Mostrando entradas con la etiqueta vulnerabilidades. Mostrar todas las entradas
Mostrando entradas con la etiqueta vulnerabilidades. Mostrar todas las entradas

viernes, 12 de diciembre de 2014

Publicada Norma española UNE/ISO/IEC 27001: 2014.




AENOR ha publicado la traducción oficial en español de la Norma ISO 27001 "Sistema de Gestión de la Seguridad de la Información - Requisitos" (SGSI).
Esta norma ha sido elaborada por el comité técnico "AEN/CTN 71 Tecnología de la Información" y es idéntica a la Norma Internacional publicada hace exactamente un
                                                                                    año.

martes, 10 de diciembre de 2013

Hackers famosos.

1.- Stephen Wozniak                

“Woz” es el co-fundador de Apple, él y Steve Jobs fueron los creadores de Apple. Wozniak fundó Apple Computer junto con Steve Jobs en 1976 y creó los ordenadores Apple I y Apple II a mediados de los años setenta. Fue premiado con la Medalla Nacional de Tecnologia así como doctorados honorarios de la Kettering Universitiy y de la Nova Southeastern University, además fué nombrado para el Salón de la Fama de los Inventores del País, en Septiembre del año 2000.

Woz empezó a hackear haciendo cajas azules (blue boxes) las cuales lograban imitar los sonidos del teléfono de ésa época logrando así llamadas gratuitas de larga distancia. Después de leer un artículo de “phone preaking”, llamó a su amigo Steve Jobs, y los dos investigaron sobre frequencias, luego construyeron y vendieron “blue boxes” a sus compañeros de clase.

En 1975, Woz abandonó la Universidad de California, Berkeley (aunque él acabaría su carrera en Ingeniería Informática en 1986) y se dedicó a la computadora que lo hizo famoso, Jobs tuvo la idea de vender la computadora como un tablero completo. Los dos amigos vendieron un prototipo de una calculadora científica para tener capital, y trabajaron en hacer prototipos en el garage de Steve Jobs. Wozniak diseñó el hardware y casi todo el software. Y vendieron las primeras 100 Apple I a un comprador local por $ 666.66 dólares cada una.

Woz ahora convertido en filantropo se dedica a apoyar a las escuelas o comunidades educativas con escasos recursos proveyéndoles de tecnología de ultima generación.

martes, 12 de noviembre de 2013

Google ya no ofrece soporte para Internet Explorer 9.


El navegador web Internet Explorer 9 de Microsoft ya no está en las prioridades de apoyo y seguridad de Google. Si bien no se trata de un explorador muerto, todavía hay varios usuarios y Microsoft ofrece soporte para sus problemas y fallas, Google ha decidido que sus aplicaciones ya no funcionarán en dicha plataforma.

La última versión del navegador es Internet Explorer 11, y Google seguirá ofreciendo aplicaciones y soporte para Explorer 10 y 11, pero podemos ir diciendo adiós a IE 9 porque el buscador más utilizado del mundo ya no ofrecerá compatibilidad con sus nuevas herramientas, lo que implica más vulnerabilidad y errores a la hora de cargar determinados componentes.



Los usuarios de Windows 8 y 8.1 ya tienen instalada la versión 10 u 11 del navegador, pero para aquellos que hayan desactivado las actualizaciones automáticas, pueden descargar la versión directamente desde el sitio web de Microsoft.



Si de todas formas prefieres seguir usando Internet Explorer 9, estás en todo tu derecho, solo que pronto empezarás a perderte determinados elementos de la nueva Web y ni siquiera te darás cuenta. O quizás aparezcan mensajes advirtiendo que la carga de elementos específicos ha fallado, depende de la identificación que haga el navegador de los componentes de una página.


miércoles, 12 de junio de 2013

Una brecha de seguridad en Instagram permite robar cualquier cuenta de usuario

Un atacante podría acceder a cualquier cuenta de Instagram sin permiso de sus propietarios mediante el protocolo OAuth, según cuenta la Oficina de Seguridad del Internauta (OSI) en su boletín de noticias, y allí tener acceso a información privada, borrarla y publicar o eliminar fotos y comentarios.

