Boletín 00086 – 22/02/2007

==== 1.- Dos nuevas fallas de seguridad en Firefox ==== http://software.silicon.com/security/0,39024655,39165712,00.htm
Una compa~ia de seguridad ha reportado dos nuevas fallas de seguridad en el navegador Firefox de Mozilla, las cuales pueden dejar a archivos guardados localmente vulnerables a intrusos.

==== 2.- Borrado no autorizado de archivos a través de rm en Sun Solaris ====
Se ha descubierto una vulnerabilidad en el manejo del borrado recursivo de directorios en Sun Solaris 8, 9 y 10 a través del comando rm con la opción “-r” o “-R” que puede llevar al borrado de directorios externos al proporcionado en el argumento.

Un atacante no privilegiado podría utilizar este exploit para crear una jerarquía de directorios especialmente manipulada que al ser borrada por un usuario privilegiado con el comando rm, podría llevar al borrado de directorios o ficheros de sistema y provocar una denegación de servicio.

Para SPARC:

Solaris 8, instalar 124969-01 o posterior desde
http://sunsolve.sun.com/search/document.do?assetkey=urn:cds:docid:1-21-124969-01-1
Solaris 9, instalar 123372-02 o posterior desde
http://sunsolve.sun.com/search/document.do?assetkey=urn:cds:docid:1-21-123372-02-1
Solaris 10, instalar 124244-01 o posterior desde
http://sunsolve.sun.com/search/document.do?assetkey=urn:cds:docid:1-21-124244-01-1

Para x86:

Solaris 8, instalar 124970-01 o posterior desde
http://sunsolve.sun.com/search/document.do?assetkey=urn:cds:docid:1-21-124970-01-1
Solaris 9, instalar 123373-02 o posterior desde
http://sunsolve.sun.com/search/document.do?assetkey=urn:cds:docid:1-21-123373-02-1
Solaris 10, instalar 124245-01 o posterior desde
http://sunsolve.sun.com/search/document.do?assetkey=urn:cds:docid:1-21-124245-01-1

Opina sobre esta noticia:
http://www.hispasec.com/unaaldia/3031/comentar

Más información:

Sun Solaris “rm” Command Race Condition Arbitrary Local File Deletion Vulnerability
http://sunsolve.sun.com/search/document.do?assetkey=1-26-102782-1

Laboratorio Hispasec
laboratorio@hispasec.com

==== 3.- Múltiples vulnerabilidades en productos Trend Micro ====
Se han encontrado dos vulnerabilidades en productos Trend Micro que permiten provocar una denegación de servicio, la ejecución de código arbitrario y la elevación de privilegios a atacantes locales.

* Un atacante remoto podría crear un fichero UPX especialmente manipulado que, a la hora de ser procesado por el sistema víctima, provocaría un desbordamiento de memoria intermedia en el motor de análisis y permitiría la ejecución de código arbitrario en el sistema o bien provocaría que dejase de responder.

Todos los productos de Trend Micro que utilicen el motor de análisis (Scan Engine) y la tecnología Pattern File se ven afectados.

* Un error en los permisos de interfaz de dispositivo TmComm DOS
(TmComm.sys) permite a usuarios en el grupo “Todos” escribir en el dispositivo y acceder a ciertos manejadores IOCTL. Un atacante local podría aprovechar esto para ejecutar código arbitrario en el sistema víctima con privilegios de kernel. Se ve afectado el Anti-Rootkit Common Module (RCM). Este fallo afecta a productos Antivirus, Anti-spyware y Pc-cillin.

Para el primer fallo el fabricante ha puesto a disposición de sus clientes Scan Engine con versión de firmas 4.245.00 o superior.

Para el segundo fallo el fabricante ha puesto a disposición de sus clientes Anti-Rootkit Common Module [RCM] versión 1.600-1052 disponible a través de las actualizaciones automáticas o manualmente.

Opina sobre esta noticia:
http://www.hispasec.com/unaaldia/3032/comentar

Más información:

Trend Micro AntiVirus UPX Parsing Kernel Buffer Overflow Vulnerability http://labs.idefense.com/intelligence/vulnerabilities/display.php?id=470

Trend Micro TmComm Local Privilege Escalation Vulnerability
http://labs.idefense.com/intelligence/vulnerabilities/display.php?id=469

Laboratorio Hispasec
laboratorio@hispasec.com

==== 4.- Grave vulnerabilidad a través de telnet en Sun Solaris ====
Se ha descubierto un error en el telnet de Sun Solaris que puede permitir a un atacante obtener de forma trivial privilegios de root.

