BSoD en concierto de Nine Inch Nails

De acuerdo con una vulnerabilidad encontrada por el investigador Laurent Gaffie, Windows 7 sería el foco de ataques remotos que provocaran el mítico Pantallazo Azul de la Muerte (BSoD), cosa que no era posible desde 1999.

De acuerdo con el investigador el envío de una petición de negociación de red deliberadamente incorrecto puede forzar a un sistema de Windows 7 a un error que pone en marcha el conocido “pantallazo azul”, incluso sin la ayuda del usuario en el lanzamiento del código. El ataque afecta a 32-bit y 64-bit del sistema operativo.

El fallo se deriva por rescribir la pila del protocolo heredado de Vista, que también ha sido descubierto como vulnerable al ataque. Este problema que ya había sido parcheado solucionado en Windows 2000 y XP, ahora regresa con Windows 7.

Microsoft ya ha sido informado del problema, pero aún no ha lanzado un parche, mientras tanto se les pide a los usuarios de los sistemas operativos más recientes (Vista, W7) que apaguen el SMB (Server Message Block) o bloquear su acceso completamente hasta que una corrección este disponible.

Al parece no es la primera vez que esto sucede, ya que a principio de año también se había reportado un BSoD, producido por un bug a la hora de cambiar de apariencia el escritorio de Windows.

Mal momento para Microsoft, justo cuando prometía que W7 no tendría este tipo de errores fatales en la lucha por posicionarse frente a Linux y Mac OS X Snow Leopard.

Link: Windows 7 allows remote blue-screen attacks (Electronista)

Una importante vulnerabilidad de Firefox 3.5 salió a la luz antes que la gente de Mozilla publicara un parche. Se trata de una vulnerabilidad que se aprovecha de una nueva característica incorporada en Firefox 3.5, gracias a la cual se acelera el ritmo de ejecución de JavaScript, pero que a su vez es vulnerable a ataques.

Los atacantes pueden crear una página web que incluya código malicioso que se aproveche de la vulnerabilidad, por lo que se recomienda la desactivación de JIT (Just-In-Time) en el motor de Java siguiendo estos pasos:

• Escribir about:config en la barra del navegador
• Escribir jit en la caja del filtro en la parte superior del editor de configuración
• Hacer doble clic en la línea que contiene javascript.options.jit.content, para establecer el valor false

Hay que tener en cuenta que al deshabilitar JIT hacemos que el rendimiento de JavaScript disminuya, por lo que sólo se recomienda como una medida de seguridad temporal.

Una vez que se publique el respectivo parche para resolver el problema, se recomienda habilitar nuevamente JIT siguiendo los mismos pasos descritos anteriormente.

Link: Critical JavaScript vulnerability in Firefox 3.5 (Gracias Thomas)

Se ha descubierto una nueva vulnerabilidad que afecta a Adobe Reader en sus versiones 8.1 y 9.1 (para Windows, Mac y Linux).

El problema estaría radicado en la función ”getAnnots()”, la que por un error podría permitir que se ejecutara código remoto en el computador afectado.

Por el momento la compañía se encuentra analizando el problema, pero ha recomendado a los usuarios desactivar JavaScript en Adobe Reader.

Link: Potential Adobe Reader Issue (Vía CNET)

(c) eecue

Charlie Miller nuevamente obtuvo el primer lugar en la competencia de hacking que se realiza cada año en Vancouver, Canada.

Claro que si el año pasado tardó dos minutos en tomar el control de un MacBook Air, ahora sólo tuvo que sudar 10 segundos para lograrlo (gracias a una vulnerabilidad de Safari).

El segundo en caer bajo las manos de los hackers fue un portátil Sony equipado con Windows 7 e IE8; en tanto que Firefox ocupó el tercer lugar.

Miller es un reconocido experto en seguridad informática que ha descubierto diversas vulnerabilidades, incluyendo la primera que afectaba al G1.

Como ganador del concurso se hizo acreedor del MacBook vulnerado y USD$5000, señalando que ya tenia estudiada con anterioridad la vulnerabilidad que le permitiría tomar el control del sistema.

El grupo que logró la misma hazaña pero gracias a IE8, se quedó con el equipo Vaio y otros USD$5000 como premio. La estrategia que utilizaron para vulnerar el navegador y obtener el control del sistema fue considerada como “brillante”.

Link: Researcher cracks Mac in 10 seconds at PWN2OWN, wins $5K (ComputerWorld)

Desde diversos medios se informa sobre la existencia de un nuevo troyano, que se aprovecha de una vulnerabilidad no corregida existente en Excel.