El fallo ha sido desvelado por Nir Goldshager en un post titulado “Cómo hackeé cuentas de Instagram”, donde lo detalla en un vídeo.
Goldslhager, que ya descubrió en su día brechas de seguridad en Facebook, explica que, movido por su propia pasión por la red social de fotos de cafés, comida y gatitos, se decidió a explorar la seguridad de la misma cuando fue adquirida por la compañía de Zuckerberg.
 
Fue entonces cuando descubrió que existen dos posibilidades de acceso a las cuentas de usuarios de Instagram: explotando un fallo del protocolo OAuth en Instagram o robando la sesión a través de ese mismo protocolo pero en Facebook. Esta segunda forma ha sido solucionada por el equipo de seguridad de Facebook tras ser alertado de ella, informan en el blog de Protegerse.com.
 
OAuth, explica la OSI, es “un protocolo abierto que proporciona una manera estándar de acceder a los datos protegidos para aplicaciones de escritorio, móviles y web y que proporciona a los usuarios acceso a sus datos al mismo tiempo que protege las credenciales de la cuenta”.
 
Ante la falta de respuesta por parte de Instagram hasta el momento, la OSI asegura que la única opción de los usuarios para asegurar su privacidad es desactivar su cuenta en esta red social. La medida implicaría perder toda la información publicada en la plataforma, así que “el usuario tendrá que valorar en función de la información personal que tiene vinculada en su cuenta si asume el riesgo o no”, añade.
 
La OSI recomienda también “extremar la precaución con aplicaciones de terceros que accedan a nuestra cuenta de Instagram, independientemente de que dichas aplicaciones aseguren un acceso limitado a nuestros datos”.





lunes, 10 de junio de 2013

La Policía Nacional se anota un tanto al 'cazar' a un peligroso hacker ruso

El rastro de un ‘nick’ en internet fue la prueba que condujo a la policía a la detención, mientras disfrutaba de sus vacaciones en Dubai, del cabecilla de la red de piratas informáticos que ha puesto en jaque a medio mundo con un virus que pasará a la historia por su complejidad y creatividad técnica e inteligencia operativa. También por su nombre: el ‘virus de la policía’, un ‘ransomware’ que bloqueaba los equipos y multaba fraudulentamente a los usuarios -por supuestos usos ilegales de la red o descargas prohibidas- en nombre de las distintas instituciones policiales del mundo.

Detrás de ese ‘nick’, cuyo nombre no ha trascendido porque aún podría poner en riesgo las investigaciones en marcha, se esconde un joven ruso de 27 años que llevaba operando muchos años en los circuitos de la ciberdelincuencia. Estaba muy involucrado en el mundo ‘underground’ y en las redes de foros frecuentados por ‘hackers’ que, por supuesto, no aparecen en Google. 

El joven ruso, que estaba acostumbrado a un alto nivel de vida, ha sido identificado como el codificador y principal difusor del virus. Ahora mismo, se está tramitando su orden de extradición a España, donde será juzgado
.Geolocalización a través de IP´s

Uno de los elementos del virus que demuestran la creatividad y vocación global con la que había sido diseñado es la incorporación de una carpeta de geolocalización por IP´s en el código del 'malware'. Es decir, si un usuario infectado se conectaba desde Estados Unidos, en su pantalla aparecía el logotipo del FBI reclamando la multa ficticia. Si lo hacía desde Alemania, la Bundespolizei. Desde Inglaterra, Scotland Yard. Desde España, la Policía Nacional. Y así en un total de 22 países.


“Hemos visto el código fuente del virus. Está muy bien hecho. Pocas personas pueden hacer algo así. Era una de las mayores organizaciones que operaban a nivel internacional. Aunque nunca se puede decir que se haya desmantelado; siempre puede haber alguien de un peldaño más bajo, de segunda o tercera línea, que cree de nuevo la plataforma”, explica a Teknautas José Rodríguez, responsable del Grupo Seguridad Lógica de la Brigada de Investigaciones Tecnológicas (BIT) de la Policía Nacional, el grupo policial que ha dirigido esta investigación internacional, en perfecta coordinación -y con el apoyo- de jueces y fiscales a la hora de tipificar los delitos y confiar en esta delicada operación, bautizada como ‘Ransom’.


