Entre las vulnerabilidades corregidas, se pueden destacar:

* Un fallo en la ayuda de seguimiento de conexión de sctp que podría ser aprovechado por un atacante para causar una denegación de servicio accediendo a un puntero nulo.

* Un fallo en el manejo de la rutina mount en sistemas de 64 bits que podría ser aprovechada por un atacante para causar una denegación de servicio.

* Un fallo en la implementación PPP sobre ethernet que podría ser aprovechado por un atacante local para causar una denegación de servicio creando un socket, conectándose, y luego desconectándose antes de que PPPIOCGCHAN ioctl sea llamado.

* Un fallo en el manejo de fput ioctl de aplicaciones de 32 bits ejecutándose sobre plataformas de 64 bits que podría ser aprovechada por un atacante para causar una denegación de servicio.

* Un fallo en el demonio de bloqueo nfs que podría ser aprovechado por un atacante para causar una denegación de servicio.

Además de estos fallos de seguridad se han solventado varios bugs.

Se recomienda actualizar a través de las herramientas automáticas up2date.

==== 2.- Denegación de servicio a través de libsldap en Sun Solaris 8, 9 y 10 ====
Se ha descubierto una vulnerabilidad en Sun Solaris que podría ser aprovechada por un atacante para causar una denegación de servicio.

Esta vulnerabilidad se debe a un fallo en la librería libsldap. Un atacante local y sin privilegios podría deshabilitar el demonio Name Service Caching lo que provocaría que las búsquedas de nombres fuesen muy lentas.

Se recomienda actualizar a los siguientes paquetes, que según versión y plataforma se encuentran disponibles desde:

==== 3.- Denegación de servicio a través de cabeceras IPv6 en Mac OS X 10.4.x ====
Se ha descubierto una vulnerabilidad en Mac OS X que podría ser aprovechada por un atacante para causar una denegación de servicio.

Esta vulnerabilidad se debe a un error en el protocolo IPv6 a la hora de manejar cabeceras de enrutamiento de tipo 0. Un atacante podría aprovechar esta vulnerabilidad para ralentizar la red hasta el punto de dejarla inoperativa a través de paquetes especialmente manipulados.

Esta vulnerabilidad afecta a las siguientes versiones:

Apple Mac OS X versiones 10.4.x.
Apple Mac OS X Server versiones 10.4.x.

Se recomienda aplicar las siguientes actualizaciones. Según versión y plataforma se encuentran disponibles desde:

==== 4.- Ejecución de código arbitrario a través de dtsession en Sun Solaris ====
Se han descubierto varias vulnerabilidades en dtsession para Sun Solaris 8, 9 y 10.

Esta vulnerabilidad se debe a un fallo de desbordamiento de búfer en dtsession. Un atacante local sin privilegios podría aprovechar esta vulnerabilidad para ejecutar código o comandos arbitrarios con privilegios de root ya que dtsession Common Desktop Environment Session se ejecuta con dichos privilegios.

Se recomienda actualizar a los siguientes paquetes. Según versión y plataforma se encuentran disponibles desde:

===== 5.- Actualización de múltiples paquetes para productos SuSE Linux ====
SuSE ha publicado varias actualizaciones que solventan diversos problemas de seguridad.

Los problemas corregidos son:

* Posibilidad de realizar ataques de cross site scripting a través de squirrelmail.

* Errores en Blackdown JDK/JRE a la hora de decodificar imágenes.

* Denegación de servicio a través del reproductor flash gnash.

* Denegación de servicio a través de libpng. Esta vulnerabilidad se debe a un error en el manejo de crc corruptos en imágenes png en escala de grises. Un atacante podría aprovechar esto para, engañando a un usuario para que abriese un archivo png especialmente manipulado, provocar que la aplicación que use libefix dejase de responder.

* Leak de memoria a través de la función PyLocale_strxfrm de Python.

* Denegación de servicio a través de pulseaudio.

* Denegación de servicio a través de libgd a la hora de procesar imágenes debidamente manipuladas.

* Posibilidad de realizar ataques de cross site scripting a través de OTRS.

* Denegación de servicio a través de net-snmp cuando se recibe un paquete con un único byte.

Se recomienda actualizar a través de las herramientas automáticas YoU (Yast Online Update).

==== 12.- Actualización de Wireshark soluciona varios problemas de seguridad ====
Se han descubierto varias vulnerabilidades en Wireshark que podrían ser aprovechadas por un atacante para causar una denegación de servicio y potencialmente ejecutar código arbitrario. Los fallos están solucionados en la prerelease 2 de la versión 0.99.6 de Wireshark.

Wireshark (todavía muy conocido por su nombre anterior Ethereal) es una aplicación de auditoría orientada al análisis de tráfico en redes. Su popularidad es muy elevada, puesto que está disponible para múltiples plataformas, soporta una gran cantidad de protocolos, es de fácil manejo y gratuita.

Los problemas (entre otros) que soluciona esta nueva versión son:

* Un desbordamiento de buffer en el disector iSeries.

* Un fallo en los disectores DCP, ETSI, SSL y MMS que podrían ser aprovechados por un atacante para causar bucles infinitos y provocar una denegación de servicio.

* Un desbordamiento de buffer en el disector DHCP/BOOTP.

* Fallos de denegación de servicio con respuestas HTTP “partidas”.

Estas vulnerabilidades han sido confirmadas para las versiones anteriores a la 0.99.6.

Se puede actualizar a la última versión prerelease 2, disponible para su descarga desde:

Si no es posible actualizar a esta nueva versión, se pueden deshabilitar los disectores afectados como contramedida, aunque se perderá funcionalidad. En el menú “analyze”, “enabled protocols”, desactivar “HTTP”, “DCP (ETSI)”, “SSL”, “BOOTP/DHCP”, y “MMS” y guardar la configuración.

Yahoo publicó una actualización de seguridad crítica para su software Yahoo! Messenger. La actualización, corrige dos vulnerabilidades que están siendo explotadas maliciosamente.

Según reporta eEye Digital Security, son afectados los componentes YWCUPL.DLL e YWCVWR.DLL de Yahoo! Messenger, los que son propensos a desbordamientos de búfer cuando manejan datos no comprobados correctamente.

YWCUPL.DLL corresponde a un control ActiveX utilizado por la aplicación para compartir el video de la cámara Web con otros usuarios. YWCVWR.DLL está relacionado con otro control ActiveX, en este caso utilizado para la visualización por parte del usuario de la imagen de la webcam.

Aunque normalmente ambos archivos solo deberían ser utilizados con las opciones de cámara web, los controles ActiveX correspondientes, erróneamente marcados como seguros, pueden ser explotados maliciosamente para la ejecución de código, sin requerirse ninguna acción extra por parte del usuario con Yahoo! Messenger instalado en su PC, y por el simple acto de visitar una página especialmente modificada.

Aunque Yahoo! Messenger será actualizado automáticamente, se recomienda a quienes lo utilizan proceder a su rápida implementación, debido al peligro que significa la posibilidad de descarga y ejecución de código al visitarse un sitio Web.

==== 2.- Varias vulnerabilidades en IBM WebSphere Aplication Server 6.x ====
IBM ha publicado una actualización para WebSphere Aplication Server que solventa varias vulnerabilidades que podría ser aprovechadas por un atacante para eludir ciertas restricciones de seguridad o causar una denegación de servicio.

* Un error no especificado en Default Messaging Component que podría ser aprovechado para provocar que ciertos hilos dejasen de responder.

* Default Messaging Component realiza una autorización incorrecta en una interfaz remota al repositorio SDO.

* Un error no especificado con un impacto desconocido en el componente PD tools.

==== 5.- Revelación de información sensible en Apache HTTP Server 2.x ====
Se ha encontrado un problema en Apache que podría ser aprovechado por atacantes para obtener información sensible.

Existe un problema en la función recall_headers() (en
modules/cache/mod_mem_cache.c) que no copia correctamente los datos de la cabecera. Esto podría ser aprovechado por atacantes para obtener información sensible a través de peticiones especialmente manipuladas.

Sólo se ve afectada la rama 2.2.4.

==== 6.- Denegación de servicio a través de BIND DNSSEC en Sun Solaris 10 ====
Se ha descubierto una vulnerabilidad en Sun Solaris 10 que podría ser aprovechada por un atacante para causar una denegación de servicio.

Esta vulnerabilidad se debe a un error en bind dnssec, que podría ser aprovechado por un atacante para provocar que el proceso bind dejase de funcionar.

Se ha publicado una solución para esta vulnerabilidad. Se recomienda actualizar a los siguientes paquetes.

SPARC
Solaris 10 con parche 119783-02 o posterior.

x86
Solaris 10 con parche 119784-02 o posterior.

Esta actualización proporciona BIND 9.3.4 que implementa DNSSEC-bis.

==== 7.- Actualización para Mac OS X para evitar dos vulnerabilidades ====
Apple ha publicado una actualización para Mac OS X que solventa dos vulnerabilidades.

* Una conversión de tipo inválida al renderizar conjuntos frame sets en WebKit que podría ser aprovechado por un atacante para ejecutar código arbitrario a través de un sitio web especialmente manipulado.

* Un error de validación de entrada de datos al procesar cabeceras pasadas al objeto xmlhttprequest en WebCore que podría ser aprovechado por un atacante para inyectar peticiones http arbitrarias.

==== 8.- Actualización del Kernel para productos Red Hat Enterprise Linux 4 ====
Red Hat ha publicado una actualización del Kernel para la línea de productos Red Hat Enterprise Linux 4 que solventa varias vulnerabilidades.

Entre las vulnerabilidades corregidas, se pueden destacar:

* Un fallo en la ayuda de seguimiento de conexión de sctp que podría ser aprovechado por un atacante para causar una denegación de servicio accediendo a un puntero nulo.

* Un fallo en el manejo de la rutina mount en sistemas de 64 bits que podría ser aprovechada por un atacante para causar una denegación de servicio.

* Un fallo en la implementación PPP sobre ethernet que podría ser aprovechado por un atacante local para causar una denegación de servicio creando un socket, conectándose, y luego desconectándose antes de que PPPIOCGCHAN ioctl sea llamado.

* Un fallo en el manejo de fput ioctl de aplicaciones de 32 bits ejecutándose sobre plataformas de 64 bits que podría ser aprovechada por un atacante para causar una denegación de servicio.

* Un fallo en el demonio de bloqueo nfs que podría ser aprovechado por un atacante para causar una denegación de servicio.

Además de estos fallos de seguridad se han solventado varios bugs.

Se recomienda actualizar a través de las herramientas automáticas up2date.

VMware es un software que permite ejecutar diferentes sistemas operativos en un mismo PC de forma virtual. Entre otras aplicaciones, VMware es muy utilizado en seguridad informática por la versatilidad que ofrece. Por ejemplo, se suele utilizar de forma habitual en la investigación del malware, ya que permite ejecutar y analizar los especimenes en entornos virtuales controlados.

Las vulnerabilidades anunciadas son:

* Un error en la implementación de ACPI cuando recoge información sobre el estado de los procesos en ejecución de las máquinas virtuales podría ser aprovechado por un atacante para provocar que el proceso leyese partes de memoria inválidas.

* Un error no especificado en VMX al guardar ciertas configuraciones malformadas que podría ser aprovechado por un atacante para causar una denegación de servicio.

* Un error no especificado en el manejo de fallos de protección general (GPFs), en sistemas Windows virtualizados podría ser aprovechado por un atacante para hacer que deje de funcionar el sistema virtual.

* Errores no especificados a la hora de depurar aplicaciones en un sistema virtualizado Windows 64-bit podría ser aprovechado por un atacante para provocar punteros corruptos por ejemplo.

* Un error de diseño en las carpetas compartidas podría ser aprovechado en un sistema virtual para leer y escribir ficheros arbitrarios en el sistema huésped. Para que un atacante pudiera aprovechar esta vulnerabilidad sería necesario que hubiese al menos una carpeta compartida y que la opción de solo lectura estuviese deshabilitada.

==== 4.- Actualización del kernel para Red Hat Enterprise Linux 5.x ====
Red Hat ha publicado una actualización para el kernel que solucionan múltiples vulnerabilidades que podrían permitir a un atacante provocar una denegación de servicio:

* Un error en el manejo del sockets en IPv6 permitía a un usuario local leer memoria del kernel o causar una denegación de servicio.

* Un error en utrace permitía a un usuario local producir una denegación de servicio en el sistema.

* Fuga de memoria en el subsistema de auditoría.

* Corrupción de datos en los sistemas s390.

Se recomienda actualizar a través de las herramientas automáticas up2date. Según versión y plataforma, las actualizaciones están disponibles desde Red Hat Network.

==== 5.- Múltiples vulnerabilidades a través de VPN en dispositivos Cisco PIX y ASA ====
Se han encontrado varias vulnerabilidades en Cisco PIX y ASA por las que un atacante remoto podría eludir la autenticación LDAP o provocar una denegación de servicio.

* Un atacante remoto podría eludir la autenticación en dispositivos que usen servidores LDAP AAA para autenticar túneles IPSec basados en L2TP.
Se ven afectados los dispositivos configurados para usar LDAP en conjunto con CHAP, MS-CHAPv1, o MS-CHAPv2 para autenticación.

* Un atacante remoto que tuviese conocimiento del nombre IPSec de un grupo VPN y de la contraseña de grupo, podría provocar una denegación de servicio en el túnel VPN si está configurado para que la contraseña expire. El dispositivo víctima se recargaría.

* Los Cisco ASA que usen VPNs basadas en SSL son vulnerables a una denegación de servicio a través del servidor SSL VPN HTTP. Un atacante tendría que provocar una condición de carrera para poder llevar a cabo el ataque.

Cisco ha puesto a disposición de sus clientes software para solucionar el problema, a través de los canales habituales.

==== 6.- Múltiples vulnerabilidades en PHP 4.4.x y 5.2.x ====
Se han descubierto múltiples vulnerabilidades en PHP de las cuales algunas tienen un impacto desconocido y otras podrían ser aprovechadas por un atacante para obtener acceso a información importante, manipular datos, eludir restricciones de seguridad o causar denegaciones de servicios.

* Un error no especificado en ftp_putcmd podría ser aprovechado por un atacante para inyectar caracteres newline.

* Un error no especificado en import_request_variables podría ser aprovechado por un atacante para sobrescribir variables globales.

* Un error no especificado podría ser aprovechado para causar un desbordamiento de buffer en la función make_http_soap_request.

* Un error no especificado podría ser aprovechado para causar un desbordamiento de búfer en la función user_filter_factory_create.

* Un error no especificado en la librería libxmlrpc podría ser aprovechado por un atacante remoto para causar un desbordamiento de búfer.

* Un error de la validación de la entrada de datos en la función mail permitiría a un atacante inyectar cabeceras a través de los parámetros To y Subject.

* Un error en la función mail permitiría a un atacante truncar mensajes a través de bytes ASCIIZ

* Los mecanismos de protección safe_mode y open_basedir podrían ser eludidos por un atacante a través de los wrappers zip:// y bzip://

* Un desbordamiento de entero en substr_compare podría ser aprovechado por un atacante para leer la memoria más allá de la zona de memoria donde están localizadas las variables de PHP. Esto también afecta a la función substr_count.

* Un error en mb_parse_str podría ser aprovechado por un atacante para activar register_globals.

* Un error en el motor Zend referido a los arrays anidados de variables podría ser aprovechado por un atacante para hacer que una aplicación dejase de funcionar.

Se recomienda otorgar permisos de ejecución de código PHP sólo a usuarios de confianza.

==== 7.- Dos vulnerabilidades en Novell Secure Login 6.x ====
Se han descubierto dos vulnerabilidades en Novell Secure Login (solución single sign-on de Novell) de las cuales una tiene un impacto desconocido y la otra podría ser aprovechada por un atacante para obtener una escalada de privilegios.

* Se ha detectado un error no especificado cuando se cambia la contraseña de Active Directoy.

* Un error en la utilidad ADSCHEMA podría otorgar a los usuarios permisos excesivos.

Estas vulnerabilidades afectan a entornos con Active Directory.

Se ha publicado una solución oficial a estas vulnerabilidades. Se recomienda aplicar el parche 6.0.106. La descarga se encuentra disponible desde:

==== 8.- Siete boletines de seguridad de Microsoft en mayo ====
Tal y como adelantamos, este martes Microsoft ha publicado siete boletines de seguridad (MS07-023 al MS07-029) dentro de su ciclo habitual de actualizaciones. Según la propia clasificación de Microsoft todos los boletines presentan un nivel de gravedad “crítico”.

* MS07-023: Evita tres vulnerabilidades en Microsoft Excel que pueden ser explotadas por atacantes remotos para comprometer los sistemas afectados.

* MS07-024: Se trata de una actualización para evitar tres vulnerabilidades en Microsoft Word que podrían permitir a un atacante remoto ejecutar código arbitrario.

* MS07-025: Esta actualización resuelve una vulnerabilidad en Microsoft Office que podría permitir la ejecución remota de código y obtener completo control del sistema.

* MS07-026: Esta actualización resuelve cuatro vulnerabilidades en Microsoft Exchange que pueden permitir a un atacante remoto obtener información sensible, provocar denegaciones de servicio o incluso la ejecución de código arbitrario.

* MS07-027: Actualización acumulativa para Microsoft Internet Explorer que además soluciona cinco nuevas vulnerabilidades que podrían permitir la ejecución remota de código arbitrario. Afecta a Internet Explorer 5.01, 6 y 7.

* MS07-028: En este boletín, de carácter crítico como todos los publicados, se ofrece la resolución para una vulnerabilidad de ejecución remota de código arbitrario en Cryptographic API Component Object Model, CAPICOM. Afecta a Microsoft CAPICOM 1.X y Microsoft BizTalk Server 2004.

* MS07-029: Se trata de la actualización para la vulnerabilidad en la implementación de la interfaz RPC del servidor DNS (Domain Name System) de Windows y que ya ha sido ampliamente analizada en “una-al-día”.

Las actualizaciones publicadas pueden descargarse a través de Windows Update o consultando los boletines de Microsoft donde se incluyen las direcciones de descarga directa de cada parche. Dada la gravedad de las vulnerabilidades se recomienda la actualización de los sistemas con la mayor brevedad posible.

==== 11.- Vulnerabilidades en Trend Micro ServerProject 5.x ====
Se han descubierto dos vulnerabilidades en Trend Micro ServerProject
5.58 que podrían ser aprovechadas por un atacante para causar una denegación de servicios o para obtener control total sobre la máquina atacada.

* Un desbordamiento de pila en la función CAgRpcClient::CreateBinding cuando procesa paquetes especialmente manipulados enviados al puerto TCP 5168. Un atacante podría aprovechar esto para hacer que el proceso SpntSvc.exe dejase de funcionar o para ejecutar código arbitrario con privilegios de sistema.

* Un desbordamiento de pila en la función RPCFN_EVENTBACK_Online a la hora de manejar llamadas especialmente manipuladas al puerto TCP 3628.
Un atacante remoto podría hacer que el proceso EarthAgent.exe dejase de funcionar o podría comprometer el sistema.

Estas vulnerabilidades afectan a Trend Micro ServerProtect for Windows
5.58 y anteriores.

Se ha publicado una solución oficial. Se recomienda instalar los siguientes parches:

==== 14.- Actualización para IBM WebSphere Aplication Server 6.x ====
IBM ha publicado una solución para un problema en IBM WebSphere Aplication 6.0.2.

La vulnerabilidad corregida se debe a un error de liberación insegura
(“double-free”) en Java Message Service (JMS) y podría ser aprovechada por un atacante para causar una denegación se servicio o para comprometer un sistema vulnerable.

==== 15.- Varias vulnerabilidades en Nokia Intellisync Mobile Suite ====
Se han descubierto varias vulnerabilidades en Nokia Intellisync Mobile Suite que podría ser aprovechado por un atacante para desvelar información, realizar ataques por cross-site scripting, manipular datos o causar denegaciones de servicio.

* Ciertos scripts ASP de autenticación no son debidamente comprobados.
Un atacante podría aprovechar esta vulnerabilidad para revelar detalles del usuario o deshabilitar cuentas.

* Ciertas entradas de datos pasadas a de/pda/dev_logon.asp, usrmgr/registerAccount.asp, y de/create_account.asp no son debidamente comprobadas antes de ser devueltas al usuario. Un atacante podría aprovechar esto para ejecutar código HTML o scripts arbitrarios en el navegador del usuario atacado.

* Un error de límite en el servidor Apache Tomcat podría ser aprovechado por un atacante para listar directorios y leer el código fuente de ciertos scripts.

Estas vulnerabilidades han sido confirmadas para las versiones 6.4.31.2,
6.6.0.107 y 6.6.2.2 y afecta parcialmente a Nokia Intellisync Wireless Email Express.

Se recomienda actualizar a GSM2

==== 17.- Actualización de Linux Kernel para SuSE Linux 9.x ====
SuSE Linux ha publicado una actualización del Kernel que solventa varios problemas.

* El controlador ftdi_sio permitiría a un atacante local causar una denegación de servicios mediante la escritura por el puerto serie de más datos de los que el hardware puede soportar.

* Múltiples desbordamientos de búfer en la función cmtp_recv_interopmsg del controlador de Bluetooth net/bluetooth/cmtp/capi.c, lo que permitiría a un atacante remoto provocar una denegación de servicio o la ejecución de código arbitrario a través de mensajes CAPI con un valor excesivamente largo para los campos manu (fabricante) o serial (numero de serie).

* La función isdn_ppp_ccp_reset_alloc_state en drivers/isdn/isdn_ppp.c en el Kernel no hace la llamada a la función init_timer para poner a cero el temporizador lo cual podría desembocar en una denegación de servicio.

* Una vulnerabilidad no especificada en listxattr cuando un inodo malo está presente, lo que permitiría a un atacante causar una denegación de servicio y posiblemente una escalada de privilegios.

* Un problema en el protocolo AppleTalk podría permitir a un atacante local causar una denegación de servicio a una máquina de su mismo segmento de red.

* Un atacante local podría provocar una doble liberación de una estructura ipv6 y causar una denegación de servicio.

Se recomienda actualizar a través de las herramientas automáticas YoU (Yast Online Update).

==== 18.- Actualización acumulativa de seguridad para Microsoft Internet Explorer ====
Dentro del conjunto de boletines de mayo publicado esta semana por Microsoft y del que efectuamos un resumen el pasado martes, se cuenta el anuncio (en el boletín MS06-027) de una actualización acumulativa para Internet Explorer, que además solventa un total de cinco nuevas vulnerabilidades descubiertas en las versiones 5.01, 6 y 7 del navegador.

La primera se debe a un problema en la forma en la que Internet Explorer instancia objetos COM que no fueron diseñados para ser instanciados desde este. Un atacante puede aprovechar esto para ejecutar código arbitrario en la máquina de la víctima si esta visita una página web maliciosa especialmente construida a tal efecto.

La segunda se debe a la forma en la que Internet Explorer accede a objetos cuando no han sido aún inicializados o han sido borrados. Un atacante puede explotar esto construyendo una página web maliciosa que, una vez visitada por la víctima, provocará la ejecución de código arbitrario en el sistema de la misma.

La tercera se debe a la forma en la que Internet Explorer trata un método de propiedad. Un atacante puede crear una página maliciosa que, una vez visitada por la víctima, provocará la ejecución de código arbitrario en el sistema de la misma.

La cuarta se debe a una serie de problemas de Internet Explorer a la hora de acceder a memoria sin inicializar en ciertas situaciones. Un atacante puede crear una página maliciosa que, una vez visitada por la víctima, provocará la ejecución de código arbitrario en el sistema de la misma.

Por último, también se ha corregido un problema en un componente de servicio de medios que no era soportado por Internet Explorer. Un atacante puede crear una página maliciosa que, una vez visitada por la víctima, provocará la ejecución de código arbitrario en el sistema de la misma.

==== 20.- Revelación de información del sistema a través de srsexec en Sun Solaris 10 ====
Se ha descubierto una vulnerabilidad en Sun SRS Proxy Core que podría ser aprovechada por un atacante para revelar información importante del sistema.

La vulnerabilidad se debe a un error de diseño en srsexec, que queda instalado con setuid root y no hace una comprobación correcta de los permisos de los archivos de destino. Un atacante podría aprovechar esta vulnerabilidad para revelar la primera línea de ciertos archivos (como
/etc/shadow) con los parámetros –v y –d.

La vulnerabilidad afecta al paquete SUNWsrspx incluido en Sun Solaris 10 y podría ser empleada para obtener el hash de la contraseña de root o cualquier otro tipo de información sensible.

==== 21.- Varias vulnerabilidades en Samba 3.x ====
Se han descubierto varias vulnerabilidades en Samba. Que podrían ser aprovechadas por un atacante para obtener una escalada de privilegios, o para comprometer un sistema vulnerable.

Samba es una implementación Unix “Open Source” del protocolo SMB/NetBIOS, utilizada para la compartición de archivos e impresora en entornos Windows. Gracias a este programa, se puede lograr que máquinas Unix y Windows convivan amigablemente en una red local, compartiendo recursos comunes. Incluso es factible utilizar un servidor Samba para, por ejemplo, actuar como controlador de un dominio Microsoft Windows.

* Un error en smbd a la hora de traducir los SID podría permitir a un atacante realizar operaciones en el protocolo SMB/CIFS con privilegios de root. Para ello el atacante debería tener las credenciales de un usuario.

