GNOME glib Base64 Encoding and Decoding Multiple Integer Overflow Vulnerabilities

The GNOME glib library is prone to multiple integer-overflow vulnerabilities related to encoding and decoding Base64 data.

Successful exploits may allow remote attackers to cause denial-of-service conditions or potentially execute arbitrary code on computers running the affected library.

The following are vulnerable:

GNOME glib 2.11
GNOME glib 2.12
GStreamer gst-plugins-base prior to 0.10.23
GNOME libsoup prior to 2.2.0
GNOME libsoup prior to 2.24
Evolution Data Server prior to 2.24.5

Additional applications and versions may also be affected.

Published:       Mar 12 2009 12:00AM
Updated:         Mar 27 2009 09:06AM

REFERENCIA DE LA VULNERABILIDAD

fuente: securityfocus.com

Vulnerabilidad 0 day en Mozilla Firefox 3.x para todos los sistemas operativos

El día 25 de marzo se ha publicado sin previo aviso una prueba de concepto que hace que Firefox deje de responder. No existe parche disponible y se sabe que la vulnerabilidad, en realidad, permite ejecución de código. Se trata por tanto, de un 0 day. Al parecer la fundación Mozilla ya ha programado la solución pero no hará pública una nueva versión 3.0.8 del navegador hasta principios de la semana que viene.

El pasado miércoles, un tal Guido Landi hacía públicos (sin previo aviso) los detalles de una vulnerabilidad que permite la ejecución de código en el navegador con solo interpretar un archivo XML especialmente manipulado. En principio la prueba de concepto publicada hace que el navegador deje de responder, pero es posible de forma relativamente sencilla modificar el exploit para que permita la ejecución de código. El problema afecta a todas las versiones (actual y anteriores) del navegador sobre cualquier sistema operativo.

Los desarrolladores de Mozilla han calificado la vulnerabilidad como crítica y urgente, y afirman que ya lo tienen solucionado (en realidad se trata simplemente de un cambio de orden de una línea de código), pero que no publicarán Firefox 3.0.8 hasta principios de la semana que viene. Si el fallo es también reproducible en Thunderbird, es previsible que haya que esperar incluso más tiempo para que se publique una nueva versión.

Se recomienda no visitar páginas sospechosas. Los usuarios más avanzados pueden descargar el archivo corregido directamente del repositorio y recompilar.

Más Información:

Exploitable crash in xMozillaXSLTProcessor::TransformToDoc
https://bugzilla.mozilla.org/show_bug.cgi?id=485217

Firefox Fix Due Next Week After Attack Is Published
http://www.pcworld.com/article/161988/

fuente: Hispasec

Boletin de Seguridad de Microsoft MS09-004 (Importante)

Vulnerabilidad en Servidores  Microsoft SQL podria Permitir Ejecución de Código Remota (959420)
Publicado: 10 de febrero de 2009 | Actualizacion: 5 de marzo de 2009
Versión: 1.1

Resumen Información General
Esta actualización de seguridad resuelve una vulnerabilidad reportada en Servidores Microsoft SQL. La vulnerabilidad podría permitir la ejecución de código remoto si usuarios no-validos acceden a un sistema afectado o si un ataque de inyección SQL va dirigido a un sistema afectado. Los sistemas SQL Server 7.0 SP 4, SQL Server SP3, y SQL Server 2008 no estan afectados por esta situacion.

REFERENCIA: http://www.microsoft.com/technet/security/bulletin/ms09-004.mspx

fuente: microsoft.com

Información sobre la nueva vulnerabilidad de Excel

La semana pasada se informó sobre la aparición de una vulnerabilidad “zero-day” en Microsoft Excel la cual estaba siendo explota por hackers. Pero recopilemos un poco más de información acerca de este tema.

La vulnerabilidad puede ser explotada al abrir un documento Excel malicioso. Si el exploit tiene éxito podría permitir al atacante ejecutar código arbitrario con los privilegios del usuario que está ejecutando la aplicación, por lo tanto si el usuario está logado con permisos administrativos, el atacante podría obtener el control total del sistema afectado.

Symantec ha detectado exploits que intentan aprovechar la vulnerabilidad detectándolos como Trojan.Mdropper.AC.

