Noticias y Alertas
Header

En la última semana Microsoft ha criticado fuertemente a Google y su política de divulgación de seguridad, luego de que la firma revelara públicamente dos vulnerabilidades 0-Day en el sistema operativo de Microsoft Windows 8.1. Parece que ha Google no le ha alcanzado y ha divulgado públicamente una nueva vulnerabilidad grave en Windows 7 y Windows 8.1 antes de que Microsoft publique el parche, dejando a los usuarios de los sistemas operativos expuestos. (más…)

First time ever in the History, Apple Inc. has pushed out an automatic security update for Macintosh OS X computers to address a critical security issue that, according to the company, was too risky to wait for users to patch after seeking their prior approval.
Despite having the ability for years to silently and automatically update its users computers, Apple typically asks its users’ permission to approve them manually or automatically before installing any security update of this kind. But, the company has exercised its ability for the very first time to patch a critical security flaw in a component of its OS X operating system called the Network Time Protocol (NTP).

(más…)

Es importísimo que los clientes que usan IE pongan el parche.

MS14-052. Actualización de seguridad acumulativa para Internet Explorer (2977629) Crítica. Esta actualización de seguridad resuelve una vulnerabilidad de la que se ha informado de forma pública y treinta y seis vulnerabilidades de las que se ha informado de forma privada en Internet Explorer. La más grave de estas vulnerabilidades podría permitir la ejecución remota de código si un usuario, mediante Internet Explorer, visita una página web especialmente diseñada. Un intruso que aprovechara estas vulnerabilidades podría conseguir el mismo nivel de derechos de usuario que el usuario actual. Los clientes cuyas cuentas estén configuradas con menos derechos de usuario en el sistema correrían un riesgo menor que los que cuenten con derechos de usuario administrativos.

Security Issues

agosto 31st, 2014 | Posted by kwelladm in Alertas - (0 Comments)

Title: Google Patches 50 Security Vulnerabilities in Chrome Browser Update

Description: Among the issues fixed in Chrome 37 are a number of bugs that can be used together to break out of the Chrome sandbox and execute code remotely. A number of the vulnerabilities patched received bug-bounty rewards.

Reference: www.securityweek.com/google-patches-50-security-vulnerabilities-chrome-browser-update

http://googlechromereleases.blogspot.com/2014/08/stable-channel-update_26.html

Snort SID: Detection pending release of vulnerability details.

 

Title: Security Advisory ? Akeeba Backup for Joomla!

Description: Security researchers discovered it was possible for an attacker to to list and download backups made by the Akeeba Backup for Joomla! extension.

Reference: http://blog.sucuri.net/2014/08/security-advisory-akeeba-backup-for-joomla.html

Snort SID: Detection pending release of vulnerability details. (más…)

Heartbleed, la vulnerabilidad que afecta a cientos de miles de servidores de Internet, podría hacer que unas 1.300 aplicaciones de Android estuvieran indefensas, según un análisis que ha hecho la empresa software de seguridad Trend Micro entre más de 390.000 aplicaciones de Google Play.

Y es que las aplicaciones móviles -desde el navegador hasta las apps de banca o compra online-, como las páginas web, también alojan la información en un servidor. La empresa ha anunciado que ya ha informado a Google de esta incidencia.

Trend Micro incide en que, ante la posibilidad de comprar desde una aplicación móvil, a la hora de introducir los datos de la tarjeta de crédito y finalizarse la transacción, los datos bancarios se almacenan en un servidor y pueden permanecer allí por un periodo de tiempo indeterminado.

“Basta que los ciberdelincuentes aprovechen el error Heartbleed y se dirijan a ese servidor para extraer la información que almacena, entre la que se encuentra su número de tarjeta de crédito”, explican.

¿Mi servidor es vulnerable?

Para sacarse las dudas: CONTACTENOS EN FORMA INMEDIATA a soporte@kwell.net

Si tiene servicios corporativos en su empresa debe esperar a que su administrador de seguridad le indique qué passwords debe cambiar.