* Varios errores en el análisis ndr. Un atacante podría aprovechar esto para causar un desbordamiento de heap a través de peticiones ms-rpc especialmente manipuladas y conseguir ejecutar código arbitrario. Para que el ataque tuviese éxito, el atacante debería tener las credenciales de un usuario.

* Un error de entrada al actualizar la contraseña de un usuario. Un atacante podría aprovechar este error para ejecutar comandos shell arbitrarios a través de una llamada ms-rpc especialmente manipulada.
Para que un atacante pudiera aprovechar esto la opción username map script debería estar habilitada en smb.conf, y para que pudiera aprovecharlo a través de un servidor de impresión y archivos, el atacante debería tener las credenciales de un usuario.

==== 22.- Múltiples vulnerabilidades en productos BEA WebLogic ====
Se han anunciado hasta un total de trece vulnerabilidades en productos de la familia BEA WebLogic que pueden permitir a los atacantes evitar comprobaciones de seguridad, descubrir información sensible o provocar denegaciones de servicio.

Entre otros, los problemas se deben a varios errores de validación de entradas, errores en el puerto SSL del servidor WebLogic, un uso incorrecto del nombre de usuario y contraseña definidos en la configuración Bridge-destination o diversos errores en la consola de administración.

Otras vulnerabilidades residen en el comando “configToScript”, en el módulo LDAP, en JMS o en “HttpClusterServlet” y “HttpProxyServlet”.

Se ven afectados los BEA WebLogic Server versiones 9, 8, 7 y 6; BEA WebLogic Portal 9, BEA WebLogic Integration 9 y BEA WebLogic Workshop/Integration 8.

==== 25.- Escalada de privilegios a través de fallos en MySQL 5 y 4 ====
Se han descubierto dos vulnerabilidades en MySQL que podrían ser aprovechadas por un atacante para obtener una escalada de privilegios.

La primera vulnerabilidad se trata de un fallo que permitiría a un usuario sin privilegios DROP renombrar una tabla.

La segunda vulnerabilidad se debe a que las rutinas almacenadas definidas con SQL SECURITY INVOKER no vuelven a establecer los privilegios originales, lo que permitiría a un atacante obtener una escalada de privilegios.

Estas vulnerabilidades han sido resueltas en la versión 5.1.18-beta y será solventada en las versiones 5.0.42 y 4.1.23.

==== 28.- Actualización del Kernel para Red Hat Enterprise Linux v5 ====
Red Hat ha publicado una actualización del kernel para la versión Enterprise Linux 5. Esta actualización solventa varias vulnerabilidades.

* Un error en el manejo de las cabeceras de enrutamiento IPv6 de tipo 0 que podría ser aprovechada por un atacante para causar una denegación de servicio.

* Un error en el módulo nfnetlink_log de netfilter que podría ser aprovechado por un atacante para causar una denegación de servicio.

* Un error en el flujo de la lista de puertos IPv6 a la escucha que podría ser aprovechado por un atacante local para causar una denegación de servicio.

* Un error en el manejo de los mensajes netlink que permitiría a un atacante local provocar una denegación de servicio.

* Un error en el reenvio IPv4 que permitiría a un atacante local tener acceso fuera de los límites establecidos.

* Un error en el módulo nf_conntrack_netfilter para IPv6 que permitiría a un atacante remoto eludir ciertas reglas de netfilter utilizando fragmentos IPv6 especialmente manipulados.

Las actualizaciones se encuentran disponibles en Red Hat Network. Se recomienda actualizar a través de las herramientas automáticas up2date.

==== 29.- Dos vulnerabilidades en tratamiento de imágenes en Sun JDK 1.5.x ====
Se han descubierto varias vulnerabilidades en Sun JDK (Java Development
Kit) que podrían ser aprovechadas por un atacante para provocar una denegación de servicio o para comprometer un sistema afectado.

* Un desbordamiento de enteros en el analizador de los perfiles icc de imágenes jpg y bmp. Un atacante podría aprovechar esto para ejecutar código arbitrario, manipulando una aplicación para que utilice una imagen especialmente manipulada.

* El analizador de ficheros bmp intenta acceder a /dev/tty mientras analiza los ficheros. Un atacante podría aprovechar esto para causar una denegación de servicio haciendo que una aplicación procese un archivo bmp especialmente manipulado.

Estas vulnerabilidades solo afectan a JVM sobre Linux o sistemas operativos Unix y confirmadas en la versión 1.5.01.5.0_07-b03, aunque otras versiones también podrían verse afectadas.

==== 5.- Credenciales por defecto en Cisco NetFlow Collection Engine ====

Cisco acaba de notificar la existencia de un problema de seguridad en el NetFlow Collection Engine (NFC) de los Cisco Network Services (CNS) con versiones anteriores a la 6.0 que permitiría a un atacante realizar cambios de configuración o, en algunos casos, acceder al sistema operativo que hospeda dicho software.

El problema se debe a que las versiones afectadas tienen usuarios y claves por defecto que, si son conocidas por un atacante, pueden ser utilizadas para acceder a dicho NetFlow Collection Engine.

Se recomienda cambiar la clave del usuario nfc-user por una con suficiente robustez.

==== 6.- Ejecución de código a través de productos Zone Alarm ====
Se han detectado varias vulnerabilidades en productos Check Point Zone Alarm que podrían ser aprovechadas por atacantes, para comprometer un sistema vulnerable.

El fallo está localizado en los IOCTL handlers 0×22208F y 0×2220CF dentro del driver srescan.sys. Los parámetros Irp no son correctamente verificados, por lo que un atacante podría utilizar estos IOCTL para realizar una escritura en memoria. Para IOCTL 0×2220CF, el atacante podría introducir el valor constante 0×30000, mientras que para IOCTL 0×22208F podría escribir el contenido del buffer devuelto por ZwQuerySystemInformation.

Esta vulnerabilidad podría provocar:

* La ejecución de código dentro del contexto del kernel.
* Gracias a que los mecanismos de control de acceso configurados por defecto permiten que cuentas restringidas puedan acceder a los drivers del dispositivo afectado, un atacante podría conseguir una escalada de privilegios al nivel de SYSTEM.

Se ha confirmado la existencia de estas vulnerabilidades para la versión 5.0.63.0 de srescan.sys instalado con la versión Zone Alarm Free, pero no se descarta que otras versiones puedan estar también afectadas.

==== 7.- Denegación remota de servicio a través de Ipv6 en el kernel 2.6.x de Linux ====
Se ha encontrado una vulnerabilidad en el kernel de linux que puede ser aprovechada por atacantes remotos para provocar una denegación de servicio.

El fallo se debe a un error de diseño en el protocolo Ipv6 a la hora de manejar cabeceras de ruta de tipo 0. Esto podría ser aprovechado por atacantes remotos para provocar una denegación de servicio si se envían paquetes especialmente manipulados.

==== 10.- Tres vulnerabilidades en Routers Nortel VPN ====
Se han descubierto tres vulnerabilidades en Routers Nortel VPN (modelos 1000, 2000, 4000 y 5000.) que podrían ser aprovechadas por un atacante para eludir restricciones de seguridad y obtener acceso a información importante.

La primera vulnerabilidad se debe a la existencia de dos usuarios configurados por defecto, FIPSecryptedtest1219 y FIPSunecrypted1219 en la plantilla LDAP. Un atacante que tuviera esa información podría utilizarla para obtener acceso no autorizado a la red privada.

La segunda vulnerabilidad se debe a que en dos plantillas de la consola de administración web no existe comprobación de autenticación. Un atacante podría manipular ciertas configuraciones en un aparato afectado por esta vulnerabilidad.

La tercera vulnerabilidad está causada por un error en el diseño. Todos los routers VPN utilizan la misma clave DES para cifrar las contraseñas.
Un atacante podría aprovechar esto para intentar un ataque por fuerza bruta.

==== 11.- Vulnerabilidad en QuickTime al procesar archivos .MP4 ====
Se ha reportado un desbordamiento de búfer en Apple QuickTime 7.1.5 que también afecta a todas las versiones 7.1.x anteriores.

El problema se produce por un error al definir los límites asignados a la entrada de determinados datos, cuando la aplicación intenta procesar un archivo .MP4 malformado.

MP4 es un formato de contenedor multimedia definido dentro del estándar MPEG-4, que permite almacenar diferentes tipos de datos comprimidos mediante códecs estándares de audio y video, así como otra información (por ejemplo, subtítulos). QuickTime es compatible con el estándar MPEG-4 desde la versión 7.1.

El fallo ocasiona un desbordamiento de la memoria HEAP (la porción de memoria disponible para un programa, también llamada área de memoria dinámica).

Concretamente, la vulnerabilidad se produce en la función FlipFileTypeAtom_BtoN(), cuando la misma interpreta datos erróneos, provocando un “segmentation fault”. Este error ocurre cuando un proceso ha sido abortado por acceder a una dirección de memoria ilegal, generalmente por el uso incorrecto de algún puntero.

Esto puede permitir a un atacante remoto causar una denegación de servicio en la aplicación (QuickTime deja de responder y se congela). También podría llegar a ejecutar código en el contexto del usuario actual.

Un ataque exitoso requiere que la víctima sea convencida para que descargue un archivo .MP4 malicioso.

Este error fue reportado en noviembre de 2006, Cómo el fabricante aún no lo ha solucionado, su descubridor lo ha hecho público.

==== 12.- Vulnerabilidades en Sun Java Web Console 2.x y Sun Solaris 10 ====

Se ha descubierto una vulnerabilidad de seguridad que permitiría a un atacante causar una denegación de servicios o la ejecución de código arbitrario en Sun Java Web Console anterior a la versión 2.2.6 y Sun Solaris 10.

La Sun Java Web Console es vulnerable a un formato de cadena concreto, cuya raíz reside en la creación de registros de logins erroneos, por lo que puede ser aprovechada por usuarios remotos no autentificados.

Esta vulnerabilidad se da cuanto se llama a la función libc syslog en /usr/lib/libwebconsole_services.so con dos argumentos, en lugar de tres, lo que permitiría a un atacante influir en el buffer de mensaje.

Como solución se propone actualizar Sun Java Web Console a la versión
2.2.6 o posteriores:
www.sun.com/download/products.xml?id=461d58be

Para Sun Solaris 10 se han publicado los siguientes parches:

SPARC:
*sunsolve.sun.com/search/document.do?assetkey=urn:cds:docid:1-21-121211-02-1
X86
*sunsolve.sun.com/search/document.do?assetkey=urn:cds:docid:1-21-121212-02-1

==== 0.- Blog y Portal FIMPES ====
Recordarles que pueden acceder al portal de la Comisión en la siguiente
dirección:

http://www.upmx.mx/fimpes

Este contiene información que puede ser útil para nuestras labores y también se invita a todos a participar. El portal tiene autenticación, por lo que si desean ingresar, sólo tienen que enviar un correo con su solicitud a Carlos Chávez Paz a chavezp@mx.up.mx y él con todo gusto podrá ayudarles a ingresar.

Y desde el 27 de Marzo el nuevo BLOG
http://fimpes.blogspot.com/

Si deseas colaborar y no sólo ser un lector, puedes encontrar más información en la siguiente liga:
http://fimpes.blogspot.com/2007/03/bienvenidos.html

==== 00.- Agenda de la Séptima Reunión de la Comisión de Tecnologías de Información de FIMPES ==== http://fimpes.blogspot.com/2007/04/agenda.html

=== 1.- Grupo de parches de abril para diversos productos Oracle === Tal y como anunciamos recientemente Oracle ha publicado un conjunto de
36 parches para diversos productos de la casa que solventan una larga lista de vulnerabilidades sobre las que apenas han dado detalles concretos. Las consecuencias son que atacantes locales y remotos pueden provocar denegaciones de servicio, ejecutar código arbitrario, tener acceso de escritura y lectura a datos sensibles, perpetrar ataques de inyección SQL y eludir restricciones de seguridad.

La lista de productos afectados es la siguiente:
* Oracle Database 10g Release 1, versiones 10.1.0.4, 10.1.0.5
* Oracle9i Database Release 2, versiones 9.2.0.7, 9.2.0.8
* Oracle Secure Enterprise Search 10g Release 1, versión 10.1.6
* Oracle Application Server 10g Release 3 (10.1.3), versiones 10.1.3.0.0, 10.1.3.1.0, 10.1.3.2.0
* Oracle Application Server 10g Release 2 (10.1.2), versiones
10.1.2.0.1 – 10.1.2.0.2, 10.1.2.1.0, 10.1.2.2.0
* Oracle Application Server 10g (9.0.4), versión 9.0.4.3
* Oracle10g Collaboration Suite Release 1, versión 10.1.2
* Oracle E-Business Suite Release 11i, versiones 11.5.7 – 11.5.10 CU2
* Oracle E-Business Suite Release 12, versión 12.0.0
* Oracle Enterprise Manager 9i Release 2, versiones 9.2.0.7, 9.2.0.8
* Oracle Enterprise Manager 9i, versión 9.0.1.5
* Oracle PeopleSoft Enterprise PeopleTools versiones 8.22, 8.47, 8.48
* Oracle PeopleSoft Enterprise Human Capital Management versión 8.9
* JD Edwards EnterpriseOne Tools versión 8.96
* JD Edwards OneWorld Tools SP23
* Oracle9i Database Release 1, versiones 9.0.1.5, 9.0.1.5 FIPS
* Oracle9i Database Release 2, versiones 9.2.0.5
* Oracle Database 10g Release 2, versión 10.2.0.1

De las 36 correcciones:

* 13 afectan a Oracle Database. Además se publica una actualización para Oracle Enterprise Manager, otra para Oracle Workflow Cartridge, y otra para Ultra Search component. Dos de ellas no requieren un usuario y contraseña válidos para poder ser aprovechadas. Dos de ellas son aplicables a instalaciones de Oracle Database client.

* Una corrección para Oracle Enterprise Manager.

* Cinco vulnerabilidades de Oracle Application Server. Una de Oracle Workflow Cartridge y una de Oracle Secure Enterprise Search también afectan a Oracle Application Server. Dos de las cuales son aprovechables de forma remota sin necesidad de autenticación.

* Un parache para Oracle Collaboration Suite que no puede ser aprovechado de forma remota sin autenticación.

* 11 parches en Oracle E-Business Suite y Applications. Dos de ellas son aprovechables de forma remota sin autenticación.

* Un nuevo parche para Oracle Enterprise Manager, que podría ser aprovechable de forma remota sin autenticación.

* Dos nuevos parches para Oracle PeopleSoft Enterprise. Un nuevo parche para PeopleSoft Enterprise Human Capital Management, y un nuevo parche para JD Edwards EnterpriseOne y JD Edwards OneWorld Tools.

Para comprobar las matrices de productos afectados, gravedad y la disponibilidad de parches, es necesario comprobar la notificación
oficial:

Oracle Critical Patch Update – April 2007:
http://www.oracle.com/technology/deploy/security/critical-patch-updates/cpua
pr2007.html

Critical Patch Update – April 2007 Documentation Map:
http://metalink.oracle.com/metalink/plsql/ml2_documents.showDocument?p_datab
ase_id=NOT&p_id=420060.1

Opina sobre esta noticia:
http://www.hispasec.com/unaaldia/3098/comentar

Más información:

Oracle Critical Patch Update – April 2007:
http://www.oracle.com/technology/deploy/security/critical-patch-updates/cpua
pr2007.html

Critical Patch Update – April 2007 Documentation Map:
http://metalink.oracle.com/metalink/plsql/ml2_documents.showDocument?p_datab
ase_id=NOT&p_id=420060.1

Laboratorio Hispasec
laboratorio@hispasec.com

==== 2.-Múltiples vulnerabilidades en varios servicios de IBM Tivoli Monitoring ==== Se han identificado diversas vulnerabilidades en IBM Tivoli Monitoring que podrían permitir a un atacante la ejecución de código arbitrario en sistemas afectados.

Estas vulnerabilidades son causadas por un desbordamiento de buffer ocasionado al procesar cádenas con una longitud demasiado grande. Son varios los servicios que se ven afectados por este fallo: el Tivoli Universal Agent Primary (con puerto TCP de escucha 10110), el Monitoring Agent for Windows OS – Primary (con puerto TCP 6014)y el Tivoli Enterprise Portal Server (este con puerto TCP 14206).

Si un atacante enviara solicitudes muy extensas a cualquiera de estos servicios, se produciría un desbordamiento de pila durante la llamada a una función incluida en kde.dll, lo que posibilitaría la ejecución de código en el sistema sin necesidad de ser un usuario autentificado.

IBM recomienda actualizar a IBM Tivoli Monitoring versión 6.1.0 Fix Pack 2
(6.1.0-TIV-ITM-FP0002)
ftp://ftp.software.ibm.com/software/tivoli_support/patches/patches_6.1.0/6.1
.0-TIV-ITM-FP0002/

Opina sobre esta noticia:
http://www.hispasec.com/unaaldia/3099/comentar

Más información:

IBM Tivoli Monitoring Express Universal Agent Heap Overflow Vunlerability http://www.zerodayinitiative.com/advisories/ZDI-07-018.html

IBM Tivoli Monitoring Version 6.1.0 Fix Pack 2 (6.1.0-TIV-ITM-FP0002)
http://www-1.ibm.com/support/docview.wss?uid=swg24012341

Laboratorio Hispasec
laboratorio@hispasec.com

==== 3.- Congreso Seguridad en Computo Mexico 2007 ====
                           “Combatiendo el Ecrime”

                           Ciclo de Conferencias
                             Palacio de Mineria
                         Junio 7 – Junio 8 de 2007

                          Ciudad de Mexico, Mexico
  ========================================================================

  La Universidad Nacional Autsnoma de Mixico a travis del Departamento de
  Seguridad en Csmputo/UNAM-CERT de la Direccisn General de Servicios de
  Csmputo Acadimico, organiza el Congreso de Seguridad en Csmputo 2007,
  uno de los principales eventos en Latinoamirica relacionado con la
  seguridad informatica en cualquiera de sus ramas.

  El evento “Congreso de Seguridad en Csmputo 2007 Mexico” tiene como
  objetivo concientizar a la comunidad usuaria de csmputo sobre las
  medidas de seguridad necesarias para proteger la informacisn en
  cualquiera de sus formas.

  Bajo el lema “Combatiendo el Ecrime”, para la dicima segunda edicirn del
  Congreso Seguridad en Computo 2007 la UNAM reunir` a reconocidos
  llderes mundiales en materia de seguridad inform`tica, con la finalidad
  de discutir las principales amenazas que involucra el ecrime
  (phishing, virus, gusanos, spam, ataques, DDoS) y que afectan a las
  organizaciones que se encuentren relacionadas con el uso de Internet,
  desde las instituciones publicas, bancarias, hasta el usuario final.

             ————————————————–
                          Lineas de Especializacisn

                              Centro Mascarones
                          Junio 1 a Junio 6 de 2007
             ————————————————–

        Como labor importante en la capacitacisn, se impartiran lmneas de
        especializacisn en formato de talleres Tesrico-Practicos que se
        enfocaran a diversos tspicos de la seguridad en csmputo.

        L1. Administracisn y Seguridad en Windows
        L2. Administracisn y Seguridad en Unix
        L3. Csmputo Forense y Legislacisn Relacionada
        L4. Seguridad Perimetral y de Red
        L5. Ticnicas de Intrusisn, Analisis de Vulnerabilidades y Pentest
        L6. Deteccisn de Intrusos y Tecnologmas Honeypots
        L7. Estandares, Planeacion y Administracion de la Seguridad en
            Computo
        ** Talleres

                           !!  REGISTRO DISPONIBLE !!

              ————————————————–
                            Conferencias Magistrales

        * Peter Cassidy
        Secretario General del AntiPhishing Working Group

        * Lance Spitzner
        Presidente de Honeynet Project

        * Mikko H. Hyppvnen
        Director de Anti-Virus Research en F-Secure Corp

        * Lance James
        Fundador de SecureScience y Autor del Libro “Phishing Exposed”

        * Jose Nazario
        Especialista en Ecrime en Internet

        * Richard Perlotto
        Proyecto ShadowServer

        * Jason A. Rafail
        Contacto de colaboracisn y alerta
        Miembro del staff ticnico CERT/CC

        * Paul Vixie
        Experto en Seguridad DNS

        * Francisco Monserrat
        RedIRIS -Espaqa

              ————————————————–
                           ?Quienes deben asistir?

    *  Los  administradores  de   sistemas  interesados  en  el  campo  de
la
      seguridad.

    * Personas  que se  encuentren trabajando en  el campo de  la
      seguridad y manejo de incidentes de seguridad en csmputo.

    *  Quien esti  interesado  en la  seguridad  en csmputo  en general  y en
      conocer a personas expertas  en la materia, para mejorar sus programas,
      esquemas  e implementacisn  de  herramientas de  seguridad y  a  la vez
      compartir sus experiencias y conocimientos.

    * Las  personas que tengan planes de  establecer un equipo de respuesta a
      incidentes de seguridad en csmputo.

    *  Toda persona  con interis  en la  seguridad en  redes, herramientas de
      monitoreo, deteccisn de intrusos y firewalls.

    *  Los   directivos  de   empresas  que  estin   interesados  en
realizar
      transacciones seguras  a travis de Internet  y necesiten incrementar la
      seguridad en sistemas.

              ————————————————–
                            ?Por qui debe asistir?

 Porque es  la oportunidad de poder  conocer lo que se  esta realizando en el  campo de la seguridad en csmputo y compartir experiencias y conocimientos.

 Porque puede aprender csmo  manejar y/o responder a los cada vez mas comunes  incidentes de seguridad en csmputo, sin exponer sus recursos.

 Se mantendra actualizado sobre las ticnicas de respuesta y prevencisn a incidentes mas recientes.

 Compartira experiencias con especialistas responsables de la Seguridad Informatica en las princiaples organizaciones del pais de los sectores publico, financiero y privado.

              ————————————————–
                                     Informes

      Para mayores informes:

      Web:      http://congreso.seguridad.unam.mx

      e-mail:   congreso@seguridad.unam.mx

      Direccisn:
                Departamento de Seguridad en Csmputo, DGSCA
                Circuito exterior de Ciudad Universitaria S/N
                C.P. 04510
                Del. Coyoacan,
                Mixico, D.F.

                Telifonos: (52) 56 22 81 69 y (52) 56 22 85 29

                Fax: (52) 56 22 80 43

==== 4.- Intrusos utilizan archivos de PowerPoint para infectar computadoras ====
http://www.seguridad.unam.mx/noticias/?noti=2585
Quienes crean codigo malicioso han hecho a PowerPoint de la suite Office un elemento indispensable para lograr infectar sistemas corporativos. El año pasado fue Word el que utilizaron para incluir codigo en documentos que aparentemente eran inofensivos.

==== 5.- Intrusos atacan falla de seguridad en el servidor Windows DNS ==== http://www.vnunet.com/vnunet/news/2188117/attackers-prey-dns-server-flaw
Microsoft esta advirtiendo a usuarios de un nuevo ataque que tiene como objetivo una vulnerabilidad en Windows Server 2000 y 2003.

==== 6.- Apple publica un parche de seguridad que soluciona 25 vulnerabilidades ==== Apple ha publicado una actualización que soluciona múltiples vulnerabilidades en Mac OS X que podrían ser aprovechadas por un atacante local o remoto para comprometer un sistema vulnerable.

Apple ha publicado un parche de seguridad que corrige hasta 25 errores distintos en su sistema operativo Mac OS X. Estas vulnerabilidades podrían ser aprovechadas por un atacante para provocar denegaciones de servicios, ejecutar comandos arbitrarios, acceder a información importante del sistema o para eludir restricciones de seguridad.

Esta es la cuarta gran actualización del año (con el código 2007-004).
Los componentes y software afectados son muchos: AFP Client, CoreServices, sistema de ficheros UFS, Visor de ayuda, Libinfo, librería RPC, ftpd, fetchmail, la ventana de login (que podría ser eludida), sistema de ficheros en WebDAV, WebFoundation… entre muchos otros sobre los que apenas se han proporcionado detalles técnicos.

De las más graves resulta el fallo en AirPortDriver, que permite la ejecución de código con privilegios administrativos en eMac, iBook, iMac, PowerBook G3, PowerBook G4, o Power Mac G4 que vengan con una tarjeta AirPort.

La anterior actualización para Apple se publicó el día 13 de marzo y supuso el parcheo de 45 errores de seguridad en sus sistemas, muchos de ellos (al igual que en esta ocasión) dados a conocer durante el “mes de los fallos en Apple” que tuvo lugar el pasado mes de enero.

Las actualizaciones pueden ser instaladas a través de la funcionalidad de actualización (Software Update) de Mac OS X o, según versión y plataforma, descargándolas directamente desde:

Security Update 2007-004 (10.3.9 Server) :
http://www.apple.com/support/downloads/securityupdate20070041039server.html

Security Update 2007-004 (10.3.9 Client) :
http://www.apple.com/support/downloads/securityupdate20070041039client.html

Security Update 2007-004 (PPC) :
http://www.apple.com/support/downloads/securityupdate2007004ppc.html

Security Update 2007-004 (Universal) :
http://www.apple.com/support/downloads/securityupdate2007004universal.html

Opina sobre esta noticia:
http://www.hispasec.com/unaaldia/3100/comentar

Más información:

14/03/2007 Apple publica un parche de seguridad que soluciona 45 vulnerabilidades
http://www.hispasec.com/unaaldia/3063

About Security Update 2007-004
http://docs.info.apple.com/article.html?artnum=305391

Sergio de los Santos
ssantos@hispasec.com

==== 7.- Vulnerabilidades en Sun Java Web Console 2.x y Sun Solaris 10 ==== Se ha descubierto una vulnerabilidad de seguridad que permitiría a un atacante causar una denegación de servicios o la ejecución de código arbitrario en Sun Java Web Console anterior a la versión 2.2.6 y Sun Solaris 10.