Según el artículo More information about the new Excel vulnerability publicado por Microsoft en su blog Security Research & Defense (http://blogs.technet.com/srd/archive/2009/02/24/more-information-about-the-new-excel-vulnerability.aspx), los atacantes tienen como objetivo principal el Office 2007 en Windows XP. Según Microsoft es la primera vez que un exploit puede ejecutar código en Office 2007, siendo el formato vulnerable el archivo binario heredado, no el nuevo formato XML. Y que debido a la naturaleza de la vulnerabilidad es más fácil que sea explotada en Office 2007 que versiones anteriores de Office.

En cuanto a la solución, Microsoft no ha publicado a día de hoy un parche pero si da un par de workarounds. Estas soluciones provisionales vienen descritas en http://www.microsoft.com/technet/security/advisory/968272.mspx. La primera de ellas consiste en habilitar MOICE (Microsoft Office Isolated Conversion Environment), con ello los XLS se convierten a XSLX antes de ser abiertos ya que el nuevo formato XML no es susceptible a la vulnerabilidad. La segunda opción, que podría ser más problemática para la mayoría de entornos, se trata de habilitar FireBlock, con esta opción activa, Excel sólo abrirá archivos con el nuevo formato XML.

fuentes: securityfocus.com, microsoft.com, blogs.technet.com

Aprovechan vulnerabilidad en Internet Explorer 7 a través de documentos Word

Aprovechan vulnerabilidad en Internet Explorer 7 a través de documentos Word
Algunas casas antivirus advierten de que una de las últimas vulnerabilidades de Internet Explorer 7 se está aprovechando activamente por atacantes para infectar sistemas. Lo curioso no es que un fallo (que se suponía previamente desconocido) esté siendo aprovechado poco después de hacerse público. La novedad introducida en este caso, es que se está realizando (ya por segunda vez) el ataque al navegador a través de documentos en formato Word.

El pasado martes 10 de febrero, en su boletín MS09-002, Microsoft solucionó dos vulnerabilidades críticas que afectaban sólo a Internet Explorer 7. Ambas permitían la ejecución de código arbitrario si la víctima visitase una web especialmente manipulada. Apenas una semana después de que Microsoft hiciese público el parche, se han detectado los primeros ataques. Una vez con el parche en su poder, los atacantes aplican ingeniería inversa para conocer las zonas de código que modifica la actualización, y averiguar los detalles técnicos concretos de la vulnerabilidad para así aprovecharla en su beneficio con exploits.

Normalmente este tipo de vulnerabilidades que permiten ejecución de código en el navegador necesitan que la víctima visite una web manipulada. En este caso, además de este vector, los atacantes se están ayudando de un documento Word con un objeto ActiveX incrustado en su interior. Cuando se interpreta con Word el documento, Internet Explorer 7 visita la web que sí contiene el exploit y se aprovecha la vulnerabilidad (si la víctima no ha aplicado el parche). Se establece un paso previo que al parecer puede resultar rentable al atacante: en vez de inducir a la visita de una página web, se incita al usuario a abrir un documento que, gracias a su interactividad con el navegador, abrirá una página web que sí permite infectar al sistema.

La ventaja adicional para los creadores del malware es que esto se produce de forma transparente al usuario. Pero sólo si se ha sido descuidado en la configuración de su paquete ofimático. Si se evita la ejecución de macros en Word, el control ActiveX no se instanciará y no se descargará nada. Por defecto Microsoft bloquea la ejecución de macros en Office. Obviamente, la visita directa a la página (sin abrir el documento) también infectará a la víctima siempre que no esté parcheada y no haya elevado la seguridad de su navegador para evitar la ejecución de JavaScript en sitios desconocidos.

Una vez infectado, como es habitual, el malware descarga diferentes componentes y robará información confidencial de la víctima. En diciembre se dio ya el primer caso de vulnerabilidades en Internet Explorer 7 aprovechadas a través de documentos Word.

Aunque McAfee habla de que el exploit está “in the wild”,  Trend Micro, sugiere que el ataque es todavía limitado. Por firmas son los dos únicos antivirus que detectan el archivo DOC por ahora. En cualquier caso, se recomienda actualizar el navegador lo antes posible.

fuente: hispasec

Limitada explotación de reciente vulnerabilidad en Internet Explorer

Un agujero de seguridad en Internet Explorer 7, que fuera solucionado por Microsoft la pasada semana, podría estar siendo explotado comprometiendo aquellos ordenadores que no se han actualizado con los últimos parches.