En el caso de los accesos personales, la síntesis de recomendaciones es la siguiente:

  • Tenga en cuenta que los datos sensibles como contraseñas pueden haber sido vistos por una tercera parte si los sitios que visitas utilizaron una versión vulnerable de la biblioteca OpenSSL.
  • Monitoree los avisos de los vendedores o empresas que utiliza. Una vez que un proveedor se comunique para cambiar sus contraseñas, hagalo sin demora.
  • Tenga cuidado con los posibles correos electrónicos de phishing de atacantes que le solicitarán que actualice su contraseña. Para evitar ir a un sitio web suplantado, ingrese en el dominio oficial del sitio.
  • Adhierase a sitios web y servicios de buena reputación. Ellos son los más propensos a informar verazmente y tener de inmediato soluciones a la vulnerabilidad.
  • Revise sus estados de cuenta bancarios y de tarjetas de crédito para comprobar que no existen transacciones inusuales. (más…)

El viernes CloudFlare anunció un desafío para robar su clave  privada de un servidor nginx con OpenSSL  vulnerable a Heartbleed. Pocas horas después, dos personas resolvieron el  reto demostrando que efectivamente es probable robar claves privadas de los  servidores afectados.
Previamente, CloudFlare en un extenso post, había  explicado cómo habian configurado sus servidores y, luego de muchos experimentos  prácticos, habían llegado a la conclusión que robar las claves privadas del  certificado SSL explotando Heartbleed era extremadamente dificil, pero no  imposible. Por eso lanzaron este desafio a la comunidad. (más…)

¿Mi servidor es vulnerable?

Para sacarse las dudas: CONTACTENOS EN FORMA INMEDIATA a soporte@kwell.net

Este bug según todas las fuente recopiladas puede llegar a afectar a dos tercios de los servidores de Internet!

INFORMACIÓN RECOPILADA (muy interesante)

OpenSSL Security Advisory [07 Apr 2014]: https://www.openssl.org/news/secadv_20140407.txt

Detalle de la Vulnerabilidad: http://www.cvedetails.com/cve/CVE-2014-0160

Explicación en profundidad: http://heartbleed.com/ (muy interesante)

Nota de Electronic Frontier Foundation: https://www.eff.org/deeplinks/2014/04/why-web-needs-perfect-forward-secrecy (imperdible)

Proveedores afectados: https://www.kb.cert.org/vuls/byvendor?searchview&Query=FIELD+Reference=720951&SearchOrder=4 (la lista es impresionante, la reproducimos parcialmente señalando que mucho proveedores no han informado o verificado el estado propio, por lo tanto esta lista variará con el correr de los días) (más…)

¿Mi servidor es vulnerable?

Para sacarse las dudas: CONTACTENOS EN FORMA INMEDIATA a soporte@kwell.net

La vulnerabilidad en OpenSSL que parecía haber sido controlada, también opera en aquellos componentes de hardware, según advierten Cisco y Juniper Networks.

Heartbleed ya es “considerado como una de las mayores amenazas vistas en la Web desde su nacimiento”, según afirmamos en este repaso que dio cuenta del hallazgo de este bug detectado por Google y la firma Codenomicon en OpenSSL, protocolo que es utilizado en dos tercios de los servidores de Internet. Esta falla, la cual ha sido emparchada por los desarrolladores de Open SSL, no fue insertada en forma intencional sino que se trató de un descuido, según dijo el desarrollador alemán Robin Seggelman, quien trabajó en el proyecto.

Ahora, Cisco Systems y Juniper Networks indican que Heartbleed también afecta a routers que están a la venta actualmente. Estas compañías publican un listado de dispositivos afectados (los cuales utilizan una versión antigua del protocolo), indicando que trabajan en parches para los hardwares involucrados. Cisco menciona 65 productos afectados, mientras Juniper identifica 8. Las listas pueden ser consultadas en los siguientes enlaces:

¿Mi servidor es vulnerable?

Para sacarse las dudas: CONTACTENOS EN FORMA INMEDIATA a soporte@kwell.net

Heartbleed, el bug detectado en el protocolo OpenSSL que puso en jaque a muchas de las contraseñas que los usuarios utilizan en internet, ya es considerado como una de las mayores amenazas vistas en la web desde su nacimiento.  La falla ha afectado a muchos portales y servicios populares – como Gmail, Facebook y Tumblr – dejando al descubierto información confidencial de millones de cuentas (incluidos números de tarjetas de crédito) desde hace, por lo menos, dos años.

El problema, que fue descubierto por Google y la firma Codenomicon, fue “emparchado” por los desarrolladores de OpenSSL con una actualización lanzada el lunes por la noche. Las miradas apuntan ahora al presunto responsable de la falla, el desarrollador alemán Robin Seggelmann. “En una de las nuevas características, por desgracia, me perdí la validación de una variable que contiene una longitud”, indicó el experto en software, a la vez que negaba acusaciones que aseguraban que el error había sido añadido intencionalmente. “Fue un simple error de programación en una nueva característica que, por desgracia, se produjo en un área relevante de seguridad” añadió. (más…)