La Sun Java Web Console es vulnerable a un formato de cadena concreto, cuya raíz reside en la creación de registros de logins erroneos, por lo que puede ser aprovechada por usuarios remotos no autentificados.

Esta vulnerabilidad se da cuanto se llama a la función libc syslog en /usr/lib/libwebconsole_services.so con dos argumentos, en lugar de tres, lo que permitiría a un atacante influir en el buffer de mensaje.

Como solución se propone actualizar Sun Java Web Console a la versión
2.2.6 o posteriores:
http://www.sun.com/download/products.xml?id=461d58be

Para Sun Solaris 10 se han publicado los siguientes parches:
SPARC:
http://sunsolve.sun.com/search/document.do?assetkey=urn:cds:docid:1-21-12121
1-02-1
X86
http://sunsolve.sun.com/search/document.do?assetkey=urn:cds:docid:1-21-12121
2-02-1

Opina sobre esta noticia:
http://www.hispasec.com/unaaldia/3101/comentar

Más información:

Security Vulnerability in the Sun Java Web Console May Allow Access to Privileged Data or Lead to Denial of Service
http://sunsolve.sun.com/search/document.do?assetkey=1-26-102854-1

Laboratorio Hispasec
laboratorio@hispasec.com

==== 8.- Ejecución de código a través de WebAccess Agent en GroupWise de Novell ==== Se ha descubierto una vulnerabilidad para GroupWise de Novell que podría ser aprovechada para ejecutar código arbitrario en un sistema comprometido.

Novell GroupWise es un software de colaboración con funcionalidades para uso de correo electrónico, calendarios, mensajería instantánea, coordinación de tareas, control de documentación, etc.

El fallo está localizado en un desbordamiento de búfer producido por el WebAccess Agent. Cuando una solicitud de autenticación HTTP debidamente manipulada es dirigida a los puertos TCP 7205 o 7211, el proceso GWINTER.exe asociado a estos puertos no procesa adecuadamente la petición lo que provoca el desbordamiento.

Un atacante podría modificar los paquetes HTTP enviando solicitudes con una longitud mayor de 336 bytes. De esta forma se produciría un error en la llamada a la función base64_decode() que provocaría el desbordamiento de memoria y la posibilidad de ejecutar código arbitrario sin necesidad de estar autenticado en el sistema.

Novell recomienda actualizar a la versión 7.0 SP2 a través de:
GroupWise 7 SP2 Win/NLM Full US and MULTI 7.0.2:
http://download.novell.com/Download?buildid=8RF83go0nZg~
GroupWise 7 SP2 Linux US and MULTI 7.0.2:
http://download.novell.com/Download?buildid=O9ucpbS1bK0~

Opina sobre esta noticia:
http://www.hispasec.com/unaaldia/3102/comentar

Más información:

Novell Groupwise WebAccess Base64 Decoding Stack Overflow Vulnerability http://www.zerodayinitiative.com/advisories/ZDI-07-015.html

GroupWise 7 SP2 Win/NLM Full US and MULTI 7.0.2:
http://download.novell.com/Download?buildid=8RF83go0nZg~

GroupWise 7 SP2 Linux US and MULTI 7.0.2:
http://download.novell.com/Download?buildid=O9ucpbS1bK0~

Laboratorio Hispasec
laboratorio@hispasec.com

==== 9.- Encuentran una vulnerabilidad Zero-day en servidores DNS vía RPC ====

Microsoft ha publicado un aviso de seguridad (identificado como 935964), donde informa de una grave vulnerabilidad en el sistema de servidores de nombres de dominio (DNS), que afecta a Microsoft Windows 2000 Server SP4, Windows Server 2003 SP1, y Windows Server 2003 SP2.

Las investigaciones realizadas, revelan que el ataque a esta vulnerabilidad, podría permitir a un usuario remoto ejecutar código en el contexto del servidor de nombres de dominio afectado, que por defecto se ejecutaría con los privilegios del sistema local.

El problema lo ocasiona un desbordamiento de búfer en la implementación de la interfase RPC.

RPC (Remote Procedure Call o Llamada de Procedimiento Remoto), es un protocolo utilizado por Windows, que proporciona un mecanismo de comunicación entre procesos internos, y que permite que un programa ejecutándose en una computadora pueda acceder a los servicios de otra.

DNS o Sistema de nombres de dominio, es un protocolo de Internet que asigna direcciones IP a nombres descriptivos. Un servidor DNS es un servidor en donde están almacenadas las correlaciones entre nombres de dominio y direcciones IP.

La explotación puede realizarse mediante el envío de un paquete de peticiones RPC realizada al equipo que corra un servidor DNS. Sin embargo, no es posible un ataque dirigido al puerto 53, asignado por defecto al servicio DNS.

Aunque Microsoft no lo especifica oficialmente, ya se conocen informes de ataques a equipos vulnerables, generalmente servidores de Internet.

Los equipos domésticos no son afectados (a menos que se haya instalado específicamente un servidor de nombres). Por lo tanto no son afectados ni Windows XP SP2, ni Windows Vista.

Tampoco es afectado Microsoft Windows 2000 Professional SP4, ya que no posee el código vulnerable.

Como medida mitigatoria, se sugiere incapacitar la administración remota vía RPC, en los equipos y sistemas vulnerables, mediante la creación de una clave específica del registro.

Bloquear por medio de un cortafuego u otros métodos, los puertos 1024 a 5000, también puede proteger a los equipos vulnerables de un ataque.

==== 10.- Actualización para Sun Java System Web Server 6.1 ==== Se ha publicado una actualización para Sun Java System Web Server 6.1 que solventa una vulnerabilidad en los certificados de cliente. Esta vulnerabilidad podría permitir a un usuario local o remoto obtener acceso no autorizado a ciertas instancias del servidor web.

Cuando una instancia de un servidor seguro se configura como no root con el administrador del dominio, pero este está configurado para que se ejecute como root, esta vulnerabilidad podría permitir a un usuario con un certificado de cliente revocado acceder esa instancia bajo ciertas circunstancias, incluso si la lista de certificados revocados está presente para esa instancia.

Se recomienda actualizar a los siguientes parches o Service Pack. Según plataforma son:

SPARC
Sun Java System Web Server 6.1 Service Pack 7 o posterior Sun Java System Web Server parche 6.1 116648-19 o posterior:
http://sunsolve.sun.com/search/document.do?assetkey=urn:cds:docid:1-21-11664
8-19-1

x86
Sun Java System Web Server 6.1 Service Pack 7 o posterior.
Sun Java System Web Server 6.1 parche 116649-19 o posterior:
http://sunsolve.sun.com/search/document.do?assetkey=urn:cds:docid:1-21-11664
9-19-1

Linux
Sun Java System Web Server 6.1 Service Pack 7 o posterior.
Sun Java System Web Server 6.1 parche 118202-11 o posterior:
http://sunsolve.sun.com/search/document.do?assetkey=urn:cds:docid:1-21-11820
2-11-1

AIX
Sun Java System Web Server 6.1 Service Pack 7 o posterior.

HP-UX
Sun Java System Web Server 6.1 Service Pack 7 o posterior.

Sun Java System Web Server 6.1 Service Pack 7 está disponible en:
http://www.sun.com/download/products.xml?id=45c90ca9

Opina sobre esta noticia:
http://www.hispasec.com/unaaldia/3104/comentar

Más información:

Sun Java System Web Server May Allow A User with Revoked Client Certificate to Access Server Instance Under Certain Conditions
http://sunsolve.sun.com/search/document.do?assetkey=1-26-102822-1

Laboratorio Hispasec
laboratorio@hispasec.com

==== 11.- Espias explotan vulnerabilidades en Microsoft Office ====
http://www.seguridad.unam.mx/noticias/?noti=2592
Un creciente numero de ataques informaticos estan apuntando hacia individuos de las agencias y corporaciones de gobierno de los Estados Unidos, se esta induciendo a los usuarios a que abran archivos corruptos de Word, Excel o PointPoint enviados como archivos adjuntos.

==== 12.- Crack de contrasen~as de OpenOffice esta expuesto a abuso ==== http://www.zdnetasia.com/news/security/0,39044215,62007712,00.htm
Expertos en seguridad han alertado que las herramientas de recuperacion de contrase~a para OpenOffice son vulnerables.

==== 13.- La falla en Mac publicada recientemente puede tambien afectar a Windows ====
http://www.securityfocus.com/brief/488
El ataque que fue utilizado satisfactoriamente en la competencia CanSecWest la semana pasada y que explota una falla java en QuickTime y afecta a todos los navegadores sobre sistemas que tienen instalado el software multimedia, incluyendo posiblemente a Windows, dijo quien descubrio la falla de seguridad Dino Dai Zovi a SecurityFocus el pasado lunes.

==== 14.- Varias vulnerabilidades en Asterisk 1.x ==== Se han descubierto varias vulnerabilidades en Asterisk que podrían ser aprovechadas por un atacante para causar una denegación de servicios o comprometer un sistema vulnerable.

Asterisk es una aplicación de código abierto de una central telefónica (PBX). Como cualquier PBX, se puede conectar un número determinado de teléfonos para hacer llamadas entre sí e incluso conectar a un proveedor de VoIP. Asterisk incluye interesantes características: buzón de voz, conferencias, IVR, distribución automática de llamadas, y otras muchas más.
Asterisk funciona en plataformas Linux, BSD, MacOSX, Solaris y Microsoft Windows.

La primera vulnerabilidad se debe a dos errores de límite en el parser
T.38 SDP del canal SIP cuando procesa los parámetros SDP T38FaxRateManagement o T38FaxUdpEC en la función process_sdp() en Chan_sip.c. Para que un atacante pudiera aprovechar esta vulnerabilidad, la configuración de t38_udptl debería estar en Yes. Esta vulnerabilidad afecta a la versión 1.4.x anteriores a 1.4.3

Otra vulnerabilidad se debe a un error en la deferencia de un puntero NULL en la autenticación de Asterisk Remote Management Interface. Un atacante podría aprovechar esto para provocar que el servicio dejase de funcionar.
Para que un atacante pudiera aprovechar esta vulnerabilidad es necesario que la interfaz de administración esté habilitada y que exista un usuario sin contraseña configurado en manager.conf. Esta vulnerabilidad afecta a la versión 1.2.x anterior a la 1.2.18 y a la 1.4.x anterior a la 1.4.3.

Se recomienda la actualización a la versión 1.4.3 disponibles en:
ftp://ftp.digium.com/pub/telephony/asterisk

Opina sobre esta noticia:
http://www.hispasec.com/unaaldia/3097/comentar

Más información:

Wikipedia: Asterisk
http://es.wikipedia.org/wiki/Asterisk

[asterisk-announce] ASA-2007-010: Two stack buffer overflows in SIP channel’s T.38 SDP parsing code http://lists.digium.com/pipermail/asterisk-announce/2007-April/000058.html

[asterisk-announce] ASA-2007-011: Multiple problems in SIP channel parser handling response codes http://lists.digium.com/pipermail/asterisk-announce/2007-April/000059.html

[asterisk-announce] ASA-2007-012: Remote Crash Vulnerability in Manager Interface http://lists.digium.com/pipermail/asterisk-announce/2007-April/000060.html

Laboratorio Hispasec
laboratorio@hispasec.com

==== 15.- Fuentes de Información ====
- (c) 2005 Hispasec http://www.hispasec.com/copyright
- Security Hot Topic on the Windows IT Pro Network
- Malware Digest – Revista Electronica de la Lista Antivirus
- Mx-seguridad Digest – Revista Electronica de la Lista Mx-seguridad
- Trend Micro Weekly Virus Report
- Boletin Semanal de LaFlecha.net [Seguridad-Fimpes] Boletines de Seguridad

==== 24.- Fuentes de Información ====
- (c) 2005 Hispasec http://www.hispasec.com/copyright
- Security Hot Topic on the Windows IT Pro Network
- Malware Digest – Revista Electronica de la Lista Antivirus
- Mx-seguridad Digest – Revista Electronica de la Lista Mx-seguridad
- Trend Micro Weekly Virus Report
- Boletin Semanal de LaFlecha.net [Seguridad-Fimpes] Boletines de Seguridad

==== 0.- Portal FIMPES ====
Recordarles que pueden acceder al portal de la Comisión en la siguiente dirección:

==== 4.- Diversas vulnerabilidades en OpenOffice.org ====
Se han descubierto diversas vulnerabilidades en la suite OpenOffice que pueden ser explotadas por usuarios maliciosos para provocar la ejecución de código arbitrario en las máquinas víctima del ataque.

* Varios desbordamientos de memoria intermedia en libwpd. A través de un fichero WordPerfect especialmente manipulado, un atacante podría tener la posibilidad de ejecutar código arbitrario.

* El intérprete de StarCalc sufre de un desbordamiento de pila que puede ser usado para ejecutar código arbitrario.

* OpenOffice.org no escapa metacaracteres de shell y por tanto es vulnerable a ejecución de comandos shell si una víctima pulsa en un enlace especialmente manipulado.

Las principales distribuciones han publicado los paquetes para evitar estos problemas.

==== 5.- Inseguridad en los servidores DNS de Microsoft ====
Se ha publicado una vulnerabilidad que afecta al servidor de DNS de Microsoft, en sus configuraciones por defecto, que permite que cualquier usuario modifique los registros DNS de la organización, sin necesidad de proporcionar ninguna credencial de acceso.

Los servidores DNS, son los sistemas encargados de la resolución de nombres en Internet. Por ello son uno de los pilares fundamentales para el correcto funcionamiento de una red y de la seguridad en la misma.

El fallo de seguridad detectado se debe a que el servidor DNS en infraestructuras con Windows 2000 permite por defecto “Actualizaciones dinámicas no seguras”. A través de este modo, cada vez que un equipo se conecta a la red, el servicio cliente dns de Windows se encarga de notificar al servidor de DNS que el equipo se encuentra en la red y que actualice su registro. Aprovechando esta funcionalidad, un usuario puede modificar cualquier registro dns y suplantar cualquier servicio interno o externo.

Los impactos mas directos son la suplantación de proxys de acceso a Internet, causar una denegación de servicio o realizar ataques de pharming y phishing suplantando sitios de banca.

Se recomienda que la configuración de los servidores DNS se establezca para que solo se permitan las “actualizaciones dinámicas seguras”. Con este modo, sólo el propietario de un registro DNS será capaz de modificarlo.

==== 6.- Cross site scripting en Oracle Server 10g ====
Se ha encontrado una vulnerabilidad en Oracle Application Server que puede ser aprovechada por atacantes para ejecutar código script arbitrairo.

El fallo se debe a un error de validación en la entrada del DMS (Dynamic Monitoring Service) a la hora de procesar el parámetro “table”. Esto puede ser aprovechado por atacantes para que se ejecute código script arbitrario en el navegador del usuario bajo el contexto de la página afectada.

Se ven afectados los Oracle Application Server 10g Release 2 (10.1.2), no existe parche oficial.

==== 8.- Denegación de servicio y ejecución de código en CA ARCserve Backup ====
Se han encontrado cuatro vulnerabilidades en CA BrightStor ARCserve Backup que pueden ser aprovechadas por atacantes remotos para provocar denegaciones de servicio o ejecutar código arbitrario en el sistema afectado.

BrightStor ARCserve Backup de Computer Associates, es una completa suite de respaldo y recuperación de datos muy usada en el mundo empresarial.
Funciona bajo multitud de plataformas y permite el respaldo en varios sistemas distintos: cintas, discos duros remotos…

El primer fallo se debe a una corrupción de memoria en el Tape Engine a la hora de procesar ciertos argumentos de procedimientos RPC. Esto puede ser aprovechado para ejecutar código arbitrario de forma remota.

Una segunda vulnerabilidad se debe a la presencia de una función RPC que cuando es llamada, deshabilita la interfaz del Tape Engine. Esto puede ser aprovechado por atacantes para hacer que la funcionalidad deje de responder (denegación de servicio).

Existe otro problema en Tape Engine que puede dar lugar a un desbordamiento de búfer y la consiguiente ejecución de código. Y por último, una vulnerabilidad en el tratamiento de parámetros no válidos en el servicio portmapper (catirpc.dll), que permitirá a un atacante remoto provocar una denegación de servicio.

Los productos afectados son:
CA BrightStor ARCserve Backup r11.5
CA BrightStor ARCserve Backup r11.1
CA BrightStor ARCserve Backup r11 para Windows CA BrightStor Enterprise Backup r10.5 CA BrightStor ARCserve Backup v9.01 CA Server Protection Suite r2 CA Business Protection Suite r2 CA Business Protection Suite for Microsoft Small Business Server Standard Edition r2 CA Business Protection Suite for Microsoft Small Business Server Premium Edition r2

==== 11.- Denegación de servicio en Sun Java System Directory Server 5.x ====
Se ha encontrado una vulnerabilidad en Sun Java System Directory Server que puede ser aprovechada por atacantes remotos para provocar condiciones de denegación de servicio.

Sun Java System Directory Server es un servidor LDAP distribuido por Sun con múltiples productos. El fallo se debe al tratamiento de consultas especialmente creadas. Esto puede ser aprovechado por un atacante remoto para provocar la caída del servicio ns-slapd.

Aunque no está confirmado, en algunas situaciones el atacante podría situar información en el rango de memoria a la que accederá, lo que podría llegar a permitir la ejecución de código.

Sun ha corregido esta vulnerabilidad en Sun Java System Directory Server
5.2 Patch 5.

==== 13.- El mes de los fallos en PHP ha desvelado ya 18 vulnerabilidades sin parche ====
El mes de los fallos en PHP ha publicado ya 35 vulnerabilidades en 28 días. 30 de ellos han sido encontrados en PHP, tres en la plataforma Zend y una en el módulo mod_security de Apache (los que el propio autor llama “bonus”). Afortunadamente, la mayoría son problemas que no pueden ser aprovechados de forma remota.

Stefan Esser es el creador de este proyecto, fundador de Hardened-PHP e impulsor del PHP Security Response Team. Durante años ha contribuido al desarrollo de PHP y considera que el núcleo de programadores de este lenguaje no está concienciado con respecto a la seguridad. Por ello decidió crear el mes de los fallos en PHP y ubicarlo en marzo de este año.

Con 35 vulnerabilidades publicadas, se pueden extraer las primeras conclusiones. El hecho de que la mayoría de los fallos no puedan ser aprovechados de forma remota puede aliviar en gran media a los usuarios que ofrezcan páginas basadas en PHP al exterior, pero supone un gran problema para los proveedores de hosting. Muchos de los fallos descritos requieren que un hipotético atacante tenga acceso al servidor web, y pueda ejecutar ahí código PHP. Por tanto, las compañías que ofrecen espacio web compartido y permitan la ejecución de PHP arbitrario se llevan la peor parte. Sus usuarios podrían de forma sencilla acceder a una shell en el sistema (a través de programas PHP prefabricados) si son capaces de aprovechar las funciones inseguras descubiertas o aplican las pruebas de concepto publicadas.

También durante el mes se han publicado problemas aprovechables de forma remota, al menos dos de ellos pueden servir para modificar las variables de sesión. Además se ha identificado un fallo que permite habilitar la funcionalidad register_globals, considerada muy insegura.

Al menos la publicación de estos problemas no ha causado hasta ahora una epidemia entre las millones de páginas PHP expuestas al exterior en el mundo. La revelación de un grave fallo aprovechable de forma remota y que tuvieran en común las centenas de plataformas creadas en PHP, hubiese supuesto un fuerte impacto en todo Internet.

En cualquier caso, el problema real es que para 18 agujeros encontrados no existe parche aún, y algunos, según sus propios descubridores, serán realmente complicados de solucionar.

the Month of PHP Bugs:
www.php-security.org

==== 14.- Múltiples vulnerabilidades en IBM Lotus Domino 6 y 7 ====
Se han encontrado varios problemas de seguridad in IBM Lotus Domino y Lotus Domino Web Access que pueden ser aprovechados por atacantes para perpetrar ataques de cross site scripting o provocar una denegación de servicio.

* Un error no especificado dentro del servicio IMAP puede ser aprovechado para provocar un desbordamiento de memoria intermedia y hacer que el servidor deje de responder.

* Un error no especificado en el servidor LDAP a la hora de manejar ciertas peticiones puede ser aprovechado para provocar un desbordamiento de memoria intermedia y hacer que el servidor deje de responder.

* Ciertas entradas en Lotus Domino Web Access no son debidamente tratadas antes de ser devueltas al usuario, lo que puede permitir ejecutar código HTML y script en el navegador del usuario bajo el contexto de seguridad del sitio afectado.

Se recomienda actualizar a la versión 6.5.6 o 7.0.2 Fix Pack 1.

==== 1.- Desbordamiento de memoria intermedia en MPlayer ====
http://www.hispasec.com/unaaldia/3062/desbordamiento-memoria-intermedia-mplayer
Se han anunciado diversas vulnerbailidades en MPlayer, que pueden ser empleadas por atacantes para comprometer los sistemas afectados.

==== 2.- Microsoft publica dos parches para Vista ====
http://www.pcworld.com/article/id,129831-c,windowsbugs/article.html
Microsoft lanzo varios parches de alta prioridad, incluyendo dos para Windows Vista.

==== 3.- Nuevo bug IE 7 podria ayudar a phishers ====
http://www.networkworld.com/news/2007/031407-new-ie-7-bug-could.html
Una vulnerabilidad en el navegador de Internet Explorer de Microsoft podria ayudar a estafadores hacer que sitios Web phishing parezcan legitimos, un investigador de  seguridad reporto hoy.

==== 4.- Última actualización del kernel de Linux corrige dos problemas de seguridad ====
La nueva versión del kernel de Linux, la 2.6.20.3, corrige dos problemas de seguridad que pueden ser potencialmente aprovechadas por atacantes para eludir ciertas restricciones de seguridad o provocar una denegación de servicio.

El primer fallo se da en el manejo de un puntero a null en net/netfilter/nfnetlink_log.c que puede ser aprovechado para provocar un kernel panic si se envían paquetes especialmente manipulados a un sistema vulnerable.

Se ha corregido también un error en conntrack a la hora de ensamblar paquetes IPv6 fragmentados. Se podría hacer que los paquetes fragmentados apareciesen como pertenecientes a una conexión ESTABLISHED (en la que ya se “confía”) y por tanto, ser aprovechado para eludir ciertos conjuntos de reglas de cortafuegos.

Hace apenas unos días, el 12 de marzo, aparecía la versión 2.6.20.2 del kernel para solventar un fallo también relacionado con el tráfico IPv6, en la función Ipv6_getsockopt_sticky, que permitía la revelación de información y denegación de servicio.

Los problemas han sido solucionados en la versión 2.6.20.3 disponible desde www.kernel.org. Si no se utiliza, se recomienda deshabilitar la funcionalidad IPv6 del sistema.

Opina sobre esta noticia:
http://www.hispasec.com/unaaldia/3064/comentar

Más información:

Kernel Changelog
http://kernel.org/pub/linux/kernel/v2.6/ChangeLog-2.6.20.2

Sergio de los Santos
ssantos@hispasec.com

==== 5.- Una falla de seguridad fue encontrada en el kernel de OpenBSD ====
http://www.theregister.co.uk/2007/03/15/openbsd_kernel_bug/
La vulnerabilidad – la segunda vulnerabilidad en el kernel en la historia del desarrollo de OpenBsd – consiste en una falla en la pila IPv6 de OpenBSD que puede ser explotada de forma remota.

==== 6.- Revelación de código fuente en IBM WebSphere Application Server ====
Se ha anunciado una vulnerabilidad en WebSphere Application Server, que puede ser explotadas por usuarios maliciosos para descubrir información sensible.

La vulnerabilidad está provocada por un error cuando se sirve una página JSP desde un Application WAR o desde un Extended Document Root, y bajo estos escenarios opcionalmente con cacheo de servlets habilitado, y podrá ser explotada para descubrir el código fuente JSP mediante el uso de determinados caracteres en la URL.

IBM ha publicado los parches y actualizaciones necesarios para evitar este problema, dada la diversidad de versiones y plataformas afectadas, se recomienda consultar la lista en la alerta disponible en:
http://www-1.ibm.com/support/docview.wss?uid=swg21243541

Opina sobre esta noticia:
http://www.hispasec.com/unaaldia/3065/comentar

Más información:

Possible security exposure with JavaServer Page (JSP) and IBM WebSphere Application Server
http://www-1.ibm.com/support/docview.wss?uid=swg21243541

Laboratorio Hispasec
laboratorio@hispasec.com

==== 7.- Denegación de servicio y ejecución de código en CA BrightStor ARCserve Backup ====
Se han encontrado dos vulnerabilidades en CA BrightStor ARCserve Backup que pueden ser aprovechadas por atacantes remotos para provocar una denegación de servicio o ejecutar código arbitrario en el sistema afectado.