Además de sus capacidades de geolocalización, 'el troyano' estaba dotado de una capacidad de mutación a través de la que se mostraban continuamente nuevas instituciones a la hora de reclamar las multas fraudulentas a los usuarios. En España, uno de esos organismos era la SGAE, aunque en este caso los ‘hackers’ no obtuvieron grandes resultados. Nadie temía las multas de la SGAE.




martes, 21 de mayo de 2013

Una tercera parte de las empresas se arriesga a fugas de datos por no controlar los dispositivos móviles de sus empleados


La moda de llevar los dispositivos móviles personales a la oficina e integrarlos en las tareas laborales diarias (esto es, BYOD) se está convirtiendo cada vez más en una realidad. Pero lo que en gran medida puede suponer una ventaja para las empresas a nivel de productividad y ahorro de costes, también se está traduciendo en dolor de cabeza supremo.

Y es que parece que las organizaciones todavía no están preparadas para gestionar este cambio de paradigmas y mantener a raya las fugas de datos.

Según una encuesta elaborada por Kaspersky Lab y B2B International entre 5.000 directores de TI, un 34% de las compañías mundiales no emplea soluciones adecuadas para gestionar smartphones y tablets PC. Y, lo que es más, en los planes del 15% de ellas tampoco entra implementarlas en el futuro.

Si a esto se le suma que las amenazas móviles han aumentado de forma espectacular durante los últimos años, especialmente aquellas pensadas para infectar terminales con sistema operativo Android, el más popular de todos, el problema se agrava.

“Si la compañía no regula el acceso de smartphones y tabletas personales a la infraestructura corporativa es sólo cuestión de tiempo que la información empiece a filtrarse del sistema”, explican desde Kaspersky. “La fuga podría darse por una infección de malware o por un empleado que pierda su teléfono, el resultado es el mismo, los datos se pierden, o peor, caen en las manos equivocadas”.

¿La solución? Obviamente cambiar el chip e implementar soluciones de gestión móvil integral, empujando los porcentajes actuales de adopción hacia arriba. Éstos se sitúan ahora mismo en un 28% de compañías que sí usan esa clase de herramientas y un 29% que sólo aplican medidas parciales

miércoles, 15 de mayo de 2013

Uno de los mayores ciberrobos bancarios afecta a 27 países


En uno de los mayores robos bancarios de la historia, una red global de ciberdelincuentes ha conseguido 45 millones de dólares (unos 34 millones de euros) de dos bancos de Oriente Próximos al vulnerar la seguridad de unas empresas de procesamiento de tarjetas de crédito y retirar dinero de cajeros automáticos en 27 países, según han asegurado este jueves fiscales de Estados Unidos.

El Departamento de Justicia de Estados Unidos ha acusado a ocho hombres de formar supuestamente una célula de la organización con sede en Nueva York y siete de ellos han sido arrestados. El octavo.Alberto Yusi, de 23 años y supuestamente el líder de la célula, habría sido asesinado en República Dominicana el pasado 27 de abril.

Se cree que los cabecillas de la red están fuera de Estados Unidos, pero los fiscales han rehusado dar más detalles, citando a la investigación en progreso.
Lo que está claro es el amplio alcance y velocidad de los crímenes: en uno de los ataques, en sólo 10 horas, 40 millones de dólares (30 millones de euros) fueron retirados desde cajeros automáticos en 24 países en 36.000 transacciones.
En lugar de armas y máscaras, esta organización cibercriminal utilizó ordenadores e Internet", ha dicho la fiscal del Distrito Este de Nueva York, Loretta Lynch, en una conferencia de prensa. "Moviéndose tan rápido como los datos en Internet, la organización se hizo camino desde los sistemas informáticos de corporaciones internacionales a las calles de Nueva York", ha agregado.
 
El caso demuestra la gran amenaza que el cibercrimen representa para los bancos de todo el mundo. También muestra como las bandas criminales se han vuelto cada vez más internacionales y sofisticadas, especialmente aquellas que utilizan Internet.
 
Los fiscales han destacado la "precisión de cirujanos" de los piratas informáticos, la naturaleza global de su organización, y la velocidad y coordinación con la que ejecutaron las operaciones en 27 países.
 