Han surgido alertas sobre un código malicioso capaz de aprovechar la vulnerabilidad que informara el boletín MS09-002. A esta vulnerabilidad se le adjudicó un índice de explotabilidad medio en su momento, porque no se conocían exploits activos.

La investigación del nuevo código, llevaría a pensar que los atacantes utilizaron ingeniería inversa a partir del parche aplicado, y de ese modo habrían obtenido la información para crear un código malicioso que saca provecho del fallo, permitiéndoles vulnerar la seguridad de los ordenadores a través del navegador afectado.

Según reportes, el método que han utilizado para los ataques, que han sido pocos hasta el momento, es el envío de un archivo de Microsoft Word especialmente modificado para que el Internet Explorer 7, abra silenciosamente un sitio web malicioso.

No deben descartarse otros medios usuales de infección, tales como enlaces en correos electrónicos, falsos videos, o la visita a páginas maliciosas preparadas para buscar y explotar otros agujeros de seguridad existentes en el equipo.

Sin embargo, Sergio de los Santos de Hispasec Sistemas y David Harley, Director of Malware Intelligence de ESET, concuerdan en que este ataque estaría siendo exagerado por algunos medios, aunque si se puede hablar de un impacto limitado.

De todos modos, esto no es razón para descuidar la seguridad de nuestro PC. El sistema operativo debe tener las últimas actualizaciones disponibles, lo que incluye las últimas versiones de cualquier otro software instalado en el ordenador.

Para los usuarios con conocimientos avanzados, se aconseja deshabilitar los macros en Microsoft Word y por supuesto mantener el antivirus actualizado.

fuente: la flecha

Denegación de servicio en Cisco Unified Communications Manager 5.x y 6.x

Cisco ha publicado una actualización para Cisco Unified Communications Manager 5.x y 6.x que corrige un fallo de seguridad que podría permitir que un atacante remoto causase una denegación de servicio.

La solución Unified Communications de Cisco es un conjunto de productos y aplicaciones de comunicaciones que reúne e integra voz, vídeo y datos.

El servicio Certificate Authority Proxy Function (CAPF) no maneja adecuadamente las entradas mal formadas, lo que podría provocar una interrupción de los servicios de voz. El servicio CAPF no está habilitado por defecto.

Cisco, a través de los canales habituales, ha puesto a disposición de sus clientes soluciones para solventar el problema.
Se aconseja consultar la tabla de versiones vulnerables y contramedidas en:
www.cisco.com/warp/public/707/cisco-sa-20090121-cucmcapf.shtml

fuente: hispasec

VULNERABILIDAD. Linux Kernel ‘net/atm/proc.c’ Local Denial of Service Vulnerability

The Linux kernel is prone to a local denial-of-service vulnerability.

Attackers can exploit this issue to cause the Linux kernel to go into an infinite loop, which may cause a denial-of-service condition.

fuente: securityfocus

REFERENCIA DE LA VULNERABILIDAD

VULNERABILIDAD. 4 Vulnerabilidades encontradas para el analizador de red WIRESHARK.

Se han encontrado 4 vulnerabilidades en el analizador de red WIRESHARK.

fuente: securityteam

Wireshark 1.0.3 Multiple Denial Of Service Vulnerabilities

Wireshark 1.0.2 Multiple Vulnerabilities

Wireshark 1.0.1 Denial of Service Vulnerability

Wireshark 1.0.0 Multiple Vulnerabilities

VULNERABILIDAD. Linux Kernel ‘lbs_process_bss()’ Remote Denial of Service Vulnerability

The Linux Kernel is prone to a remote denial-of-service vulnerability because of a buffer-overflow error in the ‘libertas’ subsystem.

Successful exploits will allow attackers to crash the affected computer, denying service to legitimate users. Given the nature of this issue, attackers may also be able to execute code, but this has not been confirmed.

Versions prior to Linux Kernel 2.6.27.5 are vulnerable.

fuente: securityfocus

REFERENCIA DE LA VULNERABILIDAD

VULNERABILIDAD. IBM Tivoli Access Manager for e-business Remote Denial Of Service Vulnerability

IBM Tivoli Access Manager for e-business is prone to a remote denial-of-service vulnerability.

