Boletín 00083 – 17/01/2007

==== 1.- Nueva falla encontrada en Microsoft Excel ====
http://searchsecurity.techtarget.com/originalContent/0,289142,sid14_gci1238049,00.html
Investigadores del proveedor de seguridad Fortinet Inc. localizado en Sunnyvale California y Secunia estan alertando de una nueva falla de seguridad en Microsoft Excel que intrusos podrian explotar para ejecutar codigo malicioso en maquinas que son objetivo de ataque.

==== 2.- Expertos alertan de huecos de seguridad en WiMax ====
http://www.vnunet.com/vnunet/news/2172121/experts-warn-wimax-security
Expertos estan advirtiendo de que los problemas de seguridad estan afectando la tecnologia de WiMax.

==== 3.- Los parches de Microsoft saben a poco ====
Después de anunciar ocho boletines de seguridad, el número real se ha reducido a la mitad. Los parches de Microsoft de este mes han dejado sin solución (entre otras) tres vulnerabilidades graves en Microsoft Word, presumiblemente incluidos entre los ocho originales que se anunciaron pero que no fueron publicados finalmente.

Los parches publicados el pasado martes solventan, como fue anunciado a última hora, diez vulnerabilidades agrupadas en cuatro boletines. Los que salen peor parados son los componentes de Office, Outlook y Excel, con nueve vulnerabilidades, casi todas críticas. Ninguno de los fallos corregidos se conocía de forma pública antes de la aparición de estos boletines (aunque algunos sí que estaban siendo aprovechados).

Sin embargo, tres vulnerabilidades en Word para las que existe exploit público que permite ejecución de código (y está siendo aprovechado), no han sido contempladas en esta ocasión. Tampoco dos problemas en el servicio CSRSS (Client Server Runtime SubSystem) que permiten elevar privilegios en local o revelar información sensible han encontrado solución. Todas se han dado a conocer durante el mes de diciembre.
Existen otras vulnerabilidades “pendientes” que permiten provocar denegaciones de servicio (que la aplicación deje de responder) igualmente en espera.

No existe aclaración oficial sobre la causa de este lote de actualizaciones mensual descafeinado, donde se han echado en falta soluciones a problemas acuciantes en la suite ofimática de Microsoft o su sistema operativo. Se puede presuponer que los parches estaban prácticamente listos en un primer momento, hasta el punto de ser anunciados, pero a última hora no los consideraron suficientemente maduros. Es más que probable que desde Microsoft se haya decidido comprobar una vez más la calidad de esos parches anunciados en primera instancia para ahorrarse disgustos y no comprometer la estabilidad de sus clientes.

Es comprensible esta actitud reservada y conservadora a la hora de publicar parches. Situaciones como la vivida en agosto de 2006 con el boletín MS06-042 hacen necesario una reflexión sobre la liberación de parches. En él se recomendaba la aplicación de un parche acumulativo para Internet Explorer que solucionaba ocho problemas de seguridad.
Dos semanas después se hizo público que, inadvertidamente, este parche había introducido una nueva vulnerabilidad crítica.

Si se cumple el ciclo (muy probablemente) y no se publican nuevos parches extraordinarios hasta febrero, dejarían sin solucionar varios problemas graves durante más de dos meses. Aunque una política de comprobación de calidad y análisis de impacto es tan importante como cualquier otro proceso de la administración de actualizaciones, los retrasos pueden resultar tan peligrosos (para sus clientes y para su
imagen) como arriesgarse a publicar un parche que cause algún estropicio. Es un equilibrio que no debe romperse.

En cualquier caso, es decisión de los usuarios utilizar alternativas cuando sea posible (como OpenOffice.org) o aplicar las contramedidas que recomendadas en los correspondientes boletines y ayudan a mitigar los efectos de un posible ataque.

Opina sobre esta noticia:
http://www.hispasec.com/unaaldia/3000/comentar

Más información:

(23/08/2006) El último parche acumulativo para Internet Explorer introduce una nueva vulnerabilidad http://www.hispasec.com/unaaldia/2860

(08/01/2007) Microsoft publicará mañana cuatro parches de seguridad
http://www.hispasec.com/unaaldia/2998

Sergio de los Santos
ssantos@hispasec.com

==== 4.- Actualizaciones por vulnerabilidad en StarOffice ====
Sun han publicado paquetes de actualización para StarOffice, debido a que se ha descubierto una vulnerabilidad que puede permitir la ejecución de código arbitrario en las máquinas víctima del ataque.

El problema se debe a la presencia de varios problemas de desbordamiento de enteros en el código que se encarga de procesar archivos de tipo WMF y EMF. Esto puede ser explotado por un atacante si crea un archivo malicioso de este tipo que, si es procesado por el programa vulnerable, provocaría un desbordamiento de búfer basado en heap que a su vez podría ser usado para la ejecución de código arbitrario.