Según la demanda, la banda violó la seguridad de los ordenadores de dos compañías procesadoras de tarjetas de crédito, una en India en diciembre de 2012 y otra en Estados Unidos el pasado mes de febrero. Las compañías no fueron identificadas

Desde  Seccion 9 vemos con estupor , que la realidad supera la ciencia Ficción .
Vosotros que opináis ?? 

jueves, 18 de abril de 2013

Más de 100 sitios argentinos atacados por Anonymous #OPFuckGobierno


Durante el día  se ha lanzado una nueva #OPFuckGobierno por parte de Anonymous, atacando más de 100 sitios gubernamentales GOB.AR y de grandes empresas privadas de Argentina, en una operación de ataques de DDoS y Defacing.


miércoles, 10 de abril de 2013

Anonymous inicia ataque masivo contra sitios web de propaganda al Gobierno norcoreano



A sólo algunas horas que el ejército norcoreano haya anunciado tener autorización iniciar un ataque nuclear contra EEUU, los hackers de Anonymous rompieron el sistema de seguridad de Uriminzokkiri, uno de los sitios web más conocidos en Corea del Norte, dedicado a difundir propaganda a favor del Gobierno de Kim Jon 

Pero el ataque no fue sólo contra el sitio en sí, ya que además sus cuentas en Twitter https://twitter.com/uriminzok y Flickr http://www.flickr.com/photos/uriminzokkiri/ también fueron parte del ataque.

Asimismo, otros sitios similares como ournation-school.com, aindf.com, ryomyong.com, uriminzokkiri.com/itv y ryugyongclip.com a esta hora se encuentran sin acceso.



jueves, 14 de marzo de 2013

Otras de sus finalidades son paliar la infame brecha digital entre países y generaciones de internautas, promover el diálogo entre los diferentes sectores implicados y proteger a jóvenes y menores de edad.


Y es que los propietarios de los modernos dispositivos conectados deben concienciarse y mantener “unos hábitos seguros con los que evitar los virus más maliciosos y las estafas más comunes en la red”, comentan desde la compañía.

En primer lugar, se debe tener especial cuidado a la hora de abrir archivos adjuntos enviados por correo electrónico, escaneando todos los e-mails que parezcan sospechosos o hayan sido remitidos por personas desconocidas. Además, como práctica general, no se debe responder a correos automáticos no solicitados ni hacer clic en el link incluido en el cuerpo del mensaje para darse de baja de una supuesta subscripción. “Esto le avisa al spammer de que el correo ha sido abierto y leído, lo cual te convierte en un blanco más fácil en el futuro”, explican los expertos.

También en relación a lo mensajes por correo, se advierte del peligro de abrir enlances con solicitudes sospechosas, de comprar productos o servicios anunciados a través de spam o de responder a mensajes que soliciten datos confidenciales. Simplemente se debe eliminar el correo de la bandeja de entrada y recordar que, por ejemplo, entidades como un banco no tienen por práctica enviar e-mails reclamando información personal a sus clientes.

Para mantener los ataques de ciberdelincuencia a raya es importante crear contraseñas complejas que no puedan ser adivinadas fácilmente y que sean diferentes para cada cuenta. Y nunca, nunca, guardar una clave de acceso a sitios web en ordenadores de terceros. En caso de que se esté usando un ordenador propio, el dueño debe asegurarse de protegerlo cada vez que se aleja de él para que nadie más tenga acceso a sus archivo

La misma recomendación se aplica a los omnipresentes smartphones, que “son básicamente ordenadores pequeños, con capacidad similar de conectividad, memoria y almacenamiento de información personal” y se pueden configurar en modo de auto-bloqueo automático después de un minuto. Esto deriva en un duodécimo consejo: “úsalos sabiamente”.




lunes, 11 de febrero de 2013

Microsoft soluciona un problema crítico en Internet Explorer

 

Microsoft ha anunciado el lanzamiento de un parche de seguridad especial destinado a solventar un problema de seguridad crítico identificado en Internet Explorer. El fallo afecta a las versiones de Internet Explorer desde la 6 hasta la 8, pero no a las últimas lanzadas por la compañía.

Microsoft acostumbra a lanzar parches de seguridad para sus productos durante la primera o la segunda semana de cada mes. Se trata de boletines de seguridad que solucionan distintos problemas, tanto en los distintos tipos de Windows como en otros productos como Windows Media o Internet Explorer. Sin embargo, la compañía no duda en lanzar soluciones especiales en los casos en los que identifica un problema grave.

Uno de estos casos especiales se ha producido con un fallo que afecta a versiones antiguas de Internet Explorer. En concreto, las versiones de la 6 a la 8 del navegador son las afectadas. El problema parece un exploit de día cero que permitiría la ejecución remota de código sin autorización.