Se ha descubierto un error en la instalación por defecto de Sun Solaris que permite a un atacante externo que tenga acceso al servidor de telnet acceder con privilegios de root de forma trivial. El exploit es público y basta con acceder al sistema mediante el comando:
telnet -l “-froot” [nombre_de_host]
También permite sustituir a cualquier otro usuario mediante:
telnet -l “-fusuario” [nombre_de_host]

Se ha comprobado que afecta a Sun Solaris 10, pero otras versiones también podrían verse afectadas.

No existe parche oficial. Se recomienda deshabilitar inmediatamente el acceso por telnet, parando el servicio o limitando el acceso al puerto 23.

Opina sobre esta noticia:
http://www.hispasec.com/unaaldia/3033/comentar

Más información:

Solaris Telnet 0day or Embarrassment
http://blogs.securiteam.com/index.php/archives/814

Laboratorio Hispasec
laboratorio@hispasec.com

==== 5.- Informan de un nuevo ataque Zero-day a Microsoft Office ==== http://laflecha.net/canales/seguridad/informan-de-un-nuevo-ataque-zero-day-a-microsoft-office/
Microsoft ha publicado una alerta relacionado con un reporte de ataques del tipo Zero-day, que utilizan una nueva vulnerabilidad en Microsoft Office 2000, Microsoft Office XP, Microsoft Office 2003, y Microsoft Office 2004 para Mac

==== 6.- Falla de seguridad de dia cero en Solaris permite ataques remotos ==== http://security.itworld.com/4340/070212solaris0day/page_1.html
Expertos en seguridad estan alertando de una vulnerabilidad dia cero en Solaris de Sun Microsystems Inc.

==== 7.- Exploit activo para nueva vulnerabilidad en Word ====
http://www.vsantivirus.com/vul-word-cve-2007-0870.htm
Se han recibido reportes de una nueva vulnerabilidad que afecta especificamente a Microsoft Word 2000. La misma estaria siendo explotada por determinado tipo de malware, dirigida a blancos especificos.

==== 8.- Doce boletines de seguridad de Microsoft en febrero ====
Tal y como adelantamos la semana pasada, este martes Microsoft ha publicado doce boletines de seguridad (MS07-005 al MS07-016) dentro de su ciclo habitual de actualizaciones.

Según la propia clasificación de Microsoft seis de los nuevos boletines presentan un nivel de gravedad “crítico”, mientras que los otros seis reciben la calificación de “importante”.

* MS07-005: Evita una vulnerabilidad en Step-by-Step Interactive Training que puede ser aprovechada por atacantes para ejecutar código arbitrario. Está calificado como “importante”.

* MS07-006: Se trata de una actualización para evitar una vulnerabilidad en la forma en la que Windows Shell detecta y registra nuevo hardware que puede permitir a un atacante local autenticado elevar privilegios y obtener completo control del sistema. Afecta a Windows XP y Windows Server 2003. Está calificado como “importante”.

* MS07-007: Esta actualización resuelve una vulnerabilidad en el servicio Adquisición de imágenes de Windows (WIA) que podría permitir la elevación de privilegios y obtener completo control del sistema. Según la calificación de Microsoft está calificado como “importante”. Afecta a Windows 2000, Windows XP y Windows Server 2003.

* MS07-008: Esta actualización resuelve una vulnerabilidad en el Control ActiveX de la Ayuda HTML que podría permitir la ejecución remota de código. Recibe una calificación de “crítico”. Afecta a Windows 2000, Windows XP y Windows Server 2003.

* MS07-009: Se trata de una actualización para una vulnerabilidad en Microsoft Data Access Components que podría permitir la ejecución remota de código. Recibe el nivel de “Crítico”.

* MS07-010: En este boletín se anuncian los parches de actualización necesarios para solventar una vulnerabilidad en el motor de protección contra malware de Microsoft que podría permitir la ejecución remota de código. Afecta a Windows Live OneCare, Antigen para Exchange Server 9.x y para SMTP Server 9.x, Microsoft Windows Defender y Microsoft Forefront Security .Está calificado como “crítico”.