El troyano es capaz de ocultarse en una hoja de cálculo que al ser abierta por el usuario, de inmediato crea una puerta trasera, por medio de la cual un atacante podría tomar el control de la máquina infectada.

Según la empresa de seguridad McAfee las versiones de Excel que se encuentran expuestas al troyano son:Excel 2000, 2002, 2003, 2007, 2004/2008 para Mac, Excel Viewer/Excel Viewer 2003.

Microsoft publicó un aviso de seguridad (Microsoft Security Advisory), por medio del cual informa que se encuentra analizando el problema con el objeto de publicar un parche que logre solucionar la vulnerabilidad detectada en Excel.

Link: New Excel Trojan Hits the Net (Vía The Register)

(cc) OndraSoukup

Parece ser que el gusano Conficker (Downadup) se esta convirtiendo en un verdadero dolor de cabeza para Microsoft, tanto así que la compañía ha decidido ofrecer 250.000 dólares por la entrega de información que permita dar con sus creadores.

Recordemos que este gusano se ha caracterizado por su capacidad de infectar millones de computadores en pocos días (incluyendo a la marina francesa), siendo que Microsoft hace meses que publicó el respectivo parche para resolver la vulnerabilidad.

Fuera de ofrecer esta recompensa, la compañía se encuentra trabajando en conjunto con la ICANN, especialistas y empresas de seguridad con el objeto de deshabilitar los dominios utilizados por el gusano, con el objeto de que no se siga propagando.

Link: MS puts up $250K bounty for Conficker author (The Register)

Para prevenir un ataque, los usuarios de Safari en Mac OS X deberán cambiar el lector RSS predeterminado por otro distinto a Safari siguiendo una serie de pasos, mientras que el consejo para los usuarios de Windows es que utilicen un navegador alternativo hasta la aparición de una solución.

Si bien no se han explicado los detalles de la vulnerabilidad para que la misma no sea utilizada maliciosamente, la existencia de ésta ha sido reconocida por Apple, aunque la empresa no ha indicado cuando estará disponible el parche para corregirla.

Link: Vulnerability in Safari discovered, RSS handling to blame (jkOnTheRun)

En una conferencia denominada Chaos Communication Congress, que se realiza en Alemania, un grupo de hackers (liderados por Alexander Sotirov y Jacob Appelbaum) han demostrado que es posible crear certificados de autorización (CA) falsos, haciéndolos pasar como confiables en los navegadores actuales.

Para lograr su objetivo, se valieron de un cluster de 200 consolas PlayStation 3 en las que realizaron una serie de experimentos con una avanzada técnica de colisión MD5.

La falla resulta ser tan grave que cualquier sitio al que nos conectemos vía HTTPS (con el conocido candadito cerrado), podría ser un sitio que no ofrezca ningún tipo de seguridad.

Para resolver el problema de fondo, los navegadores y los CA deberían dejar de utilizar MD5, reemplazándolo por SHA-2 o el próximo SHA-3.

Links:

• MD5 considered harmful today (vía CGISecurity)
• Descarga de la Presentación (PPT)
• Hackers rompen SSL (CHW)

En el blog Geek Condition se ha revelado un fallo que afectaría a Gmail, por medio del cual los usuarios podrían perder sus cuentas de correo.

En el blog se indica que este fallo de seguridad provocó que varias personas hayan perdido los dominios que habían registrado bajo la firma GoDaddy.com.

Según se explica con la prueba de concepto publicada en el sitio, el problema se debe a las variables que contienen los datos del usuario y al parámetro “at”, pero no se entregaron mayores detalles del mismo.

Si bien al acceder a una cuenta de Gmail no se muestran el contenido de las variables mencionadas, se pueden obtener con algo de trabajo. Incluso se señala que buscando por la red se puede encontrar la forma de obtener el contenido de las variables.

Un representante de Google declaró que se contactarían con el usuario del Blog (que se identifica como Brandon), con el objeto de obtener mayores detalles del caso y ver una alternativa de solución. De igual forma señaló que el servicio de Gmail utiliza métodos de protección que son comunes en la industria, por lo que si efectivamente existe un fallo de este tipo no serían los únicos afectados.

Link: Gmail Security Flaw Proof of Concept (vía Cnet)

La vulnerabilidad fue descubierta por la compañía de seguridad Phion y se encuentra en el núcleo de Vista, comprobándose que se encuentra presente en las versiones Ultimate y Entrerprise. Aunque los investigadores señalan que es altamente probable que afecte a la totalidad de las versiones de 32 y 64 bits.

En detalle la vulnerabilidad se ubica en el sistema de red, cuando son enviadas solicitudes a la API iphlpapi.dll y puede hacer que la computadora se apague o provocar que esta pierda su conectividad a la red.