Remote attackers can exploit this issue to cause the service to crash or hang, denying service to legitimate users.

IBM Tivoli Access Manager for e-business 6.0.0.17 is vulnerable; other versions may also be affected.

fuente: securityfocus

REFERENCIA DE LA VULNERABILIDAD

Análisis de la vulnerabilidad Kaminsky en DNS

Los colegas de Kriptopolis han publicado un articulo que hace referencia a un analisis que se le hace a la vulnerabilidad del servicio DNS desvelada, en el DefCon de Las Vegas este verano, por Kaminsky;

El documento consta de dos partes:

* En la primera se hace un análisis técnico pormenorizado de este ataque, sus implicaciones y soluciones.

* En la segunda parte se describe la cronología seguida en la gestión de esta vulnerabilidad y se comentan los aspectos sociales que la han rodeado.

fuente: kriptopolis

SOBRE LA VULNERABILIDAD DE DNS.

ANALISIS (PDF)

VULNERABILIDAD. Denegación de servicio a través de paquetes VTP en Cisco IOS y CatOS

Cisco ha anunciado la existencia de una vulnerabilidad en Cisco IOS y CatOS que podría permitir a un atacante remoto provocar una denegación de servicio.

La vulnerabilidad consiste en un error en la implementación del protocolo VTP (VLAN Trunking Protocol) en IOS y CatOS al procesar paquetes VTP enviados desde la red local, independientemente si el dispositivo opera en modo cliente o servidor. Un atacante remoto podría provocar que el dispositivo deje de responder mediante un paquete VTP especialmente manipulado.

Para la realización exitosa del ataque, es necesario que el paquete VTP se reciba a través de una interfaz de red configurada como trunk port.

Los productos afectados son:

• Dispositivos que ejecuten versiones de IOS o CatOS afectadas y que tengan configurada la función VTP como servidor o cliente.
• Dispositivos que ejecuten versiones de IOS o CatOS afectadas con módulos de switch ethernet para la series de routers 1800, 2600, 3600, 3700 y 3800 que tengan configurada la función VTP como servidor o cliente..

Los dispositivos que ejecuten la versión 3 del protocolo VTP o estén configurados en modo transparente no se ven afectados por este fallo.

fuente: hispasec

REFERENCIA DE LA VULNERABILIDAD

OTRAS REFERENCIAS

QUE ES Clickjacking? amenaza misteriosa…

Se trata de una nueva vulnerabilidad a la que parecen expuestos los navegadores modernos y de la que se conocen pocos detalles. El Clickjacking se resume en lo siguiente: un usuario hace clic sobre un enlace o botón que está viendo y en realidad lo hace sobre otro enlace controlado por terceros. Se trata de una vulnerabilidad presentada en la conferencia de seguridad OWASP de la que los detalles se mantienen en secreto.

MÁS SOBRE ESTA NOTICIA

Dos vulnerabilidades en la rama 2.x de OpenOffice permiten ejecución de código

OpenOffice.org ha publicado una actualización para la rama 2.x de OpenOffice. Soluciona dos problemas de seguridad que podrían permitir a un atacante ejecutar código si se procesan documentos especialmente manipulados con una versión vulnerable.

* Uno de los fallos se trata de un desbordamiento de memoria intermedia basado en heap en el intérprete de ficheros EMF.

* El segundo fallo se debe a un desbordamiento de enteros a la hora de procesar registros META_ESCAPE en ficheros WMF.

Ambos fallos podrían permitir la ejecución de código arbitrario con los permisos del usuario bajo el que se usara la aplicación.

Ambos también, están relacionados con problemas a la hora de procesar el formato Windows Meta File y Extended (o Enhanced) Windows Metafile Format. Estos formatos de imagen se hicieron especialmente famosos a raíz de la vulnerabilidad descubierta a finales de 2005 en Microsoft Windows y que infectó a millones de usuarios.

La reciente versión 3.0 de OpenOffice no se ve afectada.

No se han dado detalles técnicos ni parece existir exploit público. Se recomienda actualizar a la versión OpenOffice 2.4.2. Todas las anteriores son vulnerables.

fuente: hispasec.com

VULNERABILIDAD. IBM Tivoli Storage Manager Client Remote Heap Buffer Overflow Vulnerability

The IBM