* MS07-011: Esta actualización resuelve una vulnerabilidad en el diálogo Microsoft OLE que podría permitir la ejecución remota de código. Afecta a Windows 2000, Windows XP y Windows Server 2003. Está considerado por Microsoft como “importante”.

* MS07-012: Soluciona un error en Microsoft MFC que podría permitir a un atacante remoto ejecutar código arbitrario en el sistema de la víctima.
Está calificado como “importante”. Se ven afectados Windows 2000, Windows Server 2003, Windows XP y Microsoft Visual Studio .NET 2002 y 2003.

* MS07-013: Corrige una vulnerabilidad en Microsoft RichEdit que podría permitir la ejecución remota de código. Afecta a Windows 2000; Windows XP; Windows Server 2003; Office 2000, XP y 2003. Microsoft lo califica como “importante”.

* MS07-014: Destinado a solucionar seis vulnerabilidades en Microsoft Word que pueden permitir a un atacante remoto ejecutar código arbitrario. Según la calificación de Microsoft está valorado como “crítico”. Afecta a Word 2000, 2002 y 2003 y Word Viewer 2003

* MS07-015: Destinado a solucionar dos vulnerabilidades en Microsoft Office que pueden permitir a un atacante remoto ejecutar código arbitrario. Según la calificación de Microsoft está valorado como “crítico”. Afecta a Office 2000, XP, 2002 y 2003.

* MS07-016: Actualización acumulativa para Microsoft Internet Explorer que además soluciona tres nuevas vulnerabilidades que podrían permitir la ejecución remota de código arbitrario. Según la calificación de Microsoft está calificado como “crítico”. Afecta a Internet Explorer 5.01, 6 y 7.

Las actualizaciones publicadas pueden descargarse a través de Windows Update y Office Update o consultando los boletines de Microsoft donde se incluyen las direcciones de descarga directa de cada parche.

Opina sobre esta noticia:
http://www.hispasec.com/unaaldia/3036/comentar

Más información:

Resumen del boletín de seguridad de Microsoft de febrero de 2007 http://www.microsoft.com/spain/technet/security/Bulletin/ms07-feb.mspx

Boletín de seguridad de Microsoft MS07-005 Una vulnerabilidad en Step-by-Step Interactive Training podría permitir la ejecución remota de código http://www.microsoft.com/spain/technet/security/Bulletin/MS07-005.mspx

Boletín de Seguridad de Microsoft MS07-006 Una vulnerabilidad en el shell de Windows podría permitir la elevación de privilegios http://www.microsoft.com/spain/technet/security/Bulletin/MS07-006.mspx

Boletín de Seguridad de Microsoft MS07-007 Una vulnerabilidad en el servicio Adquisición de imágenes de Windows podría permitir la elevación de privilegios http://www.microsoft.com/spain/technet/security/Bulletin/MS07-007.mspx 

Boletín de Seguridad de Microsoft MS07-008 Una vulnerabilidad en el control ActiveX de la Ayuda HTML podría permitir la ejecución remota de código http://www.microsoft.com/spain/technet/security/Bulletin/MS07-008.mspx 

Boletín de Seguridad de Microsoft MS07-009 Una vulnerabilidad en Microsoft Data Access Components podría permitir la ejecución remota de código http://www.microsoft.com/spain/technet/security/Bulletin/MS07-009.mspx

Boletín de Seguridad de Microsoft MS07-010 Una vulnerabilidad en el motor de protección contra malware de Microsoft podría permitir la ejecución remota de código http://www.microsoft.com/spain/technet/security/Bulletin/MS07-010.mspx

Boletín de Seguridad de Microsoft MS07-011 Una vulnerabilidad en el diálogo OLE de Microsoft podría permitir la ejecución remota de código http://www.microsoft.com/spain/technet/security/Bulletin/MS07-011.mspx

Boletín de Seguridad de Microsoft MS07-012 Una vulnerabilidad en Microsoft MFC podría permitir la ejecución remota de código http://www.microsoft.com/spain/technet/security/Bulletin/MS07-012.mspx 

Boletín de Seguridad de Microsoft MS07-013 Una vulnerabilidad en Microsoft RichEdit podría permitir la ejecución remota de código http://www.microsoft.com/spain/technet/security/Bulletin/MS07-013.mspx

Boletín de Seguridad de Microsoft MS07-014 Vulnerabilidades en Microsoft Word podrían permitir la ejecución remota de código http://www.microsoft.com/spain/technet/security/Bulletin/MS07-014.mspx