Este problema afecta a StarOffice 6, 7 y 8 y según versión y plataforma, las actualizaciones, están disponibles desde:
http://sunsolve.sun.com/pub-cgi/show.pl?target=patches/xprod-StarOffice

Opina sobre esta noticia:
http://www.hispasec.com/unaaldia/3001/comentar

Más información:

Security Vulnerability With StarOffice/StarSuite Versions 6, 7 and 8 Related to the ‘.wmf’ File Format
http://sunsolve.sun.com/search/document.do?assetkey=1-26-102735-1

High Risk Vulnerabilities in the StarOffice Suite http://www.ngssoftware.com/advisories/high-risk-vulnerabilities-in-the-staroffice-suite/

Laboratorio Hispasec
laboratorio@hispasec.com

==== 5.- Informacion sobre el exploit Pocket PC MMS ====
http://www.seguridad.unam.mx/noticias/?noti=2429
El exploit afecta a la mayoria de las versiones de telefonos Pocket PC y los dispositivos Windows Mobile que utilizan versiones de ArcSoft MMS anteriores a agosto de 2006.

==== 6.- Denegacion de servicio con archivos WMF en Windows ====
http://www.vsantivirus.com/vul-wmf-100107.htm
Una nueva vulnerabilidad relacionada con el manejo de los archivos WMF (Windows Metafile), ha sido anunciada en Internet, existiendo una prueba de concepto que facilmente puede convertirse en un exploit “Zero-day”.

==== 7.- Oracle sigue el modelo Microsoft y notifica con antelación sus parches ====
Oracle ha anunciado por primera vez con antelación, lo que será su publicación trimestral de parches de seguridad. Un resumen previo al estilo Microsoft que adelanta el número y la criticidad de las actualizaciones previstas para el próximo día 16 de enero.

Oracle publicará un total de 52 parches de seguridad (menos de los que vienen siendo habituales) para Oracle Database, Application Server, Enterprise Manager, Identity Management, E-Business Suite, Developer Suite y PeopleSoft Enterprise People Tools. Diez de los 27 dedicados a su base de datos, podrán ser aprovechados por atacantes a través de la red sin necesidad de usuario ni contraseña válidos.

Con esta nueva estrategia de anuncio previo de boletín de seguridad, Oracle pretende facilitar a los administradores de sus productos la planificación de aplicación de parches. A nadie se le escapa la analogía con la estrategia de Microsoft. Ya en agosto de 2004 (sólo 10 meses después de que lo hiciera Microsoft) reorganizó su publicación de parches de forma mensual, para modificarla poco después a una planificación trimestral, tal y como se mantiene hoy día.

En octubre de 2004, Microsoft decidió además advertir algunos días antes de la publicación del número de parches planeados, gravedad y productos afectados. Poco más de dos años después Oracle le copia, por segunda vez, la estrategia, aunque ha ido un poco más lejos y en su avance.
Oracle ofrecerá además “cualquier información relevante que ayude a las organizaciones a planificar la aplicación del CPU (Critical Patch
Update) en su entorno”.

Este nuevo cambio en la estrategia de seguridad de Oracle viene a confirmar una clara tendencia de la compañía por mejorar su imagen en este sentido. En octubre de 2006 anunció que mejoraría su sistema de notificación de alertas de seguridad, añadiendo desde entonces un rango de criticidad a sus boletines, un sumario más detallado sobre las vulnerabilidades corregidas y una sección destacada de los fallos críticos y prioritarios…. Además, se ayuda de CVSS (Common Vulnerability Scoring System), un estándar que gradúa la severidad de manera estricta a través de fórmulas establecidas.

Estos movimientos se han producido tras un largo periodo en el que Oracle ha sido criticada hasta la saciedad por su estrategia general de seguridad desde aquel fallido lema de “unbreakable” (irrompible). En los últimos meses, publicaciones como la de David Litchfield que afirmaba que MS SQL era mucho más seguro, unido a los continuos problemas de seguridad, con largos periodos (mínimo trimestral y con un récord de 800
días) en los que no se ha proporcionado un parche para algún error, el anuncio frustrado de la creación de la semana de los fallos en Oracle…
han ido deteriorando la imagen de la compañía de las bases de datos.

Está claro que esta nueva estrategia de Oracle está orientada a restaurar la confianza de posibles clientes y ayudará a los administradores. Lo que no estará tan claro para muchos es que se tome como modelo parte de la política de Microsoft. La imagen de la referencia que han decidido adoptar se encuentra también deteriorada en cuestión de seguridad.

Opina sobre esta noticia:
http://www.hispasec.com/unaaldia/3002/comentar

Más información:

Critical Patch Update Pre-Release Announcement http://www.oracle.com/technology/deploy/security/critical-patch-updates/cpujan2007.html

Litchfield: Comparado con Oracle, Microsoft SQL Server es más seguro
http://www.hispasec.com/unaaldia/2951

Oracle ofrecerá más y mejor información en sus boletines de seguridad
http://www.hispasec.com/unaaldia/2915

Sergio de los Santos
ssantos@hispasec.com

==== 8.- Desbordamiento de búfer en Eudora WordMail Server 3 ====
Se ha anunciado una vulnerabilidad en Eudora WorldMail Server, que podría ser empleada por atacantes para comprometer los sistemas afectados.

