilidad Crítica. MS12-035. Vulnerabilidades en .NET Framework podrían permitir la ejecución remota de código (2693777). Vulnerabilidad Crítica. MS12-030. Vulnerabilidades en Microsoft Office podrían permitir la ejecución remota de código (2663830). Vulnerabilidad Importante. MS12-031. Una vulnerabilidad en Microsoft Visio Viewer 2010 podría permitir la ejecución remota de código (2597981). Vulnerabilidad Importante. MS12-032. Una vulnerabilidad en TCP/IP podría permitir la elevación de privilegios (2688338). Vulnerabilidad Importante. MS12-033. Una vulnerabilidad en el Administrador de partición de Windows podría permitir la elevación de privilegios (2690533). Vulnerabilidad Importante.Puedes ver en detalle la solución de las vulnerabilidades así como el paquete de actualizaciones en MuySeguridad.net.
1 comentario29 shares
09/05/2012Jesús Maturana
[ ]