Boletín de Seguridad de Microsoft MS07-015 Vulnerabilidades en Microsoft Office podrían permitir la ejecución remota de código http://www.microsoft.com/spain/technet/security/Bulletin/MS07-015.mspx

Boletín de Seguridad de Microsoft MS07-016 Actualización de seguridad acumulativa para Internet Explorer http://www.microsoft.com/spain/technet/security/Bulletin/MS07-016.mspx

Antonio Ropero
antonior@hispasec.com

==== 9.- Firefox permite que intrusos manipulen cookies ====
http://www.seguridad.unam.mx/noticias/?noti=2499
Firefox tiene una falla que permite a los intrusos manipular las cookies de autenticacion de virtualmene cualquier sitio, una vulnerabilidad que Bugzilla ha catalogado como severa.

==== 10.- Cisco advierte de mas vulnerabilidades en ruteadores ====
http://www.seguridad.unam.mx/noticias/?noti=2497
Las capacidades de prevencion de intrusos de los ruteadores Cisco Systems podria ser propensa a ataques, despues de que el gigante de las redes revelara dos vulnerabilidades en su sistema operativo principal.

==== 11.- Apple soluciona cuatro huecos de seguridad ====
http://news.zdnet.com/2100-1009_22-6159946.html
Apple publico cuatro actualizaciones de seguridad el jueves pasado para solucionar fallas de seguirdad en Mac OS X.

==== 12.- Fue encontrada nueva vulnrabilidad Microsoft Office  ==== http://www.theregister.co.uk/2007/02/15/office_vuln/
Justo cuando el mundo penso que estaba seguro al usar Microsoft Office, se descubrio una nueva vulnerabilidad de dia zero. Como las otras, es capaz de hacer toda clase de actividad, incluyendo la ejecucion de codigo malicioso en las computadoras de las victimas.

==== 13.- Vulnerabilidad en Palm Treo deja a datos sin proteccion ===
http://www.informationweek.com/security/showArticle.jhtml?articleID=197006515
El Palm OS Treos tiene una falla de seguridad en el modulo que permite que usuarios accesen a sus datos, la cual implica que se puede obtener acceso a la informacion incluso cuando los smart phones son bloqueados con una contrase~a.

==== 14.- Dos vulnerabilidades en el sistema IPS de Cisco IOS ====
Se han encontrado dos vulnerabilidades en el sistema de prevención de intrusos (IPS) de Cisco IOS.

* Paquetes IP fragmentados podrían ser usados para eludir la inspección de firmas. Algunas firmas IPS utilizan expresiones regulares. Existe un fallo por el que un atacante podría eludir estas firmas IPS si se usa tráfico especialmente manipulado como fragmentos IP. Esto puede resultar en que potencialmente, tráfico no deseado podría eludir la inspección de firmas y potencialmente atacar a los sistemas protegidos. Las firmas IPS que no usen expresiones regulares no se ven afectadas.

* Las firmas que utilizan la funcionalidad de expresiones regulares del motor de firmas ATOMIC.TCP puede hacer que el router deje de funcionar y provocar una denegación de servicio. Por ejemplo la firma 3123.0 ha demostrado disparar esta vulnerabilidad.

Parte de la gama Cisco IOS 12.x se ve afectada. Cisco, a través de los canales habituales, ha puesto a disposición de sus clientes software para solucionar el problema.

Se aconseja consultar la tabla de versiones vulnerables y contramedidas
en:
http://www.cisco.com/en/US/products/products_security_advisory09186a00807e0a5b.shtml

Opina sobre esta noticia:
http://www.hispasec.com/unaaldia/3037/comentar

Más información:

Cisco Security Advisory: Multiple IOS IPS Vulnerabilities http://www.cisco.com/warp/public/707/cisco-sa-20070213-iosips.shtml

Laboratorio Hispasec
laboratorio@hispasec.com

==== 15.- Vulnerabilidades de cross-site scripting en ColdFusion MX ====
Adobe ha anunciado la existencia de dos vulnerabilidades en ColdFusion MX, que pueden ser empleadas por atacantes para construir ataques de cross-site scripting.

El primero de los problemas reside en que las entradas pasadas a determinados parámetros no se limpia adecuadamente antes de ser devuelta al usuario. Esto podrá ser empleado por un atacante para ejecutar código html arbitrario y código script code en una sesión de usuario del navegador. La explotación exitosa requiere que no esté habilitado Global Script Protection.