BrightStor ARCserve Backup de Computer Associates, es una completa suite de respaldo y recuperación de datos muy usada en el mundo empresarial.
Funciona bajo multitud de plataformas y permite el respaldo en varios sistemas distintos: cintas, discos duros remotos…

El primer fallo se debe a una corrupción de memoria en el Tape Engine a la hora de procesar ciertos argumentos de procedimientos RPC. Esto puede ser aprovechado para ejecutar código arbitrario de forma remota.

La segunda vulnerabilidad se debe a la presencia de una función RPC que cuando es llamada, deshabilita la interfaz del Tape Engine. Esto puede ser aprovechado por atacantes para hacer que la funcionalidad deje de responder (denegación de servicio).

Los productos afectados son:
CA BrightStor ARCserve Backup r11.5
CA BrightStor ARCserve Backup r11.1
CA BrightStor ARCserve Backup r11 para Windows CA BrightStor Enterprise Backup r10.5 CA BrightStor ARCserve Backup v9.01 CA Server Protection Suite r2 CA Business Protection Suite r2 CA Business Protection Suite for Microsoft Small Business Server Standard Edition r2 CA Business Protection Suite for Microsoft Small Business Server Premium Edition r2

Según versión y plataforma, se recomienda actualizar desde:
CA BrightStor ARCserve Backup r11.5 – Instalar QO86255 :
http://supportconnect.ca.com/sc/redir.jsp?reqPage=search&searchID=QO86255

CA BrightStor ARCserve Backup r11.1 – Instalar QO86258 :
http://supportconnect.ca.com/sc/redir.jsp?reqPage=search&searchID=QO86258

CA BrightStor ARCserve Backup r11.0 – Instalar QI82917 :
http://supportconnect.ca.com/sc/redir.jsp?reqPage=search&searchID=QI82917

CA BrightStor Enterprise Backup r10.5 – Instalar QO86259 :
http://supportconnect.ca.com/sc/redir.jsp?reqPage=search&searchID=QO86259

CA BrightStor ARCserve Backup v9.01 – Instalar QO86260 :
http://supportconnect.ca.com/sc/redir.jsp?reqPage=search&searchID=QO86260

Opina sobre esta noticia:
http://www.hispasec.com/unaaldia/3066/comentar

Más información:

Security Notice for BrightStor ARCserve Backup Tape Engine and Portmapper http://supportconnectw.ca.com/public/storage/infodocs/babtapeng-securitynotice.asp

Laboratorio Hispasec
laboratorio@hispasec.com

==== 8.- Salto de restricciones en PHP 4.x y 5.x ====
Se ha encontrado una vulnerabilidad en PHP que puede ser aprovechada por atacantes para elevar privilegios.

El fallo se debe a un error en la función array_user_key_compare donde las claves de referencia son destruidas incorrectamente. Esto puede ser aprovechado para provocar corrupción en memoria y permitir la ejecución de código arbitrario, lo que llevaría a eludir restricciones de seguridad tales como disable_functions.

Se aconseja permitir sólo ejecución de código PHP a usuarios confiables.

Opina sobre esta noticia:
http://www.hispasec.com/unaaldia/3067/comentar

Más información:

MOPB-24-2007:PHP array_user_key_compare() Double DTOR Vulnerability http://www.php-security.org/MOPB/MOPB-24-2007.html

Laboratorio Hispasec
laboratorio@hispasec.com

==== 9.- Cross site scripting a través de PHP_SELF en WordPress ====
Se ha anunciado una vulnerabilidad en WordPress, que puede ser empleada por usuarios maliciosos para construir ataques de cross-site scripting.

WordPress es un sistema de gestión de blogs, que opera en lenguaje PHP y con soporte de base de datos MySQL, y ofrecido a la comunidad bajo licencia GPL. WordPress es uno de los gestores de blogs más extendido en la blogosfera.

Las entradas pasadas a la variable “PHP_SELF” no se limpian de forma adecuada antes de mostrarse al usuario. Esto puede emplearse para ejecutar HTML arbitrario y código script en el navegador del usuario.

El problema se ha corregido en las versiones 2.0.10-RC2 y 2.1.3-RC2 disponibles desde:
http://wordpress.org/download/

Opina sobre esta noticia:
http://www.hispasec.com/unaaldia/3068/comentar

Más información:

WordPress PHP_SELF Variable Handling XSS Vulnerability http://www.buayacorp.com/files/wordpress/wordpress-advisory.txt

Laboratorio Hispasec
laboratorio@hispasec.com

==== 10.- Detectan múltiples vulnerabilidades en Mozilla Firefox 2.0.0.2 ====
Mozilla Firefox es propenso a múltiples vulnerabilidades, ocasionadas por un error de validación del código recibido en una entrada de datos desde una página web (en un script), que pueden ser explotadas de forma remota.

Un atacante puede utilizar una página maliciosamente construida, para provocar que el navegador deje de responder debido a una denegación de servicio (DoS), si convence al usuario para que la visite.

También puede utilizarse este fallo para eludir otras restricciones, y utilizar cookies en dominios diferentes, cambiando el camino de un “document.cookie” (en un JavaScript), lo que habilitaría la posibilidad de otra clase de ataques.

Una prueba de concepto está disponible en Internet.

Es vulnerable la versión 2.0.0.2 de Firefox (la más reciente al momento de la publicación de esta alerta). Versiones anteriores también podrían ser afectadas.

Más información:

Bugzilla Bug ID 373228 (requiere estar registrado)
https://bugzilla.mozilla.org/show_bug.cgi?id=373228

Mozilla Firefox Document.Cookie Path Argument Denial of Service Vulnerability
www.securityfocus.com/bid/22879

==== 11.- Microsoft admite que existen fallas en OneCare ====
http://www.vnunet.com/vnunet/news/2185799/microsoft-admits-onecare-work
Microsoft ha admitido que todavia hay trabajo que hacer en su software de seguridad Windows Live OneCare.

==== 12.- Denegación de servicio en Cisco IP Phone 7900 Series ====
Se ha encontrado una vulnerabilidad en Cisco IP Phone 7940 y 7960 que puede ser aprovechada por atacantes para provocar una denegación de servicio.

El fallo se debe a un error en el manejo de ciertos mensajes INVITE del protocolo SIP. Esto puede ser aprovechado para hacer que el dispositivo se reinicie si se envía un mensaje especialmente manipulado con el campo sipURI mal formado.

La vulnerabilidad se ha confirmado en el firmware POS3-07-4-00.

Se recomienda actualizar el firmware a la versión POS8-6-0 o posterior
desde: http://www.cisco.com/pcgi-bin/tablebuild.pl/sip-ip-phone7960

Opina sobre esta noticia:
http://www.hispasec.com/unaaldia/3069/comentar

Más información:

Cisco IP Phone 7940 and 7960 SIP “INVITE” Request Denial of Service Vulnerability
http://www.frsirt.com/english/advisories/2007/1023

Laboratorio Hispasec
laboratorio@hispasec.com

==== 13.- Fuentes de Información ====
- (c) 2005 Hispasec http://www.hispasec.com/copyright
- Security Hot Topic on the Windows IT Pro Network
- Malware Digest – Revista Electronica de la Lista Antivirus
- Mx-seguridad Digest – Revista Electronica de la Lista Mx-seguridad
- Trend Micro Weekly Virus Report
- Boletin Semanal de LaFlecha.net [Seguridad-Fimpes] Boletines de Seguridad

==== 1.- Actualización de fetchmail para productos Novell SuSE ====
Novell ha publicado una actualización para fetchmail que soluciona varios problemas de seguridad. “fetchmail” es una herramienta utilizada para descargar correo electrónico de servidores y repartirlo en diversas cuentas locales. Se trata de un servicio utilizado con asiduidad por administradores de sistemas con conexiones no permanentes a Internet.

* Si fetchmail está configurado en modo multidrop, un atacante remoto podría provocar una denegación de servicio si se envían mensajes especialmente manipulados.

* Fetchmail no comprueba correctamente TLS bajo ciertas circunstancias y podría permitir el tránsito de contraseñas en texto claro, lo que permitiría a atacantes obtener información sensible.

* A la hora de rechazar un mensaje recibido a través de la opción mda, un atacante podría provocar una denegación de servicio a través de vectores desconocidos cuando se llama las funciones ferror o fflush.

Se recomienda actualizar a través de la herramienta automática YaST Online Update (YOU).

==== 5.- Desbordamiento de contador de referencias en PHP 4 ====
Se ha descubierto una vulnerabilidad en las versiones 4.x de PHP que puede ser explotada por atacantes para saltarse restricciones de seguridad y con ello comprometer un servidor vulnerable.

El problema se debe a un error de diseño en la estructura ‘_zval_struct’. El contador de referencias es un valor de 16 bits, lo que puede ser explotado por atacantes para desbordarlo con un script PHP que cree una gran cantidad de referencias a una variable específica.
Esto podría ser explotado para ejecutar comandos arbitrarios en el sistema saltándose las restricciones ‘disable_functions’, ‘open_basedir’
y ’safe_mode’.

No existe parche oficial que solvente el problema. Si es posible, se recomienda actualizar a PHP 5, que utiliza contadores de referencia de
32 bits.

==== 6.-Actualización del kernel para SuSE Linux 10.x ====
SuSE ha publicado una actualización para el kernel de linux que soluciona varios problemas de seguridad, además de otros fallos de estabilidad y diferentes mejoras.

Los fallos de seguridad corregidos son:

* El driver ftdi_sio permite a usuarios locales provocar una denegación de servicio escribiendo más datos en el puerto serie que el hardware puede manejar.

* Un punto muerto en mincore que pude se causado por usuarios locales.

* Varios desbordamientos de memoria intermedia en la función cmtp_recv_interopmsg en el driver Bluetooth et/bluetooth/cmtp/capi.c permite a atacantes remotos provocar una denegación de servicio y potencialmente ejecutar código arbitrairo a través de mensajes CAPI.

* La función isdn_ppp_ccp_reset_alloc_state function en drivers/isdn/isdn_ppp.c no llama correctamente a la función init_timer y puede hacer que el sistema deje de responder.

* Una vulnerabilidad no especificada en la llamada de sistema listxattr cuando existe un inode incorrecto presente, permite a usuarios locales provocar una dnegación de servicio y potencialmente, ganar privilegios.

* Una denegación de servicio remota a través del montaje NFSv2 con ACL.

Se recomienda actualizar a través de las herramientas automáticas YoU (Yast Online Update).

==== 7.- Vulnerabilidad en Cisco Catalyst 6000, 6500 y Cisco 7600 con NAM ====
Cisco ha anunciado la existencia de una vulnerabilidad en Cisco Catalyst series 6000, 6500 y Cisco series 7600 que tengan Network Analysis Module
(NAM) instalado que puede permitir a un atacante conseguir el control total de los sistemas afectados.

Los módulos NAM se integran en los Catalyst series 6000, 6500 y Cisco series 7600 para monitorizar y analizar el tráfico de red mediante el uso de Remote Monitoring (RMON), RMON2, y otros MIBs.

Solo están afectado los dispositivos que tengan NAM instalado y afecta a sistemas tanto con IOS o con Catalyst Operating System (CatOS). La vulnerabilidad que se introdujo en las versiones 7.6(15) y 8.5(1), puede permitir a un atacante lograr el control total del dispositivo.

Cisco, a través de los canales habituales, ha puesto a disposición de sus clientes software para solucionar el problema.

==== 9.- Revelación de información sensible en Adobe Acrobat ====
Se ha descubierto un problema de seguridad en Adobe Reader y Adobe Acrobat que puede ser aprovechado por atacantes para revelar información sensible.

Para que el ataque tenga éxito la víctima debe abrir un fichero PDF en local que haya sido enviado por el atacante. No existe parche oficial.
Se recomienda no abrir ficheros PDF no confiables.

=== 10.- Microsoft investiga errores tanto en su navegador Explorer 7 como en Windows Vista ====
Aunque los errores no se consideran como de alto riesgo, son relevantes porque afectan a la última versión del explorador de Internet del gigante informático y su flamante sistema operativo Vista.

Microsoft ha asegurado que Vista, a la venta en la versión para usuarios particulares desde el mes de enero, es el ’software’ más seguro que ha diseñado nunca.

Sin embargo, los errores recién descubiertos podrían permitir que los atacantes se hicieran con información delicada almacenada en el ordenador, como contraseñas, según CNET News.

Por el momento, ninguno de los errores ha sido utilizado para atacar sistemas informáticos, según dijeron portavoces de la multinacional.

==== 10.- Múltiples vVulnerabilidades en Cisco Secure Services Client (CSSC)  y Cisco Security Agent (CSA)====

Cisco ha hecho públicas varias vulnerabilidades en Cisco Security Agent
(CSA) y Cisco Secure Services Client (CSSC) que pueden permitir a un atacante elevar privilegios u obtener información sensible.

Según Cisco, cualquier versión anterior a las versiones mencionadas puede resultar vulnerable:
* Cisco Secure Services Client 4.x
* Cisco Trust Agent 1.x y 2.x
* Meetinghouse AEGIS SecureConnect Client (para Windows)
* Cisco Security Agent (CSA) bundle versions 5.0 y 5.1

Los fallos son:

* Un atacante no privilegiado presentado en el sistema podría elevar sus privilegios a través de la ayuda gráfica.

Y los ficheros donde quedarían las contraseñas (en sus configuraciones por defecto):

CTA Wired Client:
\Program Files\Cisco Systems\Cisco Trust Agent 802_1x Wired Client\system\log\apiDebug_current.txt
\Program Files\Cisco Systems\Cisco Trust Agent 802_1x Wired Client\system\log\apiDebug_1.txt \Program Files\Cisco Systems\Cisco Trust Agent 802_1x Wired Client\system\log\apiDebug_2.txt

Cisco Secure Services Client:
\Program Files\Cisco System\Cisco Secure Services Client\system\log\apiDebug_current.txt
\Program Files\Cisco System\Cisco Secure Services Client\system\log\apiDebug_1.txt \Program Files\Cisco System\Cisco Secure Services Client\system\log\apiDebug_2.txt

AEGIS Secure Connect:
\Program Files\Meetinghouse\AEGIS
SecureConnect\System\log\apiDebug_current.txt
\Program Files\Meetinghouse\AEGIS
SecureConnect\System\log\apiDebug_1.txt
\Program Files\Meetinghouse\AEGIS
SecureConnect\System\log\apiDebug_2.txt

Cisco, a través de los canales habituales, ha puesto a disposición de sus clientes software para solucionar el problema. Cisco ha publicado la versión no vulnerable de CTA 2.1.103.0 y 4.0.51.5192 de Secure Services Client.

Snort es uno de los IDS (Sistema de Detección de Intrusiones) más extendidos. Distribuido de forma gratuita como Open Source, Snort puede detectar un gran número de patrones de ataque conocidos basándose en el análisis de los paquetes de red según unas bases de datos de firmas, además de reglas genéricas.

El fallo se debe a un error de límites en el preprocesador DCE/RPC a la hora de resensamblar peticiones SMB Write AndX. Esto puede ser aprovechado para provocar un desbordamiento de memoria intermedia si se envía un paquete especialmente manipulado a la red y es monitorizado por Snort.

El fallo se ha confirmado en las versiones Snort 2.6.1, 2.6.1.1, 2.6.1.2 y Snort 2.7.0 beta 1. El problema también afecta a Sourcefire Intrusion Sensor versiones 4.1, 4.5 y 4.6

==== 12.- La nueva versión de Firefox no corrige todas las vulnerabilidades conocidas ==== La publicación de la versión 2.0.0.2 del navegador Mozilla Firefox corrige numerosos problemas de seguridad, sin embargo, continúa siendo vulnerable a otros fallos encontrados anteriormente por Michal Zalewski.

La nueva versión corrige hasta once problemas de seguridad, algunos de ellos críticos pero no ha dado respuesta a otros fallos descubiertos en los últimos días por Michal Zalewski, el nuevo azote de los navegadores.

Uno de los fallos más graves corregidos se basa en el manejo de los eventos “onunload” y también Internet Explorer es vulnerable. Estos eventos permiten que una web especialmente manipulada llegue a abortar la carga de una página nueva. Bajo Internet Explorer, esto puede ser aprovechado para falsificar la barra de direcciones y hacer pensar al usuario que se encuentra bajo una dirección legítima. Bajo Firefox, este fallo es mucho más grave (podría permitir la ejecución de código) y es calificado por Mozilla como crítico. Parece haber sido solucionado en tiempo récord en esta última versión.

Zalewski es fiel seguidor de la filosofía de la revelación total de los detalles de las vulnerabilidades de forma pública, lo que ha obligado a la organización Mozilla a retrasar la publicación de esta última actualización para solucionar en ella algunos fallos descubiertos últimamente. Aun así no han podido con todos. La vulnerabilidad por la que Zalewski llegó a calificar a Firefox como “el mejor amigo de los phishers”, no ha sido corregida. Este fallo se basa en que Firefox permite que código script abra una pestaña con una dirección en blanco y se añada contenido arbitrario en ella. También se puede aprovechar para inyectar código en la propia página, lo que facilitaría los ataques phishing.

Tampoco parece haber sido corregido un fallo que permitiría por ejemplo el robo de cookies a través de la lista de favoritos, desde los que se puede inyectar y ejecutar código script. Según Zalewski, la extensión NoScript no protegería totalmente de este problema.

Además, el navegador sigue siendo vulnerable a ciertos problemas de denegación de servicio creados por Zalewski que permiten que el navegador deje de responder al visitar una página. Estas pruebas de concepto han sido capaces de afectar a casi todas las nuevas versiones de Firefox creadas desde hace meses.

Por último, destacar que esta última actualización parece haber solucionado por fin el problema de robo de credenciales almacenadas en el administrador de contraseñas del navegador, que permitía a dominios de terceros tener acceso a ellas a través de un ataque basado en Reverse Cross-Site Request (RCSR). Este fallo fue descubierto a mediados de noviembre de 2006 y ha traído de cabeza a la comunidad alrededor de Firefox para poder implementar una solución aceptable manteniendo una funcionalidad adecuada de toda la aplicación.

Hasta ahora Firefox no está siendo atacado (por mafias informáticas) como el navegador más usado Internet Explorer. Si su ritmo de crecimiento sigue al alza, deberá demostrar que es capaz de aguantar una eventual embestida en forma de ataques reales que lo tomen como objetivo.

==== 13.- Actualización del kernel para Red Hat Enterprise Linux 4 ==== Red Hat ha publicado una actualización para el kernel debido a que se han encontrado varios problemas de seguridad.

* Un fallo en el algoritmo por el que se evita la colisión de números de serie del subsistema keyctl permitía a un usuario local provocar una denegación de servicio.

* Un fallo en la implementación de vigilancia de ficheros del subsistema de auditoría que permitía a un usuario local provocar una denegación de servio. Para aprovechar este fallo un atacante local debería haber creado previamente un vigilante para un fichero.

Se recomienda actualizar a través de las herramientas automáticas up2date.

Yahoo! Messenger es una aplicación que permite el intercambio de mensajes instantáneos en tiempo real, tanto en forma de texto, como de vídeo o de voz.

El problema ocurre porque la aplicación no filtra adecuadamente el contenido de ciertos códigos en los mensajes de texto.

Un atacante podría utilizar este asunto como parte de un escenario que incluya otros vectores de ataque.

El problema fue detectado en la versión 7.5.0.814, y versiones anteriores también son vulnerables.

No son vulnerables las versiones 8.1.0.209 y superiores.

Se recomienda al usuario actualizarse a la versión más reciente del programa desde la web de Yahoo!

==== 1.- Dos nuevas fallas de seguridad en Firefox ==== http://software.silicon.com/security/0,39024655,39165712,00.htm
Una compa~ia de seguridad ha reportado dos nuevas fallas de seguridad en el navegador Firefox de Mozilla, las cuales pueden dejar a archivos guardados localmente vulnerables a intrusos.

==== 2.- Borrado no autorizado de archivos a través de rm en Sun Solaris ====
Se ha descubierto una vulnerabilidad en el manejo del borrado recursivo de directorios en Sun Solaris 8, 9 y 10 a través del comando rm con la opción “-r” o “-R” que puede llevar al borrado de directorios externos al proporcionado en el argumento.

Un atacante no privilegiado podría utilizar este exploit para crear una jerarquía de directorios especialmente manipulada que al ser borrada por un usuario privilegiado con el comando rm, podría llevar al borrado de directorios o ficheros de sistema y provocar una denegación de servicio.

Para SPARC:

Solaris 8, instalar 124969-01 o posterior desde
http://sunsolve.sun.com/search/document.do?assetkey=urn:cds:docid:1-21-124969-01-1
Solaris 9, instalar 123372-02 o posterior desde
http://sunsolve.sun.com/search/document.do?assetkey=urn:cds:docid:1-21-123372-02-1
Solaris 10, instalar 124244-01 o posterior desde
http://sunsolve.sun.com/search/document.do?assetkey=urn:cds:docid:1-21-124244-01-1

Para x86:

Solaris 8, instalar 124970-01 o posterior desde
http://sunsolve.sun.com/search/document.do?assetkey=urn:cds:docid:1-21-124970-01-1
Solaris 9, instalar 123373-02 o posterior desde
http://sunsolve.sun.com/search/document.do?assetkey=urn:cds:docid:1-21-123373-02-1
Solaris 10, instalar 124245-01 o posterior desde
http://sunsolve.sun.com/search/document.do?assetkey=urn:cds:docid:1-21-124245-01-1

Opina sobre esta noticia:
http://www.hispasec.com/unaaldia/3031/comentar

Más información:

Sun Solaris “rm” Command Race Condition Arbitrary Local File Deletion Vulnerability
http://sunsolve.sun.com/search/document.do?assetkey=1-26-102782-1

Laboratorio Hispasec
laboratorio@hispasec.com

==== 3.- Múltiples vulnerabilidades en productos Trend Micro ====
Se han encontrado dos vulnerabilidades en productos Trend Micro que permiten provocar una denegación de servicio, la ejecución de código arbitrario y la elevación de privilegios a atacantes locales.

* Un atacante remoto podría crear un fichero UPX especialmente manipulado que, a la hora de ser procesado por el sistema víctima, provocaría un desbordamiento de memoria intermedia en el motor de análisis y permitiría la ejecución de código arbitrario en el sistema o bien provocaría que dejase de responder.

Todos los productos de Trend Micro que utilicen el motor de análisis (Scan Engine) y la tecnología Pattern File se ven afectados.

* Un error en los permisos de interfaz de dispositivo TmComm DOS
(TmComm.sys) permite a usuarios en el grupo “Todos” escribir en el dispositivo y acceder a ciertos manejadores IOCTL. Un atacante local podría aprovechar esto para ejecutar código arbitrario en el sistema víctima con privilegios de kernel. Se ve afectado el Anti-Rootkit Common Module (RCM). Este fallo afecta a productos Antivirus, Anti-spyware y Pc-cillin.

Para el primer fallo el fabricante ha puesto a disposición de sus clientes Scan Engine con versión de firmas 4.245.00 o superior.

Para el segundo fallo el fabricante ha puesto a disposición de sus clientes Anti-Rootkit Common Module [RCM] versión 1.600-1052 disponible a través de las actualizaciones automáticas o manualmente.

Opina sobre esta noticia:
http://www.hispasec.com/unaaldia/3032/comentar

Más información:

Trend Micro AntiVirus UPX Parsing Kernel Buffer Overflow Vulnerability http://labs.idefense.com/intelligence/vulnerabilities/display.php?id=470

Trend Micro TmComm Local Privilege Escalation Vulnerability
http://labs.idefense.com/intelligence/vulnerabilities/display.php?id=469

Laboratorio Hispasec
laboratorio@hispasec.com

==== 4.- Grave vulnerabilidad a través de telnet en Sun Solaris ====
Se ha descubierto un error en el telnet de Sun Solaris que puede permitir a un atacante obtener de forma trivial privilegios de root.

Se ha descubierto un error en la instalación por defecto de Sun Solaris que permite a un atacante externo que tenga acceso al servidor de telnet acceder con privilegios de root de forma trivial. El exploit es público y basta con acceder al sistema mediante el comando:
telnet -l “-froot” [nombre_de_host]
También permite sustituir a cualquier otro usuario mediante:
telnet -l “-fusuario” [nombre_de_host]

Se ha comprobado que afecta a Sun Solaris 10, pero otras versiones también podrían verse afectadas.

No existe parche oficial. Se recomienda deshabilitar inmediatamente el acceso por telnet, parando el servicio o limitando el acceso al puerto 23.

Opina sobre esta noticia:
http://www.hispasec.com/unaaldia/3033/comentar

Más información:

Solaris Telnet 0day or Embarrassment
http://blogs.securiteam.com/index.php/archives/814

Laboratorio Hispasec
laboratorio@hispasec.com

==== 5.- Informan de un nuevo ataque Zero-day a Microsoft Office ==== http://laflecha.net/canales/seguridad/informan-de-un-nuevo-ataque-zero-day-a-microsoft-office/
Microsoft ha publicado una alerta relacionado con un reporte de ataques del tipo Zero-day, que utilizan una nueva vulnerabilidad en Microsoft Office 2000, Microsoft Office XP, Microsoft Office 2003, y Microsoft Office 2004 para Mac

==== 6.- Falla de seguridad de dia cero en Solaris permite ataques remotos ==== http://security.itworld.com/4340/070212solaris0day/page_1.html
Expertos en seguridad estan alertando de una vulnerabilidad dia cero en Solaris de Sun Microsystems Inc.