Desde Microsoft han asegurado que por ahora solo han comprobado que el fallo ha afectado a "un número limitado de clientes", pero pese a ello se ha trabajado para ofrecer una solución inmediata. De esta manera, la compañía se dispone a lanzar el parche, que afecta a las versiones citadas de su navegador. Microsoft ha dejado claro que Internet Explorer 9 y 10 no están afectadas por este problema.

La compañía ha recomendado que los usuarios que utilicen versiones anteriores de su navegador actualicen con la mayor prontitud posible, a fin de evitar problemas. Como es habitual, la actualización estará disponible a través de Windows Update en las próximas horas.

viernes, 1 de febrero de 2013

10 consejos para usar el móvil y la tableta de forma segura

 

Los smartphones y las tablets son unos dispositivos repletos de funciones que están cargados de información, tanto personal como relacionada con el trabajo. Resultan muy convenientes para acceder a Internet desde cualquier parte y en ellos se pueden instalar todo tipo de aplicaciones para el ocio y para los negocios. Más de las mitad de los usuarios de teléfonos móviles tienen un smartphone y hay una tablet en un tercio de los hogares. Por eso, cada vez es más necesario tomar una serie de medidas de seguridad.

1) Cambiar los códigos que vienen por defecto, incluyendo el código de bloqueo del dispositivo y el número PIN de la tarjeta SIM, es la primera medida. Siempre que sea posible, hay que configurar el móvil o la tablet para que solicite una contraseña o una clave para desbloquearlo.

2) Tanto el sistema operativo, el antivirus y el resto de las aplicaciones deben mantenerse bien actualizados. Para una mayor comodidad se puede establecer que esta operación se realice de modo automático.

3) Descargar aplicaciones y juegos únicamente de fuentes fiables y con buena reputación. Una buena medida es recurrir a tiendas oficiales como Apple App Store, Google Play, Windows Phone Store o Nokia Store.

4) En el momento de instalar cualquier software en el dispositivo móvil hay que estar atentos a los permisos concedidos a cada una de las aplicaciones. Es aconsejable leer las condiciones y las políticas de privacidad con cuidado antes de aceptarlas.

5) Hacer copias de seguridad de todos los datos del dispositivo móvil con frecuencia es una medida que evita muchos disgustos.

6) Las compras dentro de las aplicaciones resultan cómodas, pero pueden salir muy caras. Para evitar tentaciones, muchos dispositivos móviles permiten desactivarlas; es una medida casi imprescindible si el usuario es un niño o un adolescente.

7) Cuando el smartphone o la tablet ofrezcan la posibilidad de cifrar los datos, conviene activarla. De esa forma, si el dispositivo móvil cae en manos ajenas, la información estará más protegida.

8) En caso de robo o pérdida, hay que contactar enseguida con el operador móvil para que dé de baja esa tarjeta SIM. También es recomendable comunicar el número IMEI para que entre en la lista negra de dispositivos robados y no pueda utilizarse con otros operadores ni en otros países.

9) Existen aplicaciones y servicios que permiten rastrear los dispositivos móviles robados o extraviados y realizar el borrado remoto de los datos.

10) Antes de retirar o regalar un dispositivo móvil, es esencial borrar toda la información personal, sin olvidar la tarjeta SIM y las tarjetas de memoria. Además hay que restaurar la configuración original de fábrica.

lunes, 10 de diciembre de 2012

Desbordamiento de buffer en el manejo de imágenes GIF en Opera.

 

Kaveh Ghaemmaghami ha descubierto una vulnerabilidad en Opera, que puede ser explotada por usuarios maliciosos que pueden llegar a comprometer el sistema del usuario.

La vulnerabilidad es debida a un error al descodificar los datos de imagen y puede ser explotado para provocar un desbordamiento de buffer a través de una imagen GIF especialmente diseñado.

Explotar satisfactoriamente esta vulnerabilidad puede permitir la ejecución de código arbitrario.

La vulnerabilidad afecta a la versión 12.11 Build 1661. Otras versiones también pueden verse afectadas.

martes, 4 de diciembre de 2012

Múltiples vulnerabilidades en Mozilla Firefox y Thunderbird.