Este problema afecta a ColdFusion MX 7. la actualización para corregirlo está disponible en:
http://download.macromedia.com/pub/security/bulletins/apsb07-03/apsb07-03.zip

El segundo de los problemas reside en una vulnerabilidad en la página de error por defecto de ColdFusion, que puede permitir a un atacante evitar la protección cross-site scripting. Se ven afectados ColdFusion MX 7.X y ColdFusion MX 6.X.
Adobe recomienda sustituir el detail.cfm disponible en las siguientes
direcciones:
Para ColdFusion MX 7:
http://download.macromedia.com/pub/security/bulletins/apsb07-04/CFMX7_APSB07-04.zip
Para ColdFusion MX 6.1:
http://download.macromedia.com/pub/security/bulletins/apsb07-04/CFMX6_APSB07-04.zip
las localizaciones del archivos son:
Para Windows: {cf_root}\wwwroot\WEB-INF\exception\detail.cfm
Para Unix/Linux: {cf_root}/wwwroot/WEB-INF/exception/detail.cfm

Opina sobre esta noticia:
http://www.hispasec.com/unaaldia/3038/comentar

Más información:

Patch available for ColdFusion MX 7 cross-site scripting issue when Global Script Protection is not enabled http://www.adobe.com/support/security/bulletins/apsb07-03.html

Patch available for ColdFusion MX cross-site scripting issue http://www.adobe.com/support/security/bulletins/apsb07-04.html

Laboratorio Hispasec
laboratorio@hispasec.com

==== 16.- Ejecución de código a través del Finder de Mac OS X 10.x ====
Se ha anunciado la existencia de una vulnerabilidad en Mac OS X Finder, por la que un usuario remoto puede lograr la ejecución de código arbitrario en los sistemas afectados.

El problema reside en un desbordamiento de búfer en el tratamiento de nombres de volumen de Finder. Un usuario remoto podrá crear una imagen de disco especialmente modificada para que cuando lo monte el usuario atacado, se provoque el desbordamiento de búfer y la ejecución de código en el sistema de la víctima.

Las versiones anteriores a Mac OS X v10.4 no se ven afectadas.

Apple ha publicado una actualización como parte del Security Update 2007-002, disponible desde Software Update en System Preferences, o desde el sitio web Software Downloads en el web de Apple:
http://www.apple.com/support/downloads/

Opina sobre esta noticia:
http://www.hispasec.com/unaaldia/3039/comentar

Más información:

About Security Update 2007-002
http://docs.info.apple.com/article.html?artnum=305102

Laboratorio Hispasec
laboratorio@hispasec.com

==== 17.- Vulnerabilidad en Yahoo! Messenger 7.5 y anteriores ==== http://www.vsantivirus.com/vul-yahoo-messenger-170207.htm
Se ha reportado que Yahoo! Messenger es propenso a una vulnerabilidad que puede permitir a un atacante remoto abrir una ventana del navegador en el equipo de su victima, mostrando una pagina arbitraria.

==== 18.- Denegación de servicio en el kernel 2.6.x de Linux ====
Se ha encontrado una vulnerabilidad en el kernel de Linux que puede ser aprovechada por atacantes para provocar una denegación de servicio.

El fallo se debe a una liberación inválida de puntero cuando se manejan peticiones ACCESS en NFSACL 2, concretamente en la función “nfsaclsvc_release_getacl()” de fs/nfsd/nfs2acl.c. Esto puede ser usado para hacer que el kernel deje de responder.

Se recomienda actualizar a la versión 2.6.20.1 desde http://www.kernel.org

Opina sobre esta noticia:
http://www.hispasec.com/unaaldia/3041/comentar

Más información:

Linux Kernel NFSACL “nfsaclsvc_release_getacl()” Function Denial of Service Issue http://www.frsirt.com/english/advisories/2007/0660

Laboratorio Hispasec
laboratorio@hispasec.com

==== 19.- Vulnerabilidad en Snort de Sourcefire ==== http://www.theregister.co.uk/2007/02/20/snort_bug/
Usuarios de Snort y clientes de Sourcefire necesitan actualizar su software de deteccion de intrusion debido al descubrimiento de una vulnerabilidad de seguridad potencialmente grave.