Categoría: Seguridad

Secunia demuestra una falla de Seguridad en Firefox 1.0.4 (Phishing) que, increíblemente había sido resuelta en las versiones anteriores. Al día siguiente que Microsoft tuvo que “tirar abajo” una parte de MSN por un problema (cross-site scripting) le permitía a un atacante lograr acceso a las cuentas de hotmail de los usuarios.

Pero no se pongan paranoicos, si esto es grave, imaginen la cara de los ejecutivos del Citibank cuando descubrieron que en un envío de UPS se les habían perdido los datos de 3,9 millones de clientes, incluyendo nombres, direcciones, números de seguro social, de cuentas, historiales crediticios, y de préstamos… los que hacen robo de identidad (Id theft) deben estar trabajando a pleno. Y después me dicen que “la red es insegura”.

Para los que se sentían seguros al evitar las plataformas inseguras, ahora pueden ir viendo que la seguridad total es una simple utopía.

Tiger: Leo en Slashdot que se encontró un grave problema de seguridad en el Mac OSX Tiger. Básicamente pueden instalarse “Dashboard Widgets” sin autorización con cierto código en una página web si usas ese sistema operativo y usás Safari. Un ejemplo pueden verlo si visitan esta página (si tienen una Mac solo visítenla bajo su propia cuenta) y para desinstalar ese widget hay que removerlo manualmente y luego rebootear.

Pero eso indica un agujero realmente grave en la seguridad del nuevo sistema de Apple; porque el widget se instala sin autorización y sin que el usuario se entere. ¿Cuanto tardará en aparecer Spyware y/o similares aprovechando este problema?

FF 1.0.3: Por otro lado la gente de FrSIRT acaba de descubrir un “exploit” grave en Firefox 1.0.3; donde, si uno hace click en una página con un código especial ese código puede crear y ejecutar automáticamente un archivo .exe/

Una solución no-oficial es: – Desabilitar JavaScript, y la opción “Allow web sites to install software” dentro del menú [Tools – Options – Web Features].

En su momento, Microsoft presentó su programa AntiSpyware, en Beta, como una gran novedad y un “gran paso para mejorar la seguridad de los usuarios”; al poco tiempo también salió un programa AntiSpyware de McAfee y ahora se suman Symantec-Norton con su versión en fase beta.

Y aunque todavía no se definieron políticas de precios en esos casos, no se olviden del Spybot S+D y del Ad-Aware de Lavasoft, excelentes (mejor si laburan en combinación), gratuitos y que estaban aún cuando este mercado no era un negocio para los grandes.

Si tenés instalado Firefox 1.0 es necesario que hagas un upgrade a la nueva version 1.0.1 para corregir 17 agujeros de seguridad. Esta actualización corrige principalmente “problemas de phishing y una falla que permitiría a un atacante tomar control de tu PC”, algo extraño es que no exista un parche sino una actualización total.

En algún momento había que empezar a preocuparse, no? ;)

En el día de ayer, Secunia lanzó una serie de advertencias sobre agujeros de seguridad que comprometen datos (a través del conocido Spoofing) a los siguientes navegadores:

– Internet Explorer
– Opera
– Mozilla / Mozilla Firefox
– Camino
– Safari
– Netscape
– Konqueror
– Avant Browser
– Maxthon

Dejando de lado el peligro que esto supone (hay ejemplos de las vulnerabilidad acá y acá) sería bueno que alguien vea quien reacciona más rápido y soluciona estos problemas primero ya que las alertas fueron dadas el mismo día.

Vía Slashdot

Pese al exitoso récord de seguridad que tiene Mozilla (en lo referente a cantidad de agujeros críticos encontrados y velocidad en repararlos) la Fundacion Mozilla acaba de anunciar un nuevo programa: el Security Bug Bounty Program.

Con el apoyo financiero de Mark Shuttleworth (el fundador de Lindows Linspire) darán u$s 500 a los usuarios que reporten “agujeros de seguridad críticos antes que sean explotados”, más información acá

El mismo compromiso que su competidor, no? :)

Via BoingBoing

La misma vulnerabilidad que afectaba a Mozilla (resuelta en menos de un dia) afecta varios programas de Microsoft, entre ellos Microsoft Word y MSN Messenger; interesantemente es la primera vez que una vulnerabilidad nos permitira comparar la velocidad de reaccion de Microsoft frente a los developers Open Source.

Al mismo tiempo, Microsoft demora su, ya famoso, Windows XP Service Pack2. En vez de eso nos entregan una nueva version de su WindowsUpdate

link:Slashdot

En ZDnet se publica un reporte de Gartner con una frase trágica:

“Los reproductores de MP3 y dispositivos de almacenamiento USB estan en todos lados hoy en día. Darle libertad a los empleados para que los usen en la oficina puede abrir a brechas de seguridad y pérdida de datos”

Casi un año despúes de ser avisado de una falla de seguridad, Microsoft pone online el parche para evitar (algunos de) los problemas de IE.

Si usás IE, seguí este link y descargá el update correspondiente a tu versión de IE

Update: M&M me hizo tío de nuevo.. me voy a ver a mi sobrina :)

Microsoft está haciendo todo lo posible para que Internet sea más segura, empezaron por retirar el articulo que proponía “tipear las direcciones de internet para evitar el spoofing” y ahora (sólo si tenés IE), podes hacer click acá y ver la actualización exacta que tu IE necesita.

URL Spoofing en IE(detectado hace casi un año y NO arreglado) + la emulación de extensiones de archivo, puede realmente ser algo devastador en Internet. (via slashdot)

Y todo esto mientras los administradores de sistemas están sobrecargados con el MyDoom.

Desde ayer un nuevo virus está propagándose más rápido que cualquier otro en la historia. Infectando 1 de cada 12 e-mails circulando el MyDoom está entrando en todas las redes de mails.

Un par de características interesantes:

1- Se está expandiendo también vía redes P2P (como el Sinit)y deja un residente para mandar un DOS a SCO.
2- En el campo “From:” o “De:” deja de tomar la dirección de mail de la casilla infectada y toma una al azar de las que esa casilla (la infectada) tiene en su libreta de direcciones de Outlook o OE

Un par de noticias en ZDNet Uk me llamaron la atención (Fraudulent e-commerce site proves hard to close y Mimail.j prevention and cure), ambas son relativas a seguridad pero con un cambio en la “filosofía” de los autores donde empiezan a combinar: ingenieria social + scams + virus tradicionales.

Esperan, de un usuario desprevenido, una respuesta con los datos de sus tarjetas de crédito, datos personales y etc., y la parte autónoma del virus se ocupa de recolectar direcciones como siempre, pero las reenvía a la dirección de los crackers para comenzar el ciclo nuevamente.

Y por más que una parte de esto sea culpa de las macros de Outlook/OE, el eslabón mas débil de la seguridad sigue siendo el humano y aunque es increíble lo bien armados que estaban estos “híbridos”… la gente sigue enviando claves/datos por mail o sin mirar si está en un site seguro o si la URL corresponde a la empresa real… detalles que uno no mira y sirven para que te roben.