 

Se han publicado múltiples vulnerabilidades en Mozilla Firefox y Mozilla Thunderbird, que pueden ser explotadas por usuarios maliciosos para saltarse restricciones de seguridad, realizar ataques de cross-site scripting y comprometer el sistema de un usuario.

1) Varios errores sin especificar en el motor del navegador pueden ser explotados para corromper la memoria.

2) Un error en la función "image:: :: RasterImage DrawFrameTo ()" al representar imágenes GIF puede ser explotado para provocar un desbordamiento de buffer.

3) Un error en la función "evalInSandbox ()" al manejar la propiedad "location.href" puede ser aprovechado para evitar la sandbox.

4) Un error al manipular texto SVG al establecer las propiedades CSS puede ser explotado para corromper la memoria.

5) Las URLs "javascript:" abiertas en una página de pestaña nueva heredan los privilegios de la pagina "new tab" y pueden ser explotadas para, por ejemplo, ejecutar programas instalados localmente.

6) Un error de desbordamiento de enteros en la función "str_unescape ()" puede ser explotado para causar un desbordamiento de buffer.

7) Los objetos "XMLHttpRequest" creados dentro de la sandbox son creados con el sistema principal en lugar del sanbox principal y puede ser explotado para, por ejemplo, dirigir ataques “cross-site request forgery”.

8) Un error al manipular la XrayWrappers puede ser explotado para revelar  propiedades sólo chrome.

9) Un error dentro de ciertos “wrappers” puede ser explotado para evitar la política de un mismo origen y realizar ataques de cross-site scripting.

10) Un error al manejar la codificación del conjunto de caracteres HZ-GB-2312 puede ser explotado para realizar ataques de cross-site scripting.

11) La barra de herramientas del desarrollador permite ejecutar script en contexto privilegiado de Chrome.

12) Un error puede ser explotado al manejar el objeto "location" para ocultar la propiedad.

13) Un error dentro del inspector de estilo cuando se parsean las hojas de estilo puedes ser utilizado para ejecutar código HTML y CSS en el contexto privilegiado de Chrome.

14) Algunos errores de uso después de liberación existen dentro de la funciones "nsTextEditorState :: PrepareEditor ()", "nsPlaintextEditor :: FireClipboardEvent ()", "gfxFont :: GetFontEntry ()", "nsTextEditorState :: PrepareEditor ()", "XPCWrappedNative :: Mark () "," nsEditor :: FindNextLeafNode () "," nsViewManager :: ProcessPendingUpdates () ", y" BuildTextRunsScanner :: BreakSink :: SetBreaks ()".

15) Algunos errores en la función "NSWindow :: OnExposeEvent ()" y "gfxShapedWord CompressedGlyph :: :: IsClusterStart ()" puede ser explotado para causar desbordamientos de buffer.

16) Un error de uso después de liberación al cargar el archivo html.

17) Un error sin especificar en determinadas llamadas texImage2D puede ser explotado para corromper la memoria.

18) Un error de desbordamiento de enteros al manipular el bufferdata WebGL.

19) Un error en la manipulación de la imagen copyTexImage2D puede ser explotado para corromper la memoria.

viernes, 23 de noviembre de 2012

Múltiples vulnerabilidades en Apple Quick Time.

 

Se han publicado múltiples vulnerabilidades en Apple QuickTime, que pueden ser explotadas por usuarios maliciosos para comprometer el sistema.

1) Error de límite al procesar un archivo PICT puede ser explotado para causar un desbordamiento de buffer.

2) Error al procesar un archivo PICT puede ser explotado para corromper la memoria.

3) Error de uso después de liberación en el complemento al manejar parámetros "_qtactivex_" dentro de un objeto HTML.

4) Error de límite al manejar el atributo de transformación de elementos "text3GTrack" puede ser explotado para causar un desbordamiento de buffer a través de un archivo TeXML especialmente diseñado.

5) Algunos errores al procesar archivos TeXML pueden ser explotados para causar un desbordamiento de buffer.

6) Error de límite al manejar ciertos tipos MIME dentro de un plug-in puede ser explotado para causar un desbordamiento de buffer.

7) Error de uso después de liberación en el control ActiveX al manejar el método "Clear ()".

8) Error de límite al procesar un archivo Targa puede ser explotado para causar un desbordamiento de buffer.

9) Error de límite al procesar la caja "RNET" dentro de archivos MP4 puede ser explotado para causar un desbordamiento de buffer.