Eudora Qualcomm WorldMail es un servidor de mensajería y correo para entornos corporativos, con soporte para POP3, IMAP, SMTP, características webmail y herramientas para detener spam y virus.

La vulnerabilidad está provocada por un error en el servicio Mail Management (MAILMA.exe) cuando trata delimitadores sucesivos. Esto puede emplearse para provocar un desbordamiento de búfer basado en heap a través de una petición específicamente construida.

Si un atacante logra explotar con éxito este problema podrá llegar a ejecutar código arbitrario. La vulnerabilidad se ha anunciado en la versión 3.1.x, aunque otras versiones podrían verse afectadas. 

Se recomienda restringir el acceso al servicio (en el puerto 106/tcp).
Según se ha anunciado el vendedor no planea publicar una actualización que soluciones el problema.

Opina sobre esta noticia:
http://www.hispasec.com/unaaldia/3003/comentar

Más información:

QUALCOMM Eudora WorldMail Remote Management Heap Overflow Vulnerability http://www.zerodayinitiative.com/advisories/ZDI-07-001.html

Laboratorio Hispasec
laboratorio@hispasec.com

==== 9.- Vulnerabilidad en DLSw permite recargar dispositivo en Cisco IOS ====
Se ha identificado una vulnerabilidad en la funcionalidad Data-link Switching (DLSw) en Cisco IOS que puede ser aprovechada por atacantes para recargar el dispositivo.

El fallo se da cuando un atacante establece una conexión DLSw con el dispositivo y envía una opción inválida durante la negociación.

El problema afecta a todos los productos Cisco que ejecuten Cisco IOS con versiones de la 11.0 a la 12.4 configuradas para DLSw. Se recomienda deshabilitar DLSw si no es imprescindible.

Cisco ha puesto a disposición de los usuarios actualizaciones a través de los canales de distribución habituales. Las versiones no vulnerables
son: IOS 12.1(26)E8, 12.3(21) y 12.2(43). Algunas de ellas todavía no están disponibles.

Opina sobre esta noticia:
http://www.hispasec.com/unaaldia/3004/comentar

Más información:

Cisco Security Advisory: DLSw Vulnerability http://www.cisco.com/warp/public/707/cisco-sa-20070110-dlsw.shtml

Laboratorio Hispasec
laboratorio@hispasec.com

==== 10.- Ejecución de código arbitrario en MIT Kerberos V5 1.x ====
Se han identificado dos vulnerabilidades en MIT Kerberos, que podrían ser explotadas por atacantes remotos para tomar el control total de los sistemas afectados o provocar una condición de denegación de servicio.

El primer problema se debe a un error de manejo de memoria en la función svc_do_xprt() en el demonio de administración kadmind. Esto puede ser aprovechado por atacantes remotos para ejecutar código arbitrario o hacer que la aplicación deje de responder.

Por otra parte, el segundo problema se debe a un error de manejo de memoria en la interfaz de abstracción mechglue de la implementación GSS-API y el demonio de administración kadmind, donde la función
log_badverf() llama a gss_display_name() sin comprobar el valor que devuelve y sin inicializar las estructuras gss_buffer_desc pasadas a gss_display_name(). Esto podría ser aprovechado por atacantes remotos para ejecutar código arbitrario o hacer que la aplicación deje de responder.

Se recomienda actualizar a MIT Kerberos V5 versión 1.6 :
http://web.mit.edu/kerberos/krb5-1.6/

O aplicar los parches:
http://web.mit.edu/kerberos/advisories/2006-003-patch.txt
http://web.mit.edu/kerberos/advisories/2006-002-patch.txt

Más información:

kadmind (via RPC library) calls uninitialized function pointer http://web.mit.edu/kerberos/advisories/MITKRB5-SA-2006-003-mechglue.txt

kadmind (via GSS-API mechglue) frees uninitialized pointers http://web.mit.edu/kerberos/advisories/MITKRB5-SA-2006-002-rpc.txt

Laboratorio Hispasec
laboratorio@hispasec.com

==== 11.- Denegación de servicio en Snort ====
Se ha encontrado una vulnerabilidad en Snort 1.x y 2.x que puede ser aprovechada por atacantes para provocar una denegación de servicio en el detector de intrusos.

El problema se basa en que el algoritmo de reconocimiento de patrones en Snort puede ser abusado para que consuma todos los recursos y provocar que el ratio de detección baje hasta ser nulo a través de paquetes especialmente manipulados.

La vulnerabilidad se ha confirmado en la versión 2.4.3 pero otras podrían verse afectadas. Se recomienda actualizar a las últimas versiones desde http://www.snort.org.

Opina sobre esta noticia:
http://www.hispasec.com/unaaldia/3006/comentar

Más información:

Backtracking Algorithmic Complexity Attacks Against a NIDS http://www.cs.wisc.edu/~smithr/pubs/acsac2006.pdf

Update on The Rule Matching Vulnerability published today
http://www.snort.org/pub-bin/snortnews.cgi#591

Laboratorio Hispasec
laboratorio@hispasec.com