==== 7.- Exploit activo para nueva vulnerabilidad en Word ====
http://www.vsantivirus.com/vul-word-cve-2007-0870.htm
Se han recibido reportes de una nueva vulnerabilidad que afecta especificamente a Microsoft Word 2000. La misma estaria siendo explotada por determinado tipo de malware, dirigida a blancos especificos.

==== 8.- Doce boletines de seguridad de Microsoft en febrero ====
Tal y como adelantamos la semana pasada, este martes Microsoft ha publicado doce boletines de seguridad (MS07-005 al MS07-016) dentro de su ciclo habitual de actualizaciones.

Según la propia clasificación de Microsoft seis de los nuevos boletines presentan un nivel de gravedad “crítico”, mientras que los otros seis reciben la calificación de “importante”.

* MS07-005: Evita una vulnerabilidad en Step-by-Step Interactive Training que puede ser aprovechada por atacantes para ejecutar código arbitrario. Está calificado como “importante”.

* MS07-006: Se trata de una actualización para evitar una vulnerabilidad en la forma en la que Windows Shell detecta y registra nuevo hardware que puede permitir a un atacante local autenticado elevar privilegios y obtener completo control del sistema. Afecta a Windows XP y Windows Server 2003. Está calificado como “importante”.

* MS07-007: Esta actualización resuelve una vulnerabilidad en el servicio Adquisición de imágenes de Windows (WIA) que podría permitir la elevación de privilegios y obtener completo control del sistema. Según la calificación de Microsoft está calificado como “importante”. Afecta a Windows 2000, Windows XP y Windows Server 2003.

* MS07-008: Esta actualización resuelve una vulnerabilidad en el Control ActiveX de la Ayuda HTML que podría permitir la ejecución remota de código. Recibe una calificación de “crítico”. Afecta a Windows 2000, Windows XP y Windows Server 2003.

* MS07-009: Se trata de una actualización para una vulnerabilidad en Microsoft Data Access Components que podría permitir la ejecución remota de código. Recibe el nivel de “Crítico”.

* MS07-010: En este boletín se anuncian los parches de actualización necesarios para solventar una vulnerabilidad en el motor de protección contra malware de Microsoft que podría permitir la ejecución remota de código. Afecta a Windows Live OneCare, Antigen para Exchange Server 9.x y para SMTP Server 9.x, Microsoft Windows Defender y Microsoft Forefront Security .Está calificado como “crítico”.

* MS07-011: Esta actualización resuelve una vulnerabilidad en el diálogo Microsoft OLE que podría permitir la ejecución remota de código. Afecta a Windows 2000, Windows XP y Windows Server 2003. Está considerado por Microsoft como “importante”.

* MS07-012: Soluciona un error en Microsoft MFC que podría permitir a un atacante remoto ejecutar código arbitrario en el sistema de la víctima.
Está calificado como “importante”. Se ven afectados Windows 2000, Windows Server 2003, Windows XP y Microsoft Visual Studio .NET 2002 y 2003.

* MS07-013: Corrige una vulnerabilidad en Microsoft RichEdit que podría permitir la ejecución remota de código. Afecta a Windows 2000; Windows XP; Windows Server 2003; Office 2000, XP y 2003. Microsoft lo califica como “importante”.

* MS07-014: Destinado a solucionar seis vulnerabilidades en Microsoft Word que pueden permitir a un atacante remoto ejecutar código arbitrario. Según la calificación de Microsoft está valorado como “crítico”. Afecta a Word 2000, 2002 y 2003 y Word Viewer 2003

* MS07-015: Destinado a solucionar dos vulnerabilidades en Microsoft Office que pueden permitir a un atacante remoto ejecutar código arbitrario. Según la calificación de Microsoft está valorado como “crítico”. Afecta a Office 2000, XP, 2002 y 2003.

* MS07-016: Actualización acumulativa para Microsoft Internet Explorer que además soluciona tres nuevas vulnerabilidades que podrían permitir la ejecución remota de código arbitrario. Según la calificación de Microsoft está calificado como “crítico”. Afecta a Internet Explorer 5.01, 6 y 7.

Las actualizaciones publicadas pueden descargarse a través de Windows Update y Office Update o consultando los boletines de Microsoft donde se incluyen las direcciones de descarga directa de cada parche.

Opina sobre esta noticia:
http://www.hispasec.com/unaaldia/3036/comentar

Más información:

Resumen del boletín de seguridad de Microsoft de febrero de 2007 http://www.microsoft.com/spain/technet/security/Bulletin/ms07-feb.mspx

Boletín de seguridad de Microsoft MS07-005 Una vulnerabilidad en Step-by-Step Interactive Training podría permitir la ejecución remota de código http://www.microsoft.com/spain/technet/security/Bulletin/MS07-005.mspx

Boletín de Seguridad de Microsoft MS07-006 Una vulnerabilidad en el shell de Windows podría permitir la elevación de privilegios http://www.microsoft.com/spain/technet/security/Bulletin/MS07-006.mspx

Boletín de Seguridad de Microsoft MS07-007 Una vulnerabilidad en el servicio Adquisición de imágenes de Windows podría permitir la elevación de privilegios http://www.microsoft.com/spain/technet/security/Bulletin/MS07-007.mspx 

Boletín de Seguridad de Microsoft MS07-008 Una vulnerabilidad en el control ActiveX de la Ayuda HTML podría permitir la ejecución remota de código http://www.microsoft.com/spain/technet/security/Bulletin/MS07-008.mspx 

Boletín de Seguridad de Microsoft MS07-009 Una vulnerabilidad en Microsoft Data Access Components podría permitir la ejecución remota de código http://www.microsoft.com/spain/technet/security/Bulletin/MS07-009.mspx

Boletín de Seguridad de Microsoft MS07-010 Una vulnerabilidad en el motor de protección contra malware de Microsoft podría permitir la ejecución remota de código http://www.microsoft.com/spain/technet/security/Bulletin/MS07-010.mspx

Boletín de Seguridad de Microsoft MS07-011 Una vulnerabilidad en el diálogo OLE de Microsoft podría permitir la ejecución remota de código http://www.microsoft.com/spain/technet/security/Bulletin/MS07-011.mspx

Boletín de Seguridad de Microsoft MS07-012 Una vulnerabilidad en Microsoft MFC podría permitir la ejecución remota de código http://www.microsoft.com/spain/technet/security/Bulletin/MS07-012.mspx 

Boletín de Seguridad de Microsoft MS07-013 Una vulnerabilidad en Microsoft RichEdit podría permitir la ejecución remota de código http://www.microsoft.com/spain/technet/security/Bulletin/MS07-013.mspx

Boletín de Seguridad de Microsoft MS07-014 Vulnerabilidades en Microsoft Word podrían permitir la ejecución remota de código http://www.microsoft.com/spain/technet/security/Bulletin/MS07-014.mspx

Boletín de Seguridad de Microsoft MS07-015 Vulnerabilidades en Microsoft Office podrían permitir la ejecución remota de código http://www.microsoft.com/spain/technet/security/Bulletin/MS07-015.mspx

Boletín de Seguridad de Microsoft MS07-016 Actualización de seguridad acumulativa para Internet Explorer http://www.microsoft.com/spain/technet/security/Bulletin/MS07-016.mspx

Antonio Ropero
antonior@hispasec.com

==== 9.- Firefox permite que intrusos manipulen cookies ====
http://www.seguridad.unam.mx/noticias/?noti=2499
Firefox tiene una falla que permite a los intrusos manipular las cookies de autenticacion de virtualmene cualquier sitio, una vulnerabilidad que Bugzilla ha catalogado como severa.

==== 10.- Cisco advierte de mas vulnerabilidades en ruteadores ====
http://www.seguridad.unam.mx/noticias/?noti=2497
Las capacidades de prevencion de intrusos de los ruteadores Cisco Systems podria ser propensa a ataques, despues de que el gigante de las redes revelara dos vulnerabilidades en su sistema operativo principal.

==== 11.- Apple soluciona cuatro huecos de seguridad ====
http://news.zdnet.com/2100-1009_22-6159946.html
Apple publico cuatro actualizaciones de seguridad el jueves pasado para solucionar fallas de seguirdad en Mac OS X.

==== 12.- Fue encontrada nueva vulnrabilidad Microsoft Office  ==== http://www.theregister.co.uk/2007/02/15/office_vuln/
Justo cuando el mundo penso que estaba seguro al usar Microsoft Office, se descubrio una nueva vulnerabilidad de dia zero. Como las otras, es capaz de hacer toda clase de actividad, incluyendo la ejecucion de codigo malicioso en las computadoras de las victimas.

==== 13.- Vulnerabilidad en Palm Treo deja a datos sin proteccion ===
http://www.informationweek.com/security/showArticle.jhtml?articleID=197006515
El Palm OS Treos tiene una falla de seguridad en el modulo que permite que usuarios accesen a sus datos, la cual implica que se puede obtener acceso a la informacion incluso cuando los smart phones son bloqueados con una contrase~a.

==== 14.- Dos vulnerabilidades en el sistema IPS de Cisco IOS ====
Se han encontrado dos vulnerabilidades en el sistema de prevención de intrusos (IPS) de Cisco IOS.

* Paquetes IP fragmentados podrían ser usados para eludir la inspección de firmas. Algunas firmas IPS utilizan expresiones regulares. Existe un fallo por el que un atacante podría eludir estas firmas IPS si se usa tráfico especialmente manipulado como fragmentos IP. Esto puede resultar en que potencialmente, tráfico no deseado podría eludir la inspección de firmas y potencialmente atacar a los sistemas protegidos. Las firmas IPS que no usen expresiones regulares no se ven afectadas.

* Las firmas que utilizan la funcionalidad de expresiones regulares del motor de firmas ATOMIC.TCP puede hacer que el router deje de funcionar y provocar una denegación de servicio. Por ejemplo la firma 3123.0 ha demostrado disparar esta vulnerabilidad.

Parte de la gama Cisco IOS 12.x se ve afectada. Cisco, a través de los canales habituales, ha puesto a disposición de sus clientes software para solucionar el problema.

Se aconseja consultar la tabla de versiones vulnerables y contramedidas
en:
http://www.cisco.com/en/US/products/products_security_advisory09186a00807e0a5b.shtml

Opina sobre esta noticia:
http://www.hispasec.com/unaaldia/3037/comentar

Más información:

Cisco Security Advisory: Multiple IOS IPS Vulnerabilities http://www.cisco.com/warp/public/707/cisco-sa-20070213-iosips.shtml

Laboratorio Hispasec
laboratorio@hispasec.com

==== 15.- Vulnerabilidades de cross-site scripting en ColdFusion MX ====
Adobe ha anunciado la existencia de dos vulnerabilidades en ColdFusion MX, que pueden ser empleadas por atacantes para construir ataques de cross-site scripting.

El primero de los problemas reside en que las entradas pasadas a determinados parámetros no se limpia adecuadamente antes de ser devuelta al usuario. Esto podrá ser empleado por un atacante para ejecutar código html arbitrario y código script code en una sesión de usuario del navegador. La explotación exitosa requiere que no esté habilitado Global Script Protection.

Este problema afecta a ColdFusion MX 7. la actualización para corregirlo está disponible en:
http://download.macromedia.com/pub/security/bulletins/apsb07-03/apsb07-03.zip

El segundo de los problemas reside en una vulnerabilidad en la página de error por defecto de ColdFusion, que puede permitir a un atacante evitar la protección cross-site scripting. Se ven afectados ColdFusion MX 7.X y ColdFusion MX 6.X.
Adobe recomienda sustituir el detail.cfm disponible en las siguientes
direcciones:
Para ColdFusion MX 7:
http://download.macromedia.com/pub/security/bulletins/apsb07-04/CFMX7_APSB07-04.zip
Para ColdFusion MX 6.1:
http://download.macromedia.com/pub/security/bulletins/apsb07-04/CFMX6_APSB07-04.zip
las localizaciones del archivos son:
Para Windows: {cf_root}\wwwroot\WEB-INF\exception\detail.cfm
Para Unix/Linux: {cf_root}/wwwroot/WEB-INF/exception/detail.cfm

Opina sobre esta noticia:
http://www.hispasec.com/unaaldia/3038/comentar

Más información:

Patch available for ColdFusion MX 7 cross-site scripting issue when Global Script Protection is not enabled http://www.adobe.com/support/security/bulletins/apsb07-03.html

Patch available for ColdFusion MX cross-site scripting issue http://www.adobe.com/support/security/bulletins/apsb07-04.html

Laboratorio Hispasec
laboratorio@hispasec.com

==== 16.- Ejecución de código a través del Finder de Mac OS X 10.x ====
Se ha anunciado la existencia de una vulnerabilidad en Mac OS X Finder, por la que un usuario remoto puede lograr la ejecución de código arbitrario en los sistemas afectados.

El problema reside en un desbordamiento de búfer en el tratamiento de nombres de volumen de Finder. Un usuario remoto podrá crear una imagen de disco especialmente modificada para que cuando lo monte el usuario atacado, se provoque el desbordamiento de búfer y la ejecución de código en el sistema de la víctima.

Las versiones anteriores a Mac OS X v10.4 no se ven afectadas.

Apple ha publicado una actualización como parte del Security Update 2007-002, disponible desde Software Update en System Preferences, o desde el sitio web Software Downloads en el web de Apple:
http://www.apple.com/support/downloads/

Opina sobre esta noticia:
http://www.hispasec.com/unaaldia/3039/comentar

Más información:

About Security Update 2007-002
http://docs.info.apple.com/article.html?artnum=305102

Laboratorio Hispasec
laboratorio@hispasec.com

==== 17.- Vulnerabilidad en Yahoo! Messenger 7.5 y anteriores ==== http://www.vsantivirus.com/vul-yahoo-messenger-170207.htm
Se ha reportado que Yahoo! Messenger es propenso a una vulnerabilidad que puede permitir a un atacante remoto abrir una ventana del navegador en el equipo de su victima, mostrando una pagina arbitraria.

==== 18.- Denegación de servicio en el kernel 2.6.x de Linux ====
Se ha encontrado una vulnerabilidad en el kernel de Linux que puede ser aprovechada por atacantes para provocar una denegación de servicio.

El fallo se debe a una liberación inválida de puntero cuando se manejan peticiones ACCESS en NFSACL 2, concretamente en la función “nfsaclsvc_release_getacl()” de fs/nfsd/nfs2acl.c. Esto puede ser usado para hacer que el kernel deje de responder.

Se recomienda actualizar a la versión 2.6.20.1 desde http://www.kernel.org

Opina sobre esta noticia:
http://www.hispasec.com/unaaldia/3041/comentar

Más información:

Linux Kernel NFSACL “nfsaclsvc_release_getacl()” Function Denial of Service Issue http://www.frsirt.com/english/advisories/2007/0660

Laboratorio Hispasec
laboratorio@hispasec.com

==== 19.- Vulnerabilidad en Snort de Sourcefire ==== http://www.theregister.co.uk/2007/02/20/snort_bug/
Usuarios de Snort y clientes de Sourcefire necesitan actualizar su software de deteccion de intrusion debido al descubrimiento de una vulnerabilidad de seguridad potencialmente grave.

==== 2.- Elevación de privilegios afecta a servidores X11 de Sun Solaris ==== Existe una vulnerabilidad de desbordamiento a la hora de realizar una multiplicación de enteros dentro de la librería libXfot, utilizada por los servidores X11 que pude provocar un desbordamiento de heap a la hora de cargar las fuentes.

Esto puede ser aprovechado por un usuario local no privilegiado para ejecutar comandos arbitrarios con privilegios elevados, o provocar una denegación de servicio a los administradores de visualización.

El problema ha sido resuelto con los siguientes parches:

==== 3.- Se publican tres vulnerabilidades que afectan a Cisco IOS ==== Cisco ha publicado tres anuncios de vulnerabilidades para su sistema operativo IOS. Estos fallos permiten desde la denegación de servicio (provocar que un dispositivo deje de responder) hasta, potencialmente, ejecutar código arbitrario en el sistema afectado.

Cisco no ha dado excesivos detalles sobre los problemas, pero ha publicado una tabla completa de sistemas afectados y versiones parcheadas (no todas disponibles por el momento). También, en las páginas oficiales, se pueden encontrar las contramedidas necesarias para mitigar o anular el efecto de un posible ataque.

El primer fallo se produce a la hora de procesar una cabecera de enrutamiento IPv6 Type 0 y puede hacer que el dispositivo deje de responder.
Para disparar la vulnerabilidad el paquete debe estar destinado a cualquiera de las direcciones IPv6 definidas en el dispositivo. El tipo de paquete exacto no es relevante (TCP, ICMP,
UDP…) puesto que la vulnerabilidad se da en la capa IP.

El segundo error se debe a un fallo en la implementación de varios protocolos en Cisco IOS. Un atacante podría enviar tráfico IPv4 especialmente manipulado destinado (no que pase a través de) al dispositivo Cisco IOS y hacer que deje de responder y potencialmente, ejecutar código arbitrario. Paquetes pertenecientes a los protocolos Internet Control Message Protocol (ICMP), Protocol Independent Multicast version 2 (PIMv2), Pragmatic General Multicast (PGM), o URL Rendezvous Directory (URD) con la opción IP en la cabecera del paquete especialmente manipulada, podrían desencadenar el problema. Este es el problema considerado como más grave.

El tercer fallo se debe también a un fallo en la implementación TCP de Cisco IOS. Un atacante podría enviar tráfico IPv4 especialmente manipulado destinado (no que pase a través de) al dispositivo Cisco IOS y hacer que el dispositivo filtre una pequeña cantidad de memoria. Si se repite la acción de forma continuada, la memoria se agotaría y el dispositivo dejaría de responder por agotamiento de recursos. Paquetes TCP con una dirección fuente falsificada podrían provocar la filtración.

Laboratorio Hispasec
laboratorio@hispasec.com

==== 4.- Salto de restricciones de seguridad en productos Check Point ==== Se ha anunciado una vulnerbailidad en productos Check Point, que puede ser empleada por usuarios maliciosos para saltarse la función de exploración.

El problema reside en que /sre/params.php en el componente ICS (Integrity Clientless Security) no valida de forma adecuada los datos que recibe. Un atacante podría explotar esto para recibir una cookie, que permitiría evitar determinadas comprobaciones realizadas antes de acceder a la red, mediante el envío de una petición POST con un informe válido a la página /sre/params.php.

La vulnerabilidad afecta a los siguientes productos y versiones con la característica ICS activada:
* Connectra NGX R62
* Connectra NGX R61
* Connectra NGX R60
* Connectra 2.0
* Chech Point VPN-1

Se recomienda aplicar las actualizaciones publicadas por Check Point:

Laboratorio Hispasec
laboratorio@hispasec.com

==== 5.- Denegación de servicio en ISC BIND 9.x ==== Se ha encontrado una vulnerabilidad en ISC BIND que puede ser aprovechada por atacantes para provocar una denegación de servicio.

El fallo se debe a un error en el demonio “named” y el manejo de la memoria que puede ser aprovechado por atacantes remotos para hacer que el sistema deje de responder y provocar una condición de denegación de servicio.

También se ha publicado que BIND es vulnerable a un problema relacionado con la validación de respuestas de tipo ANY.

Se recomienda actualizar a las versiones no vulnerables 9.2.8, 9.3.4 ó
9.4.0rc2 desde www.isc.org/sw/bind/.

==== 7.- Anunciadas nuevas vulnerabilidades que afectan a Apple OS X ==== Se han anunciado dos vulnerabilidades en Apple Mac OS X, que pueden ser explotadas por usuarios maliciosos para provocar condiciones de denegación de servicio o incluso llegar a ejecutar comandos arbitrarios en los sistemas afectados.

El primero de los problemas está provocado por un error en Apple QuickDraw y puede explotarse a través de las funciones “GetSrcBits32ARGB()” y “InternalUnpackBits()”, para provocar la caída de la aplicación afectada o inluso comprometer el sistema cuando se procesan imágenes PICT específicamente manipuladas. Se recomienda no abrir imágenes PICT procedentes de fuentes desconocidas.

La segunda vulnerabilidad se debe a un error de formato de cadenas en la aplicación Software Update cuando se procesan ficheros con un nombre de archivo especialmente modificado, lo que puede llegar a emplearse para ejecutar comandos arbitrarios si se induce al usuario para que abra el archivo malicioso.

Las vulnerabilidades se presentan en Mac OS X 10.4.8 y anteriores

==== 9.- Ejecución de código en Trend Micro InterScan VirusWall para Linux ==== Se ha identificado un problem en Trend Micro InterScan VirusWall 3.81 para Linux que puede ser aprovechado por atacantes para provocar una denegación de servicio o ejecutar código arbitrario.

El fallo se debe a un desbordamiento de memoria intermedia en el módulo VSAPI a la hora de pasarle un argumento demasiado largo a la utilidad vscan.
Esto puede ser aprovechado por atacantes para ejecutar código arbitrario si un usuario o sistema automatizado analiza un fichero especialmente manipulado.

==== 12.- Termina el mes de los fallos en Apple ==== Culmina el mes de los fallos en Apple, y ya se pueden extraer los análisis y resultados pertinentes. Esta iniciativa ha sido llevada a cabo puntualmente por LHM y Kevin Finisterre, que han publicado un fallo del sistema Mac OS X o programas integrados en él cada día durante el mes de enero.

Han sido un total de 31 fallos y vulnerabilidades que incluso han salpicado a múltiples fabricantes, como el problema de PDF (muchas distribuciones han tenido que actualizar su xpdf) o el reproductor VLC Media Player.

Durante el mes, se han descubierto siete vulnerabilidades más o menos críticas que podrían permitir la ejecución de código arbitrario. El resto, a grandes rasgos, se basaban o bien en la denegación de servicio o bien en la escalada de privilegios local. Tres parecen afectar a FreeBSD, sistema sobre el que se basa Mac OS X.

Algunas vulnerabilidades en el sistema de montaje, en componentes para Quicktime, en Apple iLife iPhoto, Omniweb, VLC y Quicktime son de las vulnerabilidades más graves encontradas.

Por el momento apenas tres o cuatro vulnerabilidades parecen solucionadas.
Resultan ser la denegación de servicio en Colloquy 2.x, vulnerabilidad de formato de cadena en OmniWeb, el problema de PDF que han solucionado muchos fabricantes y en fallo en VLC.

También ha sido solventado el problema de Quicktime, que ha sido de las más graves e inauguró el mes. El fallo en concreto ocurría en el manejador de URLs rtsp://. La versión vulnerable en Windows es la 7.1.3.100. El código necesario para aprovechar la vulnerabilidad es público y relativamente sencillo de implementar, aun así Apple tardó 22 días en publicar una solución. El problema se agrava porque aunque el fallo esté corregido, los usuarios de Windows que descarguen a día de hoy Quicktime desde la página oficial, seguirán todavía obteniendo la 7.1.3.100 y por tanto continúan expuestos la amenaza varios días después de la aparición del parche. Apple no ha “subido” la versión corregida.
Para solucionarlo, tras la descarga, los usuarios deben instalar también el actualizador (paso opcional) junto al programa y lanzarlo posteriormente.
Gran despiste de Apple en este sentido, pues muchos usuarios dan por hecho que al descargar de nuevo el programa completo tras la aparición del parche para un fallo, este estará corregido o integrado en el paquete.

Los impulsores de este mes temático se han reservado una sorpresa para la última vulnerabilidad. Han publicado una “Diversión remota no especificada con el kernel”. No hay detalles, sólo será publicada “próximamente” y si se visita el enlace se parodia una conversación entre Sarah Connor y Terminator además de lo que parece un mensaje destinado a quienes les han reprochado la iniciativa. También en la página se recomienda tener cuidado con esa “diversión remota”. Se presume pues, que conocen una vulnerabilidad importante que no quieren destapar aún.

Mac OS X pasa así la prueba a la que ya se han enfrentado los núcleos de los sistemas operativos en general (mes de los fallos en el núcleo “celebrado”
en noviembre) y los navegadores, (“celebrado” en julio).
Es complicado evaluar hasta qué punto esta iniciativa es positiva o negativa, si realmente ha servido de algo, si ha ridiculizado al producto o lo ha beneficiado… En cualquier caso, la única certeza es que hoy Mac OS X es un poco más seguro o inseguro que hace un mes.

==== 15.- Actualización del kernel para Red Hat Enterprise Linux 4 ==== Red Hat ha publicado una actualización para el núcleo de Red Hat Enterprise Linux 4 que soluciona varios problemas de seguridad.

Entre los problemas solventados, los de mayor gravedad, son los
siguientes:

* Un fallo de criticidad importante en la función get_fdb_entries del soporte de bridging en red que permite a usuarios locales provocar una denegación de servicio y potencialmente elevar privilegios.

* Un problema de criticidad importante de fuga de información en la función _block_prepare_write que permite a usuarios locales leer información del núcleo.

* Un problema de criticidad importante de fuga de información en la función
copy_from_user() en plataformas s390 y390x que permite a usuarios locales leer información del núcleo.

* Un problema de criticidad importante en el manejo de /proc/net/ip6_flowlabel que permite a usuarios locales provocar una denegación de servicio.

* Un problema de criticidad importante en el manejo de AIO que permite a usuarios locales provocar una denegación de servicio.

Se recomienda actualizar a través de las herramientas automáticas up2date.