Las vulnerabilidades afectan a versiones anteriores a 7.7.3.

viernes, 16 de noviembre de 2012

Microsoft ha solucionado un problema de seguridad en su servicio de correo electrónico que permitía la apropiación de cuentas de usuarios en todo el mundo.

 

Un grave problema de seguridad en Hotmail ha logrado comprometer, hasta 13 millones cuentas de correo electrónico de usuarios del popular servicio.

La vulnerabilidad considerada de caracter crítico permitía a los hackers restablecer las contraseñas de las cuentas, bloqueando el acceso a sus legitimos dueños y apropiandose de todos los datos contenidos en correos electrónicos.

El agujero de seguridad se encontraba en el sistema de restablecimiento de contraseñas de Hotmail por lo que tras manipularlo se lograba engañar al sistema logrando el atacante obtener el acceso y evitando que lo hicera su propietario.

La reacción de Microsoft solucionando dicha vulnerabilidad ha evitado que el problema, con un impacto potencial de 350 millones de usuarios en todo el mundo, aun fuera mayor de lo que ha sido.

Pese a todo, algunas cuentas Hotmail se han visto afectadas por el ataque, por lo que se ha creado un sencillo metodo para comprobarlo. Interesados en saber si su cuenta ha sido hackeada con este último ataque simplemente deben intentar acceder a su cuenta Hotmail desde https://login.live.com y si no pueden hacerlo casi con total certeza que han sido víctima del mencionado ataque. En Sección 9 Seguridad, os aconsejamos que sigáis el enlace.

Para recuperar nuestra cuenta debemos acceder al ya actualizado sistema de restablecimiento de contraseñas de Hotmail y desde allí seguir los pasos indicados.

miércoles, 31 de octubre de 2012

Firefox 16.0.2 soluciona bug crítico

 

Mozilla lanzó una nueva revisión menor para su navegador web Firefox 16.0.2. La razón de esta actualización es un fallo de seguridad crítico relacionado con el objeto "Location" que permitiría ejecución de código en el sistema, sin interacción con el usuario.

Esta vulnerabilidad consistía en el hecho de que el verdadero valor de "window.location", que contiene detalles sobre la dirección URL del documento y ofrece la posibilidad de cambiarla, puede ser ofuscado por el contenido de usuario. Combinado con algunos plugins, se podría lanzar un ataque XSS contra el usuario.

viernes, 19 de octubre de 2012

Consejos de seguridad para preservar la seguridad del correo electrónico

 
Los usuarios de correo electrónico pueden seguir diez sencillos consejos que os damos en Seccion9 Seguridad que ayudarán a preservar la seguridad de sus cuentas. Se trata de premisas básicas como el prestar atención a los adjuntos de los correos y tomar medidas antes de acceder a enlaces que puedan ser sospechosos.

El 'spam', el 'phishing' y los adjuntos maliciosos siguen siendo una constante y es necesario inculcar en los usuarios rutinas de prevención que ayuden a minimizar el impacto de esa amenaza.

1- Tener mucho cuidado con los documentos y archivos adjuntos en los correos electrónicos. Los cibercriminales siguen intentando infectar los equipos de los usuarios a través de documentos adjuntos infectados. El coste de este tipo de ataques es mínimo para los ciberdelincuentes y su peligrosidad muy elevada.

2- Prevenir ante los enlaces que aparecen en los correos electrónicos. Se trata de otra práctica muy común e igualmente peligrosa. Muchas amenazas incorporan enlaces que redirigen a webs infectadas o a páginas desde la que se perpetran estafas. En ocasiones se suplanta la identidad de compañías como Gmail, Yahoo o Facebook para fomentar a los usuarios a hacer clic en enlaces maliciosos.

3- Los correos de 'phishing'. Los usuarios deben estar alerta para no caer en el engaño de los correos que informan de falsas alertas de seguridad. En este caso, destacan las amenazas de 'phishing' bancario, muy comunes en los últimos meses.

4- Estar alerta y descartar automáticamente el 'spam'. "Aunque ya a nadie sorprende recibir un correo que venda Viagra, la realidad es que el clásico 'spam' sigue presente hoy en día y se siguen enviando millones de correos ofreciendo todo tipo de productos o realizando estafas".