Si bien para poder hacer uso de esta vulnerabilidad se necesitan permisos de administrador, se podrían utilizar paquetes DHCP sin permisos de administrador para aprovecharla.

Por el momento no se tiene información sobre si la vulnerabilidad se ha utilizado en algún tipo de ataque y se espera que sea corregida en el SP 2 de Windows Vista.

Link: Microsoft VISTA TCP/IP stack buffer overflow (vía ZDNet)

Hace ya siete años que se detectó una importante vulnerabilidad en el protocolo de red SMB, que utiliza Microsoft en sus Sistemas Operativos y que acaba de ser resuelto por medio de un parche publicado por la empresa.

La vulnerabilidad permitía que un atacante tomara el control de la máquina en la que el protocolo SMB estuviera activado, con el objeto de compartir recursos al interior de una red.

Esta vulnerabilidad había sido descrita en la conferencia Defcon realizada en el año 2000 y de alguna manera se había comprobado en el año 2001, siendo considerada una de las vulnerabilidades sin solución más importantes y que afectaba a los Sistemas Operativos Windows 2000, XP, Vista, Server 2003 y 2008.

Más vale tarde que nunca Dicen™ algunos.

Link: MS08-068: SMB credential reflection defense (Security Vulnerability Research & Defense)

Entonces surgen las dudas y rumores sobre el tema a tratar y éste no sería otra cosa que el Clickjacking, que en palabras bastante simples permite al creador de un sitio web hacer que el usuario pinche en cualquier vínculo, cualquier botón o en cualquier cosa de la página sin siquiera percatarse que lo hace.

En ocasiones anteriores se han presentado vulnerabilidades que afectan a diversos navegadores y que, por lo general, se solucionan con un parche. El problema del que estamos hablando parece no tener una solución tan fácil (no se podría implementar en un simple parche) y no depende de JavaScript (aunque Dicen™ que lo facilita).

Según Hansen el problema ha sido discutido tanto con Mozilla como con Microsoft y ambos han coincidido en que este es un problema bastante complicado y que no tiene una solución sencilla. En tanto Grossman confirmó que las últimas versiones de Internet Explorer y Firefox 3 se encuentran entre los navegadores afectados.

La pelota la tienen ahora las empresas detrás de los distintos navegadores.

Link: New clickjacking affects all browsers; cause remains unknown (ars technica)

Dos investigadores de seguridad informática, han demostrado una nueva técnica para interceptar (en forma furtiva) el tráfico de Internet a una escala que, se presume, no estaría disponible para el usuario común sino que para grandes organismos de inteligencia.

La técnica utiliza el protocolo BGP para desviar el tráfico de Internet en cualquier lugar del mundo hacia una estación de monitorización, para luego ser enviado (una vez que se ha modificado) hacia su destino final.

El protocolo BGP mantiene las tablas de rutas que permiten encontrar la más eficiente hacia un destino determinado. Estas rutas se basan en las máscaras de red y la más restrictiva (o la más específica) gana.

Para lograr interceptar el tráfico, el atacante tendría que publicar un rango de IPs más acotado que el que tiene publicado su legítimo dueño. Esta publicación se propaga en cosa de minutos a todo el mundo, con lo que el atacante recibirá los datos destinados a los rangos de IPs publicados. Claro que con esto sería fácilmente detectado, puesto que todo el tráfico “desaparecería” sin llegar a su destino (porque sería desviada hacia el destino definido por el atacante).

Para solucionar este “inconveniente”, el atacante debe utilizar otra capacidad del protocolo BGP denominada “AS path prepending“, la que permite seleccionar algunos routers para que no acepten la publicación BGP hecha por el atacante, logrando que mantengan las tablas BGP originales. Por medio de éstos routers puede enviar el tráfico para que llegue a su destino “original”.

Lo grave del hecho es que en todo el proceso no se aprovecha ninguna vulnerabilidad, fallo del protocolo o error del software; sino que se saca provecho de la arquitectura BGP, que se basa en la confianza mutua.

Según palabras de Peter Zatko (uno de los investigadores), “Es un problema enorme. Es un problema al menos tan grande como el de DNS, si no más grande“. Mientras que Anton Kapela, el otro investigador, señaló que los ISP pueden evitar estos ataques utilizando filtros, pero el problema es que se requiere de una gran cantidad de filtros y que los ISPs deberían trabajar en coordinación.

Peter Zatko perteneció al grupo L0pht y ya en 1998 testificó ante el congreso norteamericano, señalando que era capaz de detener Internet en sólo 30 minutos, utilizando un ataque similar al descrito.

Y ahora, quién podrá defendernos?

Link: The Internet’s Biggest Security Hole (Wired)