==== 17.- Denegación de servicio a través de SIP en Cisco IOS ==== Se ha detectado una vulnerabilidad en Cisco IOS que puede permitir a un atacante provocar que el dispositivo deje de funcionar, causando una condición de denegación de servicio.

Se ha detectado que los dispositivos Cisco con IOS que soporten voz y no tengan configurado el protocolo Session Initiated Protocol (SIP) son vulnerables y pueden dejar de responder bajo ciertas condiciones todavía por determinar, pero aisladas al tráfico destinado al puerto 5060.

Todos los IOS que soportan voz a partir de las versiones 12.3(14)T, 12.3(8)YC1, 12.3(8)YG y toda la gama 12.4 se ven afectados por este problema.

La vulnerabilidad puede ser mitigada si se deshabilita el procesado SIP con los comandos:

Router(config)#sip-ua
Router(config-sip-ua)#no transport udp
Router(config-sip-ua)#no transport tcp
Router(config-sip-ua)#end

==== 1.- Dos vulnerabilidades de denegación de servicio en Squid 2.x ====
Se han encontrado dos vulnerabilidades en Squid que pueden ser aprovechadas por atacantes para provocar una denegación de servicio.

* Un error en el manejo de ciertas peticiones FTP a través de URL pueden ser aprovechadas para hacer que Squid deje de responder si se visita una URL especialmente manipulada a través del proxy.

* Un error en la cola external_acl puede hacer que Squid deje de responder si se encuentra bajo una gran carga de trabajo.

Las vulnerabilidades se han confirmado en la versión 2.6 aunque otras podrían verse afectadas.

Se recomienda actualizar a la versión 2.6.STABLE7 desde www.squid-cache.org/

=== 3.- Grupo de parches de enero para diversos productos Oracle ====
Oracle ha publicado un conjunto de cincuenta parches para diversos productos de la casa que solventan una larga lista de vulnerabilidades sobre las que apenas han dado detalles concretos.

Las consecuencias son que atacantes locales y remotos pueden provocar denegaciones de servicio, ejecutar código arbitrario, tener acceso de escritura y lectura a datos sensibles, perpetrar ataques de inyección SQL y eludir restricciones de seguridad. Los fallos se dan en varios componentes de los productos.

La lista de productos afectados es la siguiente:
* Oracle Database 10g Release 2, versiones 10.2.0.1, 10.2.0.2, 10.2.0.3
* Oracle Database 10g Release 1, versiones 10.1.0.3, 10.1.0.4, 10.1.0.5
* Oracle9i Database Release 2, versiones 9.2.0.5, 9.2.0.6, 9.2.0.7,
9.2.0.8
* Oracle9i Database Release 1, versiones 9.0.1.4, 9.0.1.5, 9.0.1.5 FIPS
* Oracle8i Database Release 3, versión 8.1.7.4
* Oracle Identity Management 10g, versión 10.1.4.0.1
* Oracle Application Server 10g Release 3, versiones 10.1.3.0.0, 10.1.3.1.0
* Oracle Application Server 10g Release 2, versiones 10.1.2.0.0 – 10.1.2.0.2, 10.1.2.1.0, 10.1.2.2.0
* Oracle Application Server 10g, versiones 9.0.4.1, 9.0.4.2, 9.0.4.3
* Oracle9i Application Server Release 2, versión 9.0.2.3
* Oracle9i Application Server Release 1, versión 1.0.2.2
* Oracle Enterprise Manager 10g Grid Control Release 2, versión
10.2.0.1
* Oracle Enterprise Manager 10g Grid Control Release 1, versiones 10.1.0.3, 10.1.0.4, 10.1.0.5
* Oracle E-Business Suite Release 11i, versiones 11.5.7 – 11.5.10 CU2
* Oracle E-Business Suite Release 11.0
* Oracle PeopleSoft Enterprise PeopleTools versiones 8.22, 8.47, 8.48
* Oracle Developer Suite, versiones 6i, 9.0.4.3, 10.1.2.0.2

De las más de 50 correcciones:

* 17 afectan a Oracle Database y 1 de ellas no requiere un usuario y contraseña válidos para poder ser aprovechadas.

* 9 afectan a Oracle HTTP Server, 8 de las cuales son aprovechables de forma remota sin necesidad de autenticación.

* 12 afectan a Oracle HTTP Server, y 8 son aprovechables remotamente sin necesidad de autenticación.

* 14 vulnerabilidades de Oracle Application Server están incluidas en componentes de Oracle Collaboration Suite, once de ellas son aprovechables de forma remota sin necesidad de autenticación.

* 7 parches en Oracle E-Business Suite y Applications. Ninguna de ellas es aprovechable de forma remota sin autenticación.

* 6 nuevos parches para Oracle Enterprise Manager, 5 son aprovechables de forma remota sin autenticación.

* 3 nuevos parchces para Oracle PeopleSoft Enterprise. 1 es aprovechable de forma remota sin autenticación.

Para comprobar las matrices de productos afectados, gravedad y la disponibilidad de parches, es necesario comprobar la notificación
oficial:

==== 6.- Ejecución de código a través de imágenes GIF en Sun Java Runtime Environment ====
Se ha encontrado una vulnerabilidad en Sun Java Runtime Environment
(JRE) que puede ser aprovechada por atacantes para ejecutar código arbitrario.

El fallo se debe a un error a la hora de procesar imágenes GIF y puede ser aprovechado para provocar un desbordamiento de memoria intermedia basado en heap a través de una imagen GIF especialmente manipulada con un ancho de imagen de 0.

El problema está solucionado en (para Windows, Solaris, y Linux) JDK y JRE 5.0 Update 10 o posterior.
SDK y JRE 1.4.2_13 o posterior.
SDK y JRE 1.3.1_19o posterior.

==== 7.- Denegación de servicio a través de kpdf en KDE 3.x ====
Se ha encontrado una vulnerabilidad en kpdf de KDE. Un atacante remoto podría ejecutar código arbitrario en el sistema víctima.

El problema reside en que un atacante podría crear un fichero PDF con un diccionario de catálogo especialmente manipulado o un atributo Pages también manipulado que, al ser cargado, haría que el visor entrase en un bucle infinito.

El fallo reside en el código xpdf (que es compartido por kpdf).

Se ha publicado la versión 3.5.6 que corrige el problema, también se han publicado las siguientes actualizaciones:

==== 8.- Denegación de servicio en Cisco IP Contact Center y Unified Contact Center ====
Cisco Unified Contact Center Enterprise, Cisco Unified Contact Center Hosted, Cisco IP Contact Center Enterprise, y Cisco IP Contact Center Hosted editions se ven afectados por una vulnerabilidad que podría resultar en el reinicio del proceso JTapi Gateway.

Para aprovechar el problema, un atacante tendría que establecer una conexión TCP de tres bandas especialmente manipulada al puerto del servidor Jtapi. El proceso se reiniciaría y no aceptaría más conexiones.

Los parches pueden ser descargados desde:

==== 9.- Se hacen públicas varias vulnerabilidades en Microsoft Visual Studio ====
En los últimos días, un investigador ha publicado varias vulnerabilidades en productos Microsoft Visual Studio que pueden permitir la ejecución de código arbitrario. Se han publicado dos problemas de corrupción de memoria basados en pila en Microsoft Help Workshop a la hora de procesar archivos con extensión .HPJ (Help project files) y .CNT (Help Contents Files).

Los fallos se deben a una falta de comprobación en los límites de los datos introducidos, y permite el control del flujo del programa y por tanto, ejecutar código arbitrario si la víctima ejecuta un archivo con extensión .HPJ o .CNT especialmente manipulados.

El software afectado por estos problemas es:
* Microsoft Help Workshop v4.03.0002 (y posiblemente otras versiones)
* Microsoft Visual Studio 6
* Microsoft Visual Studio 2003

Existen pruebas de concepto públicas.

Por otro lado, se ha encontrado un problema de seguridad en Microsoft Visual Studio 6 que puede permitir a un atacante ejecutar código arbitrario.

Existe un desbordamiento de memoria intermedia basado en pila en el proceso MSDEV.EXE de Microsoft Visual C++ en el módulo compilador de recursos RCDLL.DLL. El problema se debe a un procesado erróneo de los campos de nombre de fichero. Un atacante podría ejecutar código arbitrario si la víctima abre un archivo .RC especialmente manipulado.

Para que se pueda llevar a cabo el ataque, la víctima debe hacer pulsar en el botón de “Aceptar” cuando aparece el mensaje de “fichero no encontrado”.

El software afectado es:
* Microsoft Visual Studio 6

No existe parche oficial. Se recomienda no abrir ficheros no solicitados con las extensiones afectadas .

==== 10.- Encuentan una vulnerabilidad de denegación de servicio en RealPlayer (archivos .MID) ====
RealPlayer es una aplicación que permite la reproducción de archivos multimedia, en forma local y a través de Internet, muy utilizada en las transmisiones de audio y video desde sitios Web.

Se ha reportado que este conocido software de RealNetworks, es propenso a una vulnerabilidad del tipo denegación de servicio (DoS), que se puede producir cuando intenta procesar ciertos archivos .MID, especialmente modificados.

Un atacante puede utilizar esta debilidad, para lograr que el programa deje de responder o se cierre inesperadamente, cuando el usuario intenta reproducir un archivo descargado de un sitio web.

No se ha comprobado que este problema pueda ser utilizado para la ejecución remota de código o comandos no deseados.

Existe una prueba de concepto (PoC) publicada en Internet.

El fallo ha sido comprobado en la versión 10.5 de RealPlayer, bajo Windows XP SP2 con todas las actualizaciones al día. Otras versiones del RealPlayer bajo otras plataformas operativas, también podrían ser afectadas.

No existe al momento de publicarse esta alerta, ningún parche o actualización oficial para esta vulnerabilidad.

Más información:

RealNetwork RealPlayer MID File Handling Remote Denial of Service Vulnerability

==== 1.- Nueva falla encontrada en Microsoft Excel ====
http://searchsecurity.techtarget.com/originalContent/0,289142,sid14_gci1238049,00.html
Investigadores del proveedor de seguridad Fortinet Inc. localizado en Sunnyvale California y Secunia estan alertando de una nueva falla de seguridad en Microsoft Excel que intrusos podrian explotar para ejecutar codigo malicioso en maquinas que son objetivo de ataque.

==== 2.- Expertos alertan de huecos de seguridad en WiMax ====
http://www.vnunet.com/vnunet/news/2172121/experts-warn-wimax-security
Expertos estan advirtiendo de que los problemas de seguridad estan afectando la tecnologia de WiMax.

==== 3.- Los parches de Microsoft saben a poco ====
Después de anunciar ocho boletines de seguridad, el número real se ha reducido a la mitad. Los parches de Microsoft de este mes han dejado sin solución (entre otras) tres vulnerabilidades graves en Microsoft Word, presumiblemente incluidos entre los ocho originales que se anunciaron pero que no fueron publicados finalmente.

Los parches publicados el pasado martes solventan, como fue anunciado a última hora, diez vulnerabilidades agrupadas en cuatro boletines. Los que salen peor parados son los componentes de Office, Outlook y Excel, con nueve vulnerabilidades, casi todas críticas. Ninguno de los fallos corregidos se conocía de forma pública antes de la aparición de estos boletines (aunque algunos sí que estaban siendo aprovechados).

Sin embargo, tres vulnerabilidades en Word para las que existe exploit público que permite ejecución de código (y está siendo aprovechado), no han sido contempladas en esta ocasión. Tampoco dos problemas en el servicio CSRSS (Client Server Runtime SubSystem) que permiten elevar privilegios en local o revelar información sensible han encontrado solución. Todas se han dado a conocer durante el mes de diciembre.
Existen otras vulnerabilidades “pendientes” que permiten provocar denegaciones de servicio (que la aplicación deje de responder) igualmente en espera.

No existe aclaración oficial sobre la causa de este lote de actualizaciones mensual descafeinado, donde se han echado en falta soluciones a problemas acuciantes en la suite ofimática de Microsoft o su sistema operativo. Se puede presuponer que los parches estaban prácticamente listos en un primer momento, hasta el punto de ser anunciados, pero a última hora no los consideraron suficientemente maduros. Es más que probable que desde Microsoft se haya decidido comprobar una vez más la calidad de esos parches anunciados en primera instancia para ahorrarse disgustos y no comprometer la estabilidad de sus clientes.

Es comprensible esta actitud reservada y conservadora a la hora de publicar parches. Situaciones como la vivida en agosto de 2006 con el boletín MS06-042 hacen necesario una reflexión sobre la liberación de parches. En él se recomendaba la aplicación de un parche acumulativo para Internet Explorer que solucionaba ocho problemas de seguridad.
Dos semanas después se hizo público que, inadvertidamente, este parche había introducido una nueva vulnerabilidad crítica.

Si se cumple el ciclo (muy probablemente) y no se publican nuevos parches extraordinarios hasta febrero, dejarían sin solucionar varios problemas graves durante más de dos meses. Aunque una política de comprobación de calidad y análisis de impacto es tan importante como cualquier otro proceso de la administración de actualizaciones, los retrasos pueden resultar tan peligrosos (para sus clientes y para su
imagen) como arriesgarse a publicar un parche que cause algún estropicio. Es un equilibrio que no debe romperse.

En cualquier caso, es decisión de los usuarios utilizar alternativas cuando sea posible (como OpenOffice.org) o aplicar las contramedidas que recomendadas en los correspondientes boletines y ayudan a mitigar los efectos de un posible ataque.

Opina sobre esta noticia:
http://www.hispasec.com/unaaldia/3000/comentar

Más información:

(23/08/2006) El último parche acumulativo para Internet Explorer introduce una nueva vulnerabilidad http://www.hispasec.com/unaaldia/2860

(08/01/2007) Microsoft publicará mañana cuatro parches de seguridad
http://www.hispasec.com/unaaldia/2998

Sergio de los Santos
ssantos@hispasec.com

==== 4.- Actualizaciones por vulnerabilidad en StarOffice ====
Sun han publicado paquetes de actualización para StarOffice, debido a que se ha descubierto una vulnerabilidad que puede permitir la ejecución de código arbitrario en las máquinas víctima del ataque.

El problema se debe a la presencia de varios problemas de desbordamiento de enteros en el código que se encarga de procesar archivos de tipo WMF y EMF. Esto puede ser explotado por un atacante si crea un archivo malicioso de este tipo que, si es procesado por el programa vulnerable, provocaría un desbordamiento de búfer basado en heap que a su vez podría ser usado para la ejecución de código arbitrario.

Este problema afecta a StarOffice 6, 7 y 8 y según versión y plataforma, las actualizaciones, están disponibles desde:
http://sunsolve.sun.com/pub-cgi/show.pl?target=patches/xprod-StarOffice

Opina sobre esta noticia:
http://www.hispasec.com/unaaldia/3001/comentar

Más información:

Security Vulnerability With StarOffice/StarSuite Versions 6, 7 and 8 Related to the ‘.wmf’ File Format
http://sunsolve.sun.com/search/document.do?assetkey=1-26-102735-1

High Risk Vulnerabilities in the StarOffice Suite http://www.ngssoftware.com/advisories/high-risk-vulnerabilities-in-the-staroffice-suite/

Laboratorio Hispasec
laboratorio@hispasec.com

==== 5.- Informacion sobre el exploit Pocket PC MMS ====
http://www.seguridad.unam.mx/noticias/?noti=2429
El exploit afecta a la mayoria de las versiones de telefonos Pocket PC y los dispositivos Windows Mobile que utilizan versiones de ArcSoft MMS anteriores a agosto de 2006.

==== 6.- Denegacion de servicio con archivos WMF en Windows ====
http://www.vsantivirus.com/vul-wmf-100107.htm
Una nueva vulnerabilidad relacionada con el manejo de los archivos WMF (Windows Metafile), ha sido anunciada en Internet, existiendo una prueba de concepto que facilmente puede convertirse en un exploit “Zero-day”.

==== 7.- Oracle sigue el modelo Microsoft y notifica con antelación sus parches ====
Oracle ha anunciado por primera vez con antelación, lo que será su publicación trimestral de parches de seguridad. Un resumen previo al estilo Microsoft que adelanta el número y la criticidad de las actualizaciones previstas para el próximo día 16 de enero.

Oracle publicará un total de 52 parches de seguridad (menos de los que vienen siendo habituales) para Oracle Database, Application Server, Enterprise Manager, Identity Management, E-Business Suite, Developer Suite y PeopleSoft Enterprise People Tools. Diez de los 27 dedicados a su base de datos, podrán ser aprovechados por atacantes a través de la red sin necesidad de usuario ni contraseña válidos.

Con esta nueva estrategia de anuncio previo de boletín de seguridad, Oracle pretende facilitar a los administradores de sus productos la planificación de aplicación de parches. A nadie se le escapa la analogía con la estrategia de Microsoft. Ya en agosto de 2004 (sólo 10 meses después de que lo hiciera Microsoft) reorganizó su publicación de parches de forma mensual, para modificarla poco después a una planificación trimestral, tal y como se mantiene hoy día.

En octubre de 2004, Microsoft decidió además advertir algunos días antes de la publicación del número de parches planeados, gravedad y productos afectados. Poco más de dos años después Oracle le copia, por segunda vez, la estrategia, aunque ha ido un poco más lejos y en su avance.
Oracle ofrecerá además “cualquier información relevante que ayude a las organizaciones a planificar la aplicación del CPU (Critical Patch
Update) en su entorno”.

Este nuevo cambio en la estrategia de seguridad de Oracle viene a confirmar una clara tendencia de la compañía por mejorar su imagen en este sentido. En octubre de 2006 anunció que mejoraría su sistema de notificación de alertas de seguridad, añadiendo desde entonces un rango de criticidad a sus boletines, un sumario más detallado sobre las vulnerabilidades corregidas y una sección destacada de los fallos críticos y prioritarios…. Además, se ayuda de CVSS (Common Vulnerability Scoring System), un estándar que gradúa la severidad de manera estricta a través de fórmulas establecidas.

Estos movimientos se han producido tras un largo periodo en el que Oracle ha sido criticada hasta la saciedad por su estrategia general de seguridad desde aquel fallido lema de “unbreakable” (irrompible). En los últimos meses, publicaciones como la de David Litchfield que afirmaba que MS SQL era mucho más seguro, unido a los continuos problemas de seguridad, con largos periodos (mínimo trimestral y con un récord de 800
días) en los que no se ha proporcionado un parche para algún error, el anuncio frustrado de la creación de la semana de los fallos en Oracle…
han ido deteriorando la imagen de la compañía de las bases de datos.

Está claro que esta nueva estrategia de Oracle está orientada a restaurar la confianza de posibles clientes y ayudará a los administradores. Lo que no estará tan claro para muchos es que se tome como modelo parte de la política de Microsoft. La imagen de la referencia que han decidido adoptar se encuentra también deteriorada en cuestión de seguridad.

Opina sobre esta noticia:
http://www.hispasec.com/unaaldia/3002/comentar

Más información:

Critical Patch Update Pre-Release Announcement http://www.oracle.com/technology/deploy/security/critical-patch-updates/cpujan2007.html

Litchfield: Comparado con Oracle, Microsoft SQL Server es más seguro
http://www.hispasec.com/unaaldia/2951

Oracle ofrecerá más y mejor información en sus boletines de seguridad
http://www.hispasec.com/unaaldia/2915

Sergio de los Santos
ssantos@hispasec.com

==== 8.- Desbordamiento de búfer en Eudora WordMail Server 3 ====
Se ha anunciado una vulnerabilidad en Eudora WorldMail Server, que podría ser empleada por atacantes para comprometer los sistemas afectados.

Eudora Qualcomm WorldMail es un servidor de mensajería y correo para entornos corporativos, con soporte para POP3, IMAP, SMTP, características webmail y herramientas para detener spam y virus.

La vulnerabilidad está provocada por un error en el servicio Mail Management (MAILMA.exe) cuando trata delimitadores sucesivos. Esto puede emplearse para provocar un desbordamiento de búfer basado en heap a través de una petición específicamente construida.

Si un atacante logra explotar con éxito este problema podrá llegar a ejecutar código arbitrario. La vulnerabilidad se ha anunciado en la versión 3.1.x, aunque otras versiones podrían verse afectadas. 

Se recomienda restringir el acceso al servicio (en el puerto 106/tcp).
Según se ha anunciado el vendedor no planea publicar una actualización que soluciones el problema.

Opina sobre esta noticia:
http://www.hispasec.com/unaaldia/3003/comentar

Más información:

QUALCOMM Eudora WorldMail Remote Management Heap Overflow Vulnerability http://www.zerodayinitiative.com/advisories/ZDI-07-001.html

Laboratorio Hispasec
laboratorio@hispasec.com

==== 9.- Vulnerabilidad en DLSw permite recargar dispositivo en Cisco IOS ====
Se ha identificado una vulnerabilidad en la funcionalidad Data-link Switching (DLSw) en Cisco IOS que puede ser aprovechada por atacantes para recargar el dispositivo.

El fallo se da cuando un atacante establece una conexión DLSw con el dispositivo y envía una opción inválida durante la negociación.

El problema afecta a todos los productos Cisco que ejecuten Cisco IOS con versiones de la 11.0 a la 12.4 configuradas para DLSw. Se recomienda deshabilitar DLSw si no es imprescindible.

Cisco ha puesto a disposición de los usuarios actualizaciones a través de los canales de distribución habituales. Las versiones no vulnerables
son: IOS 12.1(26)E8, 12.3(21) y 12.2(43). Algunas de ellas todavía no están disponibles.

Opina sobre esta noticia:
http://www.hispasec.com/unaaldia/3004/comentar

Más información:

Cisco Security Advisory: DLSw Vulnerability http://www.cisco.com/warp/public/707/cisco-sa-20070110-dlsw.shtml

Laboratorio Hispasec
laboratorio@hispasec.com

==== 10.- Ejecución de código arbitrario en MIT Kerberos V5 1.x ====
Se han identificado dos vulnerabilidades en MIT Kerberos, que podrían ser explotadas por atacantes remotos para tomar el control total de los sistemas afectados o provocar una condición de denegación de servicio.

El primer problema se debe a un error de manejo de memoria en la función svc_do_xprt() en el demonio de administración kadmind. Esto puede ser aprovechado por atacantes remotos para ejecutar código arbitrario o hacer que la aplicación deje de responder.

Por otra parte, el segundo problema se debe a un error de manejo de memoria en la interfaz de abstracción mechglue de la implementación GSS-API y el demonio de administración kadmind, donde la función
log_badverf() llama a gss_display_name() sin comprobar el valor que devuelve y sin inicializar las estructuras gss_buffer_desc pasadas a gss_display_name(). Esto podría ser aprovechado por atacantes remotos para ejecutar código arbitrario o hacer que la aplicación deje de responder.

Se recomienda actualizar a MIT Kerberos V5 versión 1.6 :
http://web.mit.edu/kerberos/krb5-1.6/

O aplicar los parches:
http://web.mit.edu/kerberos/advisories/2006-003-patch.txt
http://web.mit.edu/kerberos/advisories/2006-002-patch.txt

Más información:

kadmind (via RPC library) calls uninitialized function pointer http://web.mit.edu/kerberos/advisories/MITKRB5-SA-2006-003-mechglue.txt

kadmind (via GSS-API mechglue) frees uninitialized pointers http://web.mit.edu/kerberos/advisories/MITKRB5-SA-2006-002-rpc.txt

Laboratorio Hispasec
laboratorio@hispasec.com

==== 11.- Denegación de servicio en Snort ====
Se ha encontrado una vulnerabilidad en Snort 1.x y 2.x que puede ser aprovechada por atacantes para provocar una denegación de servicio en el detector de intrusos.

El problema se basa en que el algoritmo de reconocimiento de patrones en Snort puede ser abusado para que consuma todos los recursos y provocar que el ratio de detección baje hasta ser nulo a través de paquetes especialmente manipulados.

La vulnerabilidad se ha confirmado en la versión 2.4.3 pero otras podrían verse afectadas. Se recomienda actualizar a las últimas versiones desde http://www.snort.org.

Opina sobre esta noticia:
http://www.hispasec.com/unaaldia/3006/comentar

Más información:

Backtracking Algorithmic Complexity Attacks Against a NIDS http://www.cs.wisc.edu/~smithr/pubs/acsac2006.pdf

Update on The Rule Matching Vulnerability published today
http://www.snort.org/pub-bin/snortnews.cgi#591

Laboratorio Hispasec
laboratorio@hispasec.com

Se encuentra disponible una corrección a través de SVN:
http://trac.videolan.org/vlc/changeset/18481

Opina sobre esta noticia:
http://www.hispasec.com/unaaldia/2993/comentar

Más información:

MOAB-02-01-2007: VLC Media Player udp:// Format String Vulnerability http://projects.info-pull.com/moab/MOAB-02-01-2007.html

Changeset 18481
http://trac.videolan.org/vlc/changeset/18481

VideoLAN VLC “cdio_log_handler()” and “vcd_log_handler()” Format String Vulnerabilities
http://www.frsirt.com/english/advisories/2007/0026

Laboratorio Hispasec
laboratorio@hispasec.com

Se recomienda actualizar a la versión 8.0.0:
http://www.adobe.com/products/acrobat/readstep2.html

Opina sobre esta noticia:
http://www.hispasec.com/unaaldia/2994/comentar

Más información:

Adobe Acrobat Reader Plugin Cross Site Scripting and Command Execution Vulnerabilities
http://www.frsirt.com/english/advisories/2007/0032

Adobe Acrobat Reader Plugin – Multiple Vulnerabilities
http://www.wisec.it/vulns.php?page=9

Laboratorio Hispasec
laboratorio@hispasec.com

==== 3.- Vulnerabilidad en protocolo RTSP de Apple QuickTime ====
http://www.vsantivirus.com/vul-quicktime-rtsp-010107.htm
Se ha detectado una vulnerabilidad en Apple QuickTime 7, la cual puede ser explotada por atacantes remotos para tomar el control completo del sistema afectado.