5- El uso de contraseñas robustas. En este caso se desaconseja la repetición de los passwords en varios servicios, siendo lo ideal el emplear una única contraseña por cuenta y servicio. Además, es importante que las contraseñas contengan letras y números y a poder ser haya partes en mayúsculas.

6- Tener cuidado con las conexiones desde ordenadores públicos. En este sentido, se recomienda no acceder a las cuentas de correo electrónico personal desde ordenadores públicos. En caso de que sea necesario, los usuarios deben hacerlo a través de una conexión segura y es fundamental que se cierre la sesión una vez finalizada.

7- Extremar las precauciones en las redes Wi-Fi inseguras. El uso de este tipo de conexiones puede poner en riesgo las cuentas de los usuarios ya que podría darse el caso de que alguien esté espiando dicha red.

8- Estar alerta con las solicitudes de permiso para instalar algo. Muchos han sido los usuarios que al abrir un correo electrónico han visto un mensaje que informa de la necesidad de instalar un complemento o un códec para ver el contenido. Estos mensajes suelen corresponder a estafas.

9- Cuidado con las cadenas de mensajes. Los usuarios tienen que ser conscientes de que estos correos, en muchas ocasiones tienen riesgos. "Las largas cadenas de mensajes que no sirven para nada: a veces son mensajes de felicidad, a veces buenos deseos, y muchas otras, hoax o falsos mensajes que invitan al usuario a hacer algo que solo perjudicará su ordenador. A veces puede ser una aparentemente inofensiva presentación de power point que pudiera venir con un regalo".

10- El usuario tiene que ser "el mayor guardián de su privacidad y de su información sensible". En ocasiones los usuarios son su propio enemigo, ya que comenten imprudencias como el envío de contraseñas a través del correo electrónico y otras acciones similares. Es importante saber que la información sensible puede ser interceptada.

miércoles, 10 de octubre de 2012

Múltiples vulnerabilidades en Adobe Flash Player / AIR.

 

Se han publicado múltiples vulnerabilidades en Adobe Flash Player y Adobe AIR, que pueden ser explotadas por usuarios maliciosos para comprometer el sistema.

1) Algunos errores sin especificar pueden ser explotados para causar desbordamientos de buffer.

2) Algunos errores sin especificar pueden ser explotados para corromper la memoria.

3) Otro error sin especificar puede ser explotado para corromper la memoria.

Las vulnerabilidades a las siguientes versiones:

* Adobe Flash Player 11.4.402.278 y versiones anteriores para Windows
* Adobe Flash Player 11.4.402.265 y anteriores para Macintosh
* Adobe Flash Player 11.2.202.238 y versiones anteriores para Linux
* Adobe Flash Player 11.1.115.17 y versiones anteriores para Android 4.x
* Adobe Flash Player 11.1.111.16 y versiones anteriores para Android 3.x y 2.x
* Adobe AIR 3.4.0.2540 y versiones anteriores para Windows y Macintosh, SDK (incluye AIR para iOS), y para Android

Solución:

Actualizar a la última versión que soluciona la vulnerabilidad explotada
.

viernes, 20 de julio de 2012

PayPal ofrecerá recompensas por reportes de vulnerabilidades.

 

PayPal ha anunciado que ofrecerá recompensas de seguridad a quienes reporten fallos de seguridad en sus productos, con el fin de mejorar la seguridad de sus servicio.

La compañía asegura que será su equipo de seguridad el que terminará la gravedad de cada vulnerabilidad y el pago final. Aunque es de esperarse que sea una cantidad similar a de programas de recompensas actuales, lo cierto es que esto podría ocasionar que no muchos investigadores se sientan precisamente “emocionados” de buscar fallos de seguridad en el popular servicio de pago.

Eso sí, la razón por la que PayPal ha decidido adoptar esta iniciativa se debe a que se ha convertido en uno de los principales focos de los cibercriminales para atacar usuarios y cometer fraudes financierso, y aunque está claro que esto no es nada nuevo, un representante de la compañía señaló que PayPal es a primera compañía en el mercado de servicios financieros en iniciar un programa de recompensas de este tipo.

El programa de recompensas de PayPal sólo tomará en cuenta cuatro tipo de vulnerabilidades: XSS, CSRF, inyección de SQL y evasión de autenticación.

 
Design by Free Wordpress Themes | Bloggerized by Free Blogger Templates | Walgreens Printable Coupons