==== 4.- Un fallo en Gmail elimina los emails y abre la posibilidad de un ataque ====
http://www.laflecha.net/canales/seguridad/noticias/un-fallo-en-gmail-elimina-los-emails-y-abre-la-posibilidad-de-un-ataque/
Hasta el momento son cerca de 60 los usuarios de Gmail que vieron perdidos parte o la totalidad de su informacion recibida antes del 18 de diciembre.
Google asegura que se trata de un problema aislado.

El problema ha sido confirmado en las versiones 3.6.x (hasta la
3.6.4.2) y en las 4.0.x hasta la 4.0.3.2. Se recomienda actualizar a la versión 3.6.5.3, 4.0.5 o 4.1.0 (según corresponda). También puede aplicarse el parche Patch-CSCsg24153.tar.gz, disponible en la siguiente URL: http://www.cisco.com/pcgi-bin/tablebuild.pl/cca-patches

Opina sobre esta noticia:
http://www.hispasec.com/unaaldia/2995/comentar

Más información:

Cisco Security Advisory: Multiple Vulnerabilities in Cisco Clean Access http://www.cisco.com/warp/public/707/cisco-sa-20070103-CleanAccess.shtml

Laboratorio Hispasec
laboratorio@hispasec.com

Se recomienda actualizar a la versión 2.1, disponible en http://download.openoffice.org/2.1.0/index.html
o aplicar el siguiente parche:
http://www.openoffice.org/nonav/issues/showattachment.cgi/39509/alloc.overflows.wmf.patch

Opina sobre esta noticia:
http://www.hispasec.com/unaaldia/2996/comentar

Más información:

Issue 70042
http://www.openoffice.org/issues/show_bug.cgi?id=70042

High Risk Vulnerabilities in the OpenOffice Suite http://www.ngssoftware.com/advisories/high-risk-vulnerabilities-in-the-openoffice-suite/

Laboratorio Hispasec
laboratorio@hispasec.com

==== 7.- Cisco alerta de vulnerabilidades en el producto NAC ====
http://www.networkworld.com/news/2007/010407-cisco-warns-of-vulnerabilities-in.html
Cisco publico un aviso para sus clientes el miercoles pasado acerca de dos vulnerabilidades serias en su software Cisco Clean Access, un producto de control de acceso a red.

Opina sobre esta noticia:
http://www.hispasec.com/unaaldia/2999/comentar

Más información:

Microsoft Security Bulletin Summary for January, 2007 http://www.microsoft.com/technet/security/bulletin/ms07-jan.mspx

Microsoft Security Bulletin MS07-001
Vulnerability in Microsoft Office 2003 Brazilian Portuguese Grammar Checker Could Allow Remote Code Execution http://www.microsoft.com/technet/security/Bulletin/MS07-001.mspx

Microsoft Security Bulletin MS07-002
Vulnerabilities in Microsoft Excel Could Allow Remote Code Execution http://www.microsoft.com/technet/security/Bulletin/MS07-002.mspx

Microsoft Security Bulletin MS07-003
Vulnerabilities in Microsoft Outlook Could Allow Remote Code Execution http://www.microsoft.com/technet/security/Bulletin/MS07-003.mspx

Microsoft Security Bulletin MS07-004
Vulnerability in Vector Markup Language Could Allow Remote Code Execution http://www.microsoft.com/technet/security/Bulletin/MS07-004.mspx

Antonio Ropero
antonior@hispasec.com

==== 9.- Fuentes de Información ====
- (c) 2005 Hispasec http://www.hispasec.com/copyright
- Security Hot Topic on the Windows IT Pro Network
- Malware Digest – Revista Electronica de la Lista Antivirus
- Mx-seguridad Digest – Revista Electronica de la Lista Mx-seguridad
- Trend Micro Weekly Virus Report
- Boletin Semanal de LaFlecha.net

* Un fallo se debe a un desbordamiento de memoria intermedia en el servicio
NMAP a la hora de procesar comandos STOR mal formados. Esto puede ser
aprovechado por atacantes remotos autenticados para ejecutar código
arbitrario.

* La segunda vulnerabilidad se debe a un desbordamiento de memoria
intermedia en el servicio IMAP que no valida correctamente la longitud de
los valores proporcionados por el usuario en el servicio IMAP para
especificar la continuación de una petición. Esto puede ser aprovechado por
atacantes remotos autenticados para ejecutar código arbitrario.

* El tercer fallo se debe a un desbordamiento de memoria intermedia en el
servicio IMAP a la hora de procesar comandos APPEND mal formados.
Esto puede ser aprovechado por atacantes remotos autenticados para ejecutar
código arbitrario. Un cuarto fallo en este comando permite hacer que el
sistema deja de responder provocando una denegación de servicio.

* El quinto fallo se debe a un desbordamiento de memoria intermedia en el
servicio IMAP a la hora de procesar comandos SUBSCRIBE mal formados. Esto
puede ser aprovechado por atacantes remotos autenticados para ejecutar
código arbitrario.

Novell ha publicado las siguientes actualizaciones para evitar estos
problemas:

==== 2.- Cross site scripting a través de get_file_description en WordPress
2.0.5 ====
Se ha anunciado una vulnerabilidad en WordPress, que podría emplearse para
provocar ataques de cross site scripting.

WordPress es un sistema de gestión de blogs, que opera en lenguaje PHP y con
soporte de base de datos MySQL, y ofrecido a la comunidad bajo licencia GPL.
WordPress es uno de los gestores de blogs más extendido en la blogosfera.

El problema se debe a un error de validación de entradas en la función
“get_file_description()” cuando se llama a través del script
“wp-admin/templates.php”, lo que podría ser empleado para ejecutar código
script arbitrario en el navegador del usuario bajo el contexto de seguridad
del sitio web afectado.

==== 3.- Descubren el primer fallo de seguridad en Windows Vista ====

El nuevo sistema operativo de Microsoft, Windows Vista, tiene un problema en
su programación que podría permitir que los intrusos controlen los
ordenadores que lo utilizan. Sin embargo, tanto Microsoft como expertos han
indicado que el fallo carece de importancia y no permitiría, por ejemplo, la
creación de un virus informático para lanzar un ataque.

La empresa ha señalado que está investigando la vulnerabilidad y ha agregado
que para que un ataque tenga éxito el intruso debe tener acceso a un
ordenador vulnerable. Según los expertos, el problema no podría aprovecharse
para crear un virus o atacar el sistema Windows Vista de forma remota.

“Sólo tiene importancia por el hecho de que es la primera vulnerabilidad que
afecta a Vista”, ha señalado Mikko Hipponen, director de una empresa
finlandesa de seguridad informática.

Igualmente ha añadió que el problema también podría afectar a las demás
versiones de Windows, pero ha agregado que es bastante común y podría
resolverse con un ‘parche’ que Microsoft pone a disposición de sus clientes
todos los meses.

Mike Reavey, director de seguridad de Microsoft, también ha restado
importancia al problema y ha señalado en el sitio de Internet de la empresa
que mantiene la confianza en el sistema porque “hasta ahora Windows Vista es
nuestra plataforma más segura”.

Windows Vista, ha considerado la actualización más importante de Windows
desde que comenzó a comercializar Windows XP, en 2001, fue puesto a
disposición de las empresas a finales de noviembre de este año y estará a
disposición del consumidor a partir del 30 de enero próximo.

==== 4.- Desbordamiento de búffer en Apple QuickTime 7 por problemas con
archivos QTL ====
Se ha descubierto una vulnerabilidad en la versión 7 del QuickTime de Apple
relacionada con el tratamiento de archivos QTL con URLs RTSP. El problema
puede ser explotado por atacantes remotos para comprometer sistemas
afectados.

QuickTime player es un popular reproductor multimedia de Apple que forma
parte de la arquitectura multimedia estándar del mismo nombre.

Los archivos QTL (QuickTime Link) contienen información sobre el contenido
de medios a reproducir, además de información extra como funcionalidades de
accesibilidad, dimensiones recomendadas, etc.

RTSP (Real Time Streaming Protocol) es un protocolo para utilizar medios en
modo stream. Creado por la IETF y publicado en 1998 con la RFC 2326, puede
usarse para hablar con servidores como QuickTime Streaming Server.

La vulnerabilidad, confirmada en la versión 7.1.3.100 para Windows, también
afecta a la versión 7 para Mac OS X, y se debe a un error de tratamiento de
tamaños de variables a la hora de trabajar con URLs de RTSP. Si se usa un
archivo QTL (QuickTime Link) con un parámetro src especialmente largo (más
de 256 bytes), se provoca un desbordamiento de búffer basado en stack,
abriendo con ello la puerta a la ejecución de código arbitrario en la
máquina blanco del ataque.

A falta de parche oficial que solvente este problema, se recomienda
abstenerse de abrir archivos QTL que provengan de fuentes no confiables.

Los errores descubiertos son:

* Un error en el servicio principal Netbackup (bpcd.exe) que puede ser aprovechado a través de encadenado de comandos para hacer que el servicio ejecute código arbitrario.

* Un error de límites en el servicio principal Netbackup (bpcd.exe) a la hora de interpretar peticiones largas puede ser aprovechado para provocar un desbordamiento de memoria intermedia basado en pila si se le pasa al servicio una petición muy larga con un campo longitud mal formado.

* Existe por último un error de límites también en el servicio principal Netbackup (bpcd.exe) a la hora de interpretar peticiones CONNECT_OPTIONS puede ser aprovechado para provocar un desbordamiento de memoria intermedia basado en pila a través de una petición muy larga.

Las vulnerabilidades fueron comunicadas al fabricante a través de la iniciativa Zero Day de TrippingPoint el 14 de agosto de 2006.

Las versiones afectadas son:
Veritas NetBackup Advanced Client 5.x y 6.x Veritas NetBackup Enterprise Server 5.x y 6.x Veritas NetBackup Server 5.x y 6.x

==== 4.- Vulnerabilidad de formato de cadena en gdmchooser de GNOME Display Manager ====
Se ha encontrado una vulnerabilidad en GNOME Display Manager por la que un atacante local podría elevar privilegios en el sistema afectado.
gdmchooser es un programa que proporciona funcionalidad XDMCP (X Display Manager Control Protocol) al GNOME Display Manager. Este protocolo permite a un usuario interacturar con sistemas remotos a través del X11 local.

Existe un fallo de formato de cadena en la función gdm_chooser_browser_add_host en el archivo gui/gdmchooser.c a la hora de procesar nombres de hosts, que puede ser aprovechado para ejecutar comandos arbitrarios en el sistema con los privilegios del servicio GNOME Display Manager (gdm). Usuarios locales no autenticados podrían ejecutar gdmchooser e introducir caracteres especialmente manipulados en el cuadro de diálogo para lanzar la vulnerabilidad.

La vulnerabilidad fue comunicada al fabricante a través de iDefense el 4 de diciembre de 2006.

==== 5.-  Elevación de privilegios local a través de ld.so en Sun Solaris ====
Existen dos problemas de seguridad en ld.so de Solaris 8, 9 y 10, que pueden permitir a un atacante local obtener privilegios de root.

* Existe un desbordamiento de memoria intermedia en la función de formateo doprf de ld.so.

* Existe un problema de directorio transversal en ld.so que puede permitir la ejecución local de código como root a través de la definición de una variable de entorno LANG especialmente manipulada.

Según versión y plataforma, las actualizaciones están disponibles
desde:

Plataforma x86:
Para Solaris 10, IDR124829-01

==== 6.- Parche acumulativo para Microsoft Internet Explorer ====
Dentro del conjunto de boletines de diciembre publicado esta semana por Microsoft y del que efectuamos un adelanto el pasado martes, se cuenta el anuncio (en el boletín MS06-072) de una actualización acumulativa para Internet Explorer, que además solventa un total de cuatro nuevas vulnerabilidades descubiertas en las versiones 5.01 y 6 del navegador.

Las vulnerabilidades corregidas son las siguientes:

* Una corrupción de memoria a la hora de manejar scripts puede llevar a la ejecución de código arbitrario.

* Una corrupción de memoria a la hora de manejar scripts DHTML puede llevar a la ejecución de código arbitrario.

* Dos problemas de revelación de información sensible a través de la carpeta TIF.

Este boletín reemplaza al boletín previo MS06-067. No afecta a Internet Explorer 7.

Actualice los sistemas afectados mediante Windows Update o descargando los parches según versión desde las siguientes direcciones:

==== 8.- Actualización de productos Mozilla corrige hasta diez vulnerabilidades ====
En la última actualización, se han corregido hasta diez vulnerabilidades en Mozilla Firefox, SeaMonkey y Thunderbird que pueden ser aprovechadas por atacantes para ejecutar código arbitrario en el sistema afectado o eludir restricciones de seguridad.

De forma resumida, la actualización ha solucionado:

* Problemas de corrupción de memoria en el motor JavaScript y el motor “layout” que podrían ser aprovechados para hacer que la aplicación deje de responder o ejecutar código arbitrario.

* Un fallo de desbordamiento de memoria intermedia a la hora de usar la  propiedad CSS cursor para establecer el cursor en ciertas imágenes en Windows. Esto podría ser aprovechado para hacer que la aplicación deje de responder o ejecutar código arbitrario.

* Un error en el manejo de la función watch de JavaScript que podría permitir a un atacante ejecutar código arbitrario en el sistema.

* Un problema de corrupción de memoria en LiveConnect, que podría ser ser aprovechado para hacer que la aplicación deje de responder o ejecutar código arbitrario.

* Un error a la hora de manejar el atributo src de un elemento IMG cargado en un marco. Esto podría ser aprovechado para perpetrar ataques de cross site scripting.

* Un desbordamiento de memoria intermedia a la hora de procesar correos con las cabeceras Content-Type o rfc2047-encoded excesivamente largas, podría permitir a atacantes hacer que la aplicación deje de responder o ejecutar código arbitrario.

* Una corrupción de memoria a la hora de manejar comentarios SVG podría permitir a un atacante ejecutar código arbitrario en el sistema.

* La funcionalidad Feed Preview contiene un fallo que podría permitir la revelación de información sensible.

* Existe por último una regresión en una función prototipo, que podría permitir eludir restricciones de seguridad o perpetrar ataques de cross site scripting.

Varias alcanzan el estado de críticas, por lo que se recomienda actualizar de inmediato.

==== 15.- Múltiples vulnerabilidades en JRE (Java Runtime Environment) de Sun ====
Sun han publicado actualizaciones para JDK, JRE y SDK debido a que se han encontrado numerosos problemas de seguridad no especificados que afectan a diferentes versiones. Estas herramientas también se engloban dentro del producto Java 2 Platform, Standard Edition

JDK (Java Development Kit)  y SDK (Software Development Kit) son productos destinados a los desarrolladores de programas Java. JRE (Java Runtime Environment) es un entorno que permite a las aplicaciones Java ejecutarse en el sistema e interpretar gran cantidad de contenido web.

Se han encontrado dos vulnerabilidades relacionadas con la serialización de Java Runtime Environment que podrían, de forma independiente, permitir a un applet no confiable o aplicación elevar sus privilegios.

Estas vulnerabilidades están solucionadas en las versiones (para Windows, Solaris y Linux):
JDK y JRE 5.0 Update 8 o posterior.
SDK y JRE 1.4.2_13 o posterior.

Se han encontrado dos vulnerabilidades más en  Java Runtime Environment que podrían, de forma independiente, permitir a un applet acceder a los datos de otro.

El primer problema está solucionado en (para Windows, Solaris, y Linux):
JDK y JRE 5.0 Update 6 o posterior.
SDK y JRE 1.4.2_11 o posterior.
SDK y JRE 1.3.1_19 o posterior.

El segundo problema está solucionado en (para Windows, Solaris, y Linux):
JDK y JRE 5.0 Update 7 o posterior.
SDK y JRE 1.4.2_13 o posterior.
SDK y JRE 1.3.1_19 o posterior.

Por último, se ha encontrado dos vulnerabilidades de desbordamiento de memoria intermedia en Java Runtime Environment que podrían permitir de forma independiente a applets elevar sus privilegios. Esto le permitiría darse permisos de escritura en ficheros locales o ejecutar aplicaciones accesibles por el usuario que ejecutar el applet no confiable.

Estos problemas han sido solucionados en las versiones (para Windows, Solaris, y Linux):
JDK y JRE 5.0 Update 8 o posterior.
SDK y JRE 1.4.2_13 o posterior.
SDK y JRE 1.3.1_19 o posterior.

Para conocer la versión instalada en el sistema, se debe escribir en una consola (tanto en Windows como Linux o Solaris):

java -version

==== 16.- Actualización del núcleo 2.6.x para Novell SuSE Linux ====
SuSE ha publicado una actualización para la rama del núcleo 2.6.x que corrige múltiples problemas de seguridad.

Entre los problemas corregidos se pueden destacar los siguientes:

* Un fallo en el sistema de ficheros UDF podía provocar una denegación de servicio.

* Un problema en el protocolo ATM manejando la función clip_mkip podría ser usado por atacantes remotos para hacer que la máquina dejase de responder.

* Un problema en la función grow_buffers podría ser usado para hacer que la máquina dejase de responder al usar sistemas de ficheros corruptos tales como NTFS o ISO9660.

* Un problema en el manejo de IPv6 podría ser usado por atacantes locales para hacer que la máquina deje de responder.

* Un problema en cramfs podría ser usado para hacer que la máquina dejase de responder si se montara una imagen especialmente manipulada.

* Problemas en ext3 y ext2 podrían ser empleados para hacer que la máquina dejase de responder si se montara una imagen especialmente manipulada.

* Un problema en HFS podría ser usado para hacer que la máquina dejase de responder si se montara una imagen especialmente manipulada.

* Múltiples vulnerabilidades no especificadas en netfilter para IPv6 podría permitir a atacantes remotos eludir restricciones de seguridad a través de ataques de fragmentación.

* Un desbordamiento de enteros en el puente de red ioctl podría ser utilizado por atacantes locales para hacer que la memoria del núcleo provocase un desbordamiento y elevar privilegios.

Otros problemas afectan a plataformas específicas como Itanium, i386, PowerPC o S7390.

Se recomienda actualizar a través de la herramienta automática YaST Online Update (YOU).

==== 17.- Problema de seguridad en X Display Manager de Sun Solaris 8, 9 y 10 ====
Existe una condición de carrera en el script Xsession ejecutado por xdm que puede llevar a provocar dos problemas de seguridad.

El primero de los fallos, permitiría a un usuario no privilegiado ver el fichero de error de xdm de otros usuarios en $HOME/.xsession-error.

Por otra parte, un usuario no privilegiado podría ser capaz de ver el fichero alternativo de xdm de otro usuario, en ${TMP-/tmp}/xses-$USER, que se usa cuando el anterior fichero descrito no ha podido ser creado.

Para la versión 10, las actualizaciones están disponibles desde:

# cd /usr/openwin/lib/X11/xdm
# mv xdm-config xdm-config.orig
# sed -e ’s/cp \/dev\/null “$errfile”/umask 077 \&\& cp \/dev\/null “$errfile”/’ Xsession > /etc/X11/Xsession # sed -e ’s/\/usr\/openwin\/lib\/X11\/xdm\/Xsession/\/etc\/X11\/Xsession/’ xdm-config.orig > xdm-config

==== 18.- Denegación de servicio remota en Microsoft Windows ====
Se ha publicado un código que aprovecha una vulnerabilidad que permite, en remoto, hacer que Microsoft Windows deje de responder. Para que el fallo tenga efecto, el atacante debe establecer una sesión nula con el sistema objetivo, lo que mitiga en cierta forma la gravedad del problema.

El día 25 de diciembre se publicó un código que aprovecha un fallo en el servicio “estación de trabajo” en la forma en la que maneja peticiones RPC  NetrWkstaUserEnum con un valor grande en el campo maxlen. Si el atacante tiene acceso a este servicio y envía peticiones especialmente manipuladas, el servicio svchost.exe consumiría toda la memoria disponible y el sistema dejaría de responder. El problema se ha confirmado en Windows 2000 y Windows XP SP2 totalmente parcheados, aunque otros podrían verse afectados.

Debido a las condiciones de este fallo, es mucho más factible que los ataques se lleven a cabo desde sistemas dentro de una misma red interna.

La misma persona que ha revelado el código (un/a polaco/a que se hace llamar h07) hizo también público otro exploit a principios de diciembre.
El código permitía provocar una denegación de servicio a través de una reserva de memoria incorrecta en función GetPrinterData. Para poder aprovechar el fallo, un atacante debería tener acceso al puerto 445, usado para manejar el protocolo NetBIOS.

Al contrario que el primero descrito, este código no representaba una vulnerabilidad desconocida, sino que suponía una nueva forma de atacar un fallo inherente a la implementación RPC en Windows, conocido desde finales de 2005. Ya se sabía que este fallo era aprovechable a través de la función PNP_GetDeviceList del servicio UPNP (Universal plug and play).

Para ninguno de estos problemas existe parche oficial. Se recomienda filtrar el acceso a los servicios vulnerables.

10.3.9 Cliente:
http://wsidecar.apple.com/cgi-bin/nph-reg3rdpty2.pl/product=12175&cat=1&platform=osx&method=sa/SecUpd2006-007Pan.dmg

10.3.9 Servidor:
http://wsidecar.apple.com/cgi-bin/nph-reg3rdpty2.pl/product=12177&cat=1&platform=osx&method=sa/SecUpdSrvr2006-007Pan.dmg

10.4.8 Cliente Intel:
http://wsidecar.apple.com/cgi-bin/nph-reg3rdpty2.pl/product=12176&cat=1&platform=osx&method=sa/SecUpd2006-007Intel.dmg

10.4.8 Cliente PPC:
http://wsidecar.apple.com/cgi-bin/nph-reg3rdpty2.pl/product=12178&cat=1&platform=osx&method=sa/SecUpd2006-007Ti.dmg

10.4.8 Servidor PPC:
http://wsidecar.apple.com/cgi-bin/nph-reg3rdpty2.pl/product=12179&cat=1&platform=osx&method=sa/SecUpdSrvr2006-007Ti.dmg

10.4.8 Servidor Universal:
http://wsidecar.apple.com/cgi-bin/nph-reg3rdpty2.pl/product=12180&cat=1&platform=osx&method=sa/SecUpdSrvr2006-007Universal.dmg

Opina sobre esta noticia:
http://www.hispasec.com/unaaldia/2960/comentar

Más información:

Apple Downloads:
http://www.apple.com/support/downloads/

Apple Patches 31 Security Holes
http://blog.washingtonpost.com/securityfix/2006/11/apple_patches_fix_31_security_1.html

Laboratorio Hispasec
laboratorio@hispasec.com

Opina sobre esta noticia:
http://www.hispasec.com/unaaldia/2961/comentar

Más información:

Adobe Acrobat Buffer Overflow in ‘AcroPDF.dll’ ActiveX May Let Remote Users Execute Arbitrary Code http://securitytracker.com/alerts/2006/Nov/1017297.html

Potential vulnerabilities in Adobe Reader and Acrobat http://www.adobe.com/support/security/advisories/apsa06-02.html

Laboratorio Hispasec
laboratorio@hispasec.com

Opina sobre esta noticia:
http://www.hispasec.com/unaaldia/2964/comentar

Más información:

IBM Tivoli Storage Manager Requests Handling Remote Buffer Overflow Vulnerabilities
http://www.frsirt.com/english/advisories/2006/4856

Laboratorio Hispasec
laboratorio@hispasec.com

Opina sobre esta noticia:
http://www.hispasec.com/unaaldia/2965/comentar

Más información:

Vulnerability in Microsoft Word Could Allow Remote Code Execution http://www.microsoft.com/technet/security/advisory/929433.mspx

Antonio Ropero
antonior@hispasec.com

Intel recomienda aplicar los parches especificados en su notificación de alerta oficial, disponible en esta dirección:
http://www.intel.com/support/network/sb/CS-023726.htm

Opina sobre esta noticia:
http://www.hispasec.com/unaaldia/2966/comentar

Más información:
Intel® LAN Driver Buffer Overflow Local Privilege Escalation http://www.intel.com/support/network/sb/CS-023726.htm

Laboratorio Hispasec
laboratorio@hispasec.com

Opina sobre esta noticia:
http://www.hispasec.com/unaaldia/2967/comentar

Más información:

SAP Internet Graphics Service (IGS) Remote Arbitrary File Removal http://www.cybsec.com/vuln/CYBSEC-Security_Pre-Advisory_SAP_IGS_Remote_Arbitrary_File_Removal.pdf

Laboratorio Hispasec
laboratorio@hispasec.com

Para plataforma SPARC:
Sun Java System Proxy Server 3.6 Service Pack 8 o posterior, disponible
desde:
http://www.sun.com/download/products.xml?id=42fa5c49

Sun Java System Proxy Server 4.0 Service Pack 1 o posterior, disponible
desde:
http://www.sun.com/download/products.xml?id=4384b5dd

Sun Java System Web Server 6.0 Service Pack 10 o posterior, disponible
desde:
http://www.sun.com/download/products.xml?id=43a84f89

Sun Java System Web Server 6.1 2005Q1 Service Pack 5 o posterior, disponible desde:
http://www.sun.com/download/products.xml?id=434aec1d
http://www.sun.com/download/products.xml?id=43c43041 (International
Edition)

Sun ONE Application Server 7 Update 8 o posterior, disponible desde:
http://www.sun.com/download/products.xml?id=438cfb75 (Platform
Edition)
http://www.sun.com/download/products.xml?id=438cf33d (Standard
Edition)

Sun Java System Application Server 7 2004Q2 Update 4 o posterior, disponible desde:
http://www.sun.com/download/products.xml?id=4331ff42 (Standard
Edition)

Sun Java System Application Server Enterprise Edition 8.1 2005 Q1 con parche 119169-02
http://sunsolve.sun.com/search/document.do?assetkey=urn:cds:docid:1-21-119169-02-1
o (SVR4) parche 119166-09
http://sunsolve.sun.com/search/document.do?assetkey=urn:cds:docid:1-21-119166-09-1
o posterior
Sun Java System Application Server Platform Edition 8.1 2005 Q1 con parche 119173-01 o posterior
http://sunsolve.sun.com/search/document.do?assetkey=urn:cds:docid:1-21-119173-01-1

Para plataforma x86:
Sun Java System Application Server Platform Edition 8.1 2005 Q1 con parche 119174-01 o posterior
http://sunsolve.sun.com/search/document.do?assetkey=urn:cds:docid:1-21-119174-01-1
Sun Java System Application Server Enterprise Edition 8.1 2005 Q1 con parche 119170-02
http://sunsolve.sun.com/search/document.do?assetkey=urn:cds:docid:1-21-119170-02-1
o (SVR4) parche 119167-09 o posterior
http://sunsolve.sun.com/search/document.do?assetkey=urn:cds:docid:1-21-119167-09-1

Platforma Linux
Sun Java System Application Server Platform Edition 8.1 2005 Q1 con parche 119175-01 o posterior
http://sunsolve.sun.com/search/document.do?assetkey=urn:cds:docid:1-21-119175-01-1
Sun Java System Application Server Enterprise Edition 8.1 2005 Q1 con parche 119171-02
http://sunsolve.sun.com/search/document.do?assetkey=urn:cds:docid:1-21-119171-02-1
o (Pkg) parche 119168-09 o posterior
http://sunsolve.sun.com/search/document.do?assetkey=urn:cds:docid:1-21-119168-09-1

Platforma Windows
Sun Java System Application Server Platform Edition 8.1 2005 Q1 con parche 119176-01 o posterior
http://sunsolve.sun.com/search/document.do?assetkey=urn:cds:docid:1-21-119176-01-1
Sun Java System Application Server Enterprise Edition 8.1 2005 Q1 con parche 119172-07
http://sunsolve.sun.com/search/document.do?assetkey=urn:cds:docid:1-21-119172-07-1
o (native) parche 121528-01
http://sunsolve.sun.com/search/document.do?assetkey=urn:cds:docid:1-21-121528-01-1

Opina sobre esta noticia:
http://www.hispasec.com/unaaldia/2968/comentar

Más información:

Security Vulnerability With HTTP Requests in Sun Java System Server(s)
http://sunsolve.sun.com/search/document.do?assetkey=1-26-102733-1

Laboratorio Hispasec
laboratorio@hispasec.com

==== 9.- Hueco de seguridad encontrado en Windows Media Player ====
http://www.computerworld.com/action/article.do?command=viewArticleBasic&articleId=9005810&intsrc=news_ts_head
Los usuarios estan siendo advertidos de la existencia de un hueco de seguridad en Windows Media Player de Microsoft Corp.
y se les pide que deshabiliten cierto tipo de archivo en el software.

==== 10.- Ciclo de parches de Microsoft, no incluira solucion para brecha en Word ====
http://www.securitypronews.com/insiderreports/insider/spn-49-20061208PatchTuesdayMayNotCloseWordFlaw.html
El xodigo exploit 0-day que actualmente ataca a al procesador de palabras de Microsoft en plataformas Windows y Mac, probablemente llego muy tarde para ser incluido en el ciclo mensual  de parches de la empresa.

Opina sobre esta noticia:
http://www.hispasec.com/unaaldia/2970/comentar

Más información:

Public Proof of Concept Code for ASX File Format Isssue http://blogs.technet.com/msrc/archive/2006/12/07/public-proof-of-concept-code-for-asx-file-format-isssue.aspx

Laboratorio Hispasec
laboratorio@hispasec.com

Opina sobre esta noticia:
http://www.hispasec.com/unaaldia/2971/comentar

Más información:

Vulnerability in Microsoft Word Could Allow Remote Code Execution http://www.microsoft.com/technet/security/advisory/929433.mspx

Public Proof of Concept Code for ASX File Format Isssue http://blogs.technet.com/msrc/archive/2006/12/07/public-proof-of-concept-code-for-asx-file-format-isssue.aspx

New Report of A Word Zero Day
http://blogs.technet.com/msrc/archive/2006/12/10/new-report-of-a-word-zero-day.aspx

Sergio de los Santos
ssantos@hispasec.com

==== 13.- Encuentran una vulnerabilidad en Sun Java System Proxy y Web Server HTTP ====
http://www.laflecha.net/canales/seguridad/noticias/encuentran-una-vulnerabilidad-en-sun-java-system-proxy-y-web-server-http/
Sun ha anunciado una vulnerabilidad que afecta a Sun Java System Proxy Server si se utiliza en conjunto con Sun Java System Application Server o Sun Java System Web Server, que podria permitir secuestrar sesiones, realizar ataques de tipo cross site scripting o eludir restricciones del cortafuegos.

Opina sobre esta noticia:
http://www.hispasec.com/unaaldia/2972/comentar

Más información:

Microsoft Security Bulletin Summary for December, 2006 http://www.microsoft.com/technet/security/bulletin/ms06-dec.mspx

Microsoft Security Bulletin MS06-072
Cumulative Security Update for Internet Explorer (925454) http://www.microsoft.com/technet/security/Bulletin/MS06-072.mspx

Microsoft Security Bulletin MS06-073
Vulnerability in Visual Studio 2005 Could Allow Remote Code Execution http://www.microsoft.com/technet/security/bulletin/ms06-073.mspx

Microsoft Security Bulletin MS06-074
Vulnerability in SNMP Could Allow Remote Code Execution http://www.microsoft.com/technet/security/bulletin/ms06-074.mspx

Microsoft Security Bulletin MS06-075
Vulnerability in Windows Could Allow Elevation of Privilege http://www.microsoft.com/technet/security/Bulletin/MS06-075.mspx

Microsoft Security Bulletin MS06-076
Cumulative Security Update for Outlook Express http://www.microsoft.com/technet/security/Bulletin/MS06-076.mspx

Microsoft Security Bulletin MS06-077
Vulnerability in Remote Installation Service Could Allow Remote Code Execution http://www.microsoft.com/technet/security/Bulletin/MS06-077.mspx

Microsoft Security Bulletin MS06-078
Vulnerability in Windows Media Format Could Allow Remote Code Execution http://www.microsoft.com/technet/security/Bulletin/MS06-078.mspx

Antonio Ropero
antonior@hispasec.com

==== 2.- Desbordamiento de memoria intermedia en Red Hat Package Manager 4 ====
Se ha encontrado una vulnerabilidad en el Red Hat Package Manager por la que un atacante podría ejecutar código arbitrario en el sistema víctima.

Un atacante podría crear un paquete RPM especialmente manipulado que, al ser consultado por un usuario con ciertas locales especificadas (ru_RU.UTF-8, por ejemplo), provocaría un desbordamiento de memoria intermedia y permitirtía la ejecución de código con los privilegios del usuario que ejecutara la consulta.

==== 3.- Nueva versión de Firefox, Thunderbird y SeaMonkey corrige graves  vulnerabilidades ====
Mozilla ha publicado una nueva actualización para la rama 1.x de su navegador, que solventa hasta cinco fallos de seguridad agrupados en tres “boletines”, todos calificados como críticos. Varias de estas vulnerabilidades son aprovechables para ejecutar código arbitrario.

La nueva versión de la rama 1.x de los productos Mozilla (Firefox, SeaMonkey y Thunderbir) corrige cinco fallos de seguridad que permiten eludir restricciones e incluso ejecutar código. Los tres “boletines”
publicados (del número 65 al 67 de 2006) especifican las vulnerabilidades:

El primer fallo se debe a un problema de corrupción de memoria en el motor de diseño que puede ser aprovechado por atacantes para hacer que la aplicación deje de responder (causar una denegación de servicio) y potencialmente ejecutar código arbitrario.

El segundo fallo se debe a un problema de corrupción de memoria en XML.prototype.hasOwnProperty. Este error se suponía en principio un fallo que permitía hacer que la aplicación dejase de funcionar, pero se ha demostrado que puede ser aprovechado por atacantes remotos para ejecutar código.

El tercer fallo se debe también a un problema de corrupción de memoria en el motor JavaScript a la hora de procesar datos mal formados. Esto puede permitir a atacantes hacer que el sistema deje de responder o, potencialmente, ejecutar código arbitrario.

El cuarto fallo se debe un error a la hora de validar firmas digitales RSA con exponente 3. Este problema, encontrado por primera vez en OpenSSL en septiembre y heredado a innumerables productos, no fue completamente corregido en la librería  NSS que incorpora la rama 1.x de los productos Mozilla y ha sido de nuevo parcheado para proteger de una variante del ataque original.

El quinto fallo se debe a un error por el que ciertos objetos Script podrían ser modificados durante la ejecución. Esto podría ser aprovechado por atacantes para ejecutar bytecode JavaScript arbitrario.

Los productos afectados son:
Mozilla Firefox 1.5.0.7 y anteriores.
Mozilla Thunderbird 1.5.0.7 y anteriores.
Mozilla SeaMonkey 1.0.5 y anteriores.

==== 8.- Revelación de información sensible en Lotus Dominio 5.x, 6.x y 7.x ====
Se ha descubierto un problema de seguridad en Lotus Domino que permite a atacantes obtener información sensible. El protocolo NRPC puede utilizar una transacción no autenticada durante el primer registro de un usuario para obtener el fichero ID. Un atacante (a través del puerto 1352) podría construir una lista de posibles nombres de usuario e intentar validarlos usando la transacción de búsqueda de nombres no autenticada. Si el nombre de usuario existe y el registro contiene un fichero ID, sería posible descarga el fichero ID del usuario. El atacante tendría que ejecutar un ataque de fuerza bruta para poder usar el fichero ID.

El problema ha sido solucionado en Domino 7.0.2 y Domino 6.5.5 Fix Pack 2 (FP2). Para que funcione, hay que establecer la variable BLOCK_LOOKUPID en el fichero notes.ini del servidor con los valores
1 ó 2. El valor 2 evita todo tipo de ataques pero evita también que nuevos clientes se configuren usando ficheros ID en el directorio.

Los administradores deberían asegurarse de que los ficheros ID no permanecen en el Domino Directory durante largos periodos de tiempo, o utilizar otro método de distribución de ficheros ID para nuevos usuarios.

==== 10.- Vulnerabilidades en el servicio IMA de Citrix Presentation Server ====
Se han identificado dos vulnerabilidades en Citrix Presentation Server, que podrían ser aprovechados por atacantes remotos para provocar que la aplicación dejase de responder o incluso ejecutar código arbitrario. Citrix Presentation Server es una solución muy popular de virtualización de aplicaciones (o servidor de distribución de aplicaciones) que permite, de forma segura, implementación y administración centralizada de aplicaciones.

El primer fallo se debe a un desbordamiento de heap en la función
IMA_SECURE_DecryptData1 de la librería ImaSystem.dll, que no valida adecuadamente datos de autenticación (cifrados) especialmente manipulados recibidos a través del servicio Independant Management Architecture (IMA) que escucha en el puerto 2512 ó 2513. Esto puede ser aprovechado para ejecutar código arbitrario.

El segundo problema se debe a un error de validación de entrada también en el servicio Independant Management Architecture (IMA) que no maneja adecuadamente ciertos tipos de paquetes. Esto pude ser aprovechado por atacantes remotos para hacer que el proceso IMA se detenga de forma abrupta, creando una condición de denegación de servicio.

Ambas vulnerabilidades han sido desveladas por miembros de TippingPoint e iDefense respectivamente, compañías que encabezan iniciativas que incentivan económicamente el descubrimiento de problemas de seguridad.
La primera fue notificada a Citrix en junio de 2006 y la segunda en julio del mismo año.

Las versiones vulnerables, junto con su solución (hotfix) para lenguajes inglés y español son:

==== 11.- Ejecución de código arbitrario en  HP OpenView  Client Configuration Manager ====
Se ha encontrado un problema de seguridad en HP OpenView Client Configuration Manager que puede ser aprovechado por atacantes para provocar una denegación de servicio o incluso ejecutar código arbitrario. HP OpenView Client Configuration Manager es una solución (presentada hace apenas un año) basada en tecnología Radia que permite administración avanzada de hardware y software HP, tales como inventario, distribución de parches, control remoto, actualización…

La vulnerabilidad está provocada por una manejo no adecuado de datos en el Radia Notify Daemon (representado por el archivo radexecd.exe). Un fallo en el diseño hace que no se requiera nombre de usuario y contraseña para ejecutar comandos en el directorio donde se instala radexecd.exe. Si se envía un paquete especialmente manipulado, se permiten ciertas acciones sin necesidad de autenticación, como reiniciar el sistema con radbootw.exe o, a través de radcrecv.exe, descargar nuevos programas en el directorio y ejecutarlos.

Esta vulnerabilidad ha sido descubierta por miembros de TippingPoint y fue notificada a HP a principios de Octubre.

==== 12.- Ejecución de código en múltiples dispositivos inalámbricos ====
El controlador de dispositivo inalámbrico Broadcom, BCMWL5.SYS, es vulnerable a un desbordamiento de memoria intermedia basado en pila que permite la ejecución de código arbitrario en modo núcleo. El fallo se debe a manejo inseguro de respuestas sonda 802.11 que contengan un campo SSID muy largo.

El problema se considera bastante grave por varias razones. La primera es que el controlador BCMWL5.SYS se proporciona unido a los sistemas de muchos fabricantes. Broadcom tiene acuerdos con diferentes compañías que incorporan sus chipsets en los controladores inalámbricos. Viene integrado por ejemplo en ordenadores Dell, HP o tarjetas Linksys y todos comparten básicamente el mismo controlador.

La segunda razón es que puede ser aprovechado sin interacción por parte del usuario. Se está en riesgo si la tarjeta inalámbrica con controladores vulnerables permanece activa en cualquier lugar público y alguien emite información. Este sería recogido por la tarjeta y podría permitir el aprovechamiento de la vulnerabilidad. Por ejemplo, en Windows, el escáner integrado que permite descubrir nuevas redes lo volvería vulnerable si posee una tarjeta funcionando con estos controladores.

La tercera razón por la que puede considerarse especialmente peligroso es que ya existe un exploit público en la versión de desarrollo de Metasploit Framework.

La cuarta razón es que es complicado delimitar la responsabilidad de publicar un parche. No está totalmente definida. Ni siquiera organizaciones ajenas pueden acudir en su ayuda. El grupo ZERT, (Zero Day Emergency Response Team) cuyo objetivo es el de programar parches para solventar problemas de seguridad de tipo “0 day” siempre que su gravedad lo requiera, ha publicado una nota donde explica las razones por las que no puede crear una actualización extraoficial en este caso.
Sería impráctico crear un parche para cada controlador de cada fabricante y tampoco sería posible programar uno genérico efectivo.
Para dispositivos Linksys, como excepción por ahora, ya se ha programado una solución disponible en su página web.

La versión comprobada vulnerable es la 3.50.21.10 del controlador BCMWL5.SYS en Windows. Usuarios de Linux y FreeBSD deberían asegurarse de que no están usando el controlador vulnerable a través de la herramienta ndiswrapper. En general, se recomienda que todos los usuarios se pongan en contacto con los fabricantes de sus dispositivos inalámbricos, comprobar si sus controladores son vulnerables y aplicar soluciones específicas.

==== 13.- Seis boletines de seguridad de Microsoft en noviembre ====
Como es habitual, fiel a la cita de los segundos martes de mes, Microsoft ha publicado sus boletines de seguridad. Tal y como adelantamos, en esta ocasión se han publicado seis boletines
(MS06-066 al MS06-071).

Según la propia clasificación de Microsoft cinco de los nuevos boletines presentan un nivel de gravedad “crítico”, mientras que el restante recibe la calificación de “importante”.

Es por tanto, importante conocer la existencia de estas actualizaciones, evaluar el impacto de los problemas y aplicar las actualizaciones en la mayor brevedad posible. Este es un boletín de urgencia en el que describimos superficialmente cada uno de los nuevos boletines de seguridad de Microsoft. En los próximos días publicaremos otros boletines donde analizaremos más detalladamente las actualizaciones más importantes.

* MS06-066: Informa sobre una actualización para Windows 2000, Windows XP y Windows Server 2003 debido a dos vulnerabilidades en Client Service for NetWare (servicio cliente para NetWare) que permiten a un atacante ejecutar código o crear una condición de denegación de servicio. Según la calificación de Microsoft recibe un nivel de “importante”.

* MS06-067: Actualización acumulativa para Microsoft Internet Explorer que además soluciona tres nuevas vulnerabilidades que podrían permitir la ejecución remota de código arbitrario. Según la calificación de Microsoft está calificado como “crítico”. Afecta a Internet Explorer
5.01 e Internet Explorer 6.

* MS06-068: Destinado a evitar una vulnerabilidad en Microsoft Agent que permite ejecución remota de código. Afecta a Windows 2000, Windows XP y Windows Server 2003. Está calificado como “crítico”.

* MS06-69: Resuelve cinco vulnerabilidades en Macromedia Flash Player de Adobe versión 6.0.84.0 y anteriores, que pueden permitir a un atacante remoto ejecutar código arbitrario. Afecta a Windows XP y está calificado como “crítico”.

* MS06-070: En este boletín se anuncian los parches de actualización necesarios para solventar una vulnerabilidad en el servicio “estación de trabajo”, que podría permitir la ejecución remota de código arbitrario. Afecta a Windows 2000 y Windows XP. Está calificado como “crítico”.

* MS06-071: Se trata de una actualización para Microsoft XML Core Services debido a que se ha detectado una vulnerabilidad que puede permitir a un atacante remoto ejecutar código arbitrario. Recibe el nivel de “crítico”.

Las actualizaciones publicadas pueden descargarse a través de Windows Update y Office Update o consultando los boletines de Microsoft donde se incluyen las direcciones de descarga directa de cada parche.

==== 15.- Vulnerabilidades en dispositivos Citrix Access Gateway ====
Se ha encontrado varias vulnerabilidades en los dispositivos Citrix Access Gateway que pueden ser aprovechadas por atacantes para obtener información sensible. Citrix Access Gateway son soluciones para redes privadas virtuales (VPN) que cifran el tráfico (con SSL) y permiten acceso remoto seguro a recursos de red.

El primer problema se debe a un fallo no especificado a la hora de usar Advanced Access Control como funcionalidad de Access Gateway. Los datos del dispositivo podrían ser obtenidos por un atacante sin privilegios para ello.

Los productos afectados son:
Access Gateway appliance 4.2
Access Gateway appliance 4.2.1
Access Gateway appliance 4.2.2
Access Gateway 4.5 Advanced Edition
Access Gateway 4.2 con Advanced Access Control 4.2 (Access Gateway 4.2 Advanced Edition)

Un fallo en la funcionalidad de acceso “Browser only” podría permitir a usuarios acceder a recursos protegidos. Otro error en el proceso de login podría permitir a a usuarios tener acceso a esos recursos.

Las vulnerabilidades se han confirmado en Citrix Access Gateway distribuido con Advanced Access Control 4.0 y 4.2. Las versiones Access Gateway Standard Edition y Access Gateway Enterprise Edition no se ven afectadas.

==== 16.- Varios problemas de seguridad en WinZip 10.x ====
Se han encontrado dos problemas de seguridad en WinZip que pueden permitir la ejecución de código arbitrario si se visita una página especialmente manipulada. Los detalles para aprovechar la vulnerabilidad son públicos. Se han encontrado dos problemas de seguridad en WinZip que pueden permitir la ejecución de código arbitrario si se visita una página especialmente manipulada. Los detalles para aprovechar la vulnerabilidad son públicos.

El primero de los problemas reside en varios métodos no seguros en el control ActiveX FileView(WZFILEVIEW.FileViewCtrl.61) que permitirían la ejecución de código por desbordamiento de memoria intermedia basada en pila.

El segundo fallo se debe a un error de límites en el mismo control ActiveX y un manejo no adecuado de la propiedad “filepattern”, lo que podría llevar también a un desbordamiento de memoria intermedia y potencialmente permitir la ejecución de código.

Los problemas se han confirmado en las versiones previas a WinZip 10.0 Build 7245.

La solución consiste en actualizarse a esta versión, pero el creador del exploit anuncia con la notación “WinZip <= 10.0.7245″ que el fallo afectaría también (por el símbolo “=”) a la última actualización hasta la fecha. Aunque podría tratarse de un simple error del creador del código, es posible que esta versión todavía tenga problemas.

En cualquier caso, a falta de confirmación, se recomienda deshabilitar la ejecución de ActiveX para la zona de Internet en Internet Explorer y, por supuesto, actualizar Winzip 10.0. La versión 9.x no se ve afectada.

El primero de los problemas fue notificado a Winzip a través de ZDI (Zero Day Iniciative) a finales de agosto de 2006.

==== 17.- Análisis y situación de los últimos parches de Microsoft ====
Habitualmente (y no sólo con Microsoft) junto con la aparición de los parches, los investigadores que han descubierto los problemas de seguridad hacen públicos los detalles sobre sus pesquisas, tras haber esperado pacientemente a la existencia de un parche oficial. Inevitablemente esto conlleva la aparición de nuevos exploits. Tras unos días “ahí fuera”, hacemos un repaso a la situación de los últimos parches de seguridad de Microsoft.

MS06-066:
Ejecución de código remoto en servicios de cliente NetWare.
Probablemente el usuario medio no tenga instalado ese protocolo. Existe prueba de concepto pero no es pública. La vulnerabilidad es calificada como de criticidad importante.

MS06-067:
Actualización acumulativa para Microsoft Internet Explorer que además soluciona tres nuevas vulnerabilidades no públicas hasta la fecha. Dos en el control ActiveX DirectAnimation y una en la propia interpretación de HTML (que también podría ser aprovechada a través de correo). Son graves y permiten la ejecución de código. Se debería parchear cuanto antes. Según Websense, uno de los problemas en el control ActiveX DirectAnimation era conocido ya desde septiembre y existen numerosas páginas que estaban aprovechando el problema para instalar malware. No afecta a Internet Explorer 7.

MS06-068:
Corrige una vulnerabilidad en Microsoft Agent (agente de Microsoft que gestiona cuestiones de ayuda al usuario en el sistema) y permite ejecución remota de código. Es más peligrosa porque puede ser invocada a través de ActiveX en el navegador, por tanto, es aprovechable de forma remota. Además del parche, en la página del boletín viene cómo desactivar “el uso” del control por parte de Internet Explorer para prevenir futuros problemas. No se conocen exploits públicos.

MS06-069:
Resuelve cinco vulnerabilidades en Macromedia Flash Player de Adobe.
Afecta sólo al plugin para el navegador en Windows XP. Está calificado como crítico y no se conocen exploits públicos. Se trata de los mismos problemas de los que ya advirtió Adobe a principios de septiembre y para los que existen parches desde entonces. Si se actualizó desde la página Adobe en su día, no hay problema.

MS06-070:
Solventa una vulnerabilidad en el servicio “estación de trabajo”, que podría permitir la ejecución remota de código arbitrario. Afecta a Windows 2000 y Windows XP. Existen numerosos exploits públicos.
Especialmente preocupante si el servicio es accesible a través de internet, y no se tiene cortafuegos instalado. En red interna (aunque se suponga un entorno confiable) supone un verdadero problema, pues el servicio suele estar disponible y accesible para compartir o acceder a recursos, etc. Importantísimo parchear cuanto antes sobre todo en Windows 2000, donde es más fácilmente aprovechable. Parece que no afecta a Windows 2003.

MS06-071:
Corrige una conocida vulnerabilidad que está siendo aprovechada masivamente (al visitar con IE páginas manipuladas) desde hace semanas, el problema con XML Core Services. Se ven afectadas las versiones 4.0 y 6.0. Reemplaza al boletín MS06-061.

No se tiene constancia de que ningún parche esté causando problemas en el sistema. Este mes no se han emitido parches para Windows XP Service Pack 1, pues ha terminado su ciclo de vida. Los usuarios y administradores que no lo hayan hecho ya (recomendable, pues supone considerables mejoras de seguridad) deberían actualizarse con el Service Pack 2. Por otro lado, Microsoft también ha anunciado que alarga la vida de SUS hasta julio de 2007. SUS es un sistema de actualización para redes internas (sustituido ya por WUS), muy útil para administradores, que permite desplegar cómodamente parches a decenas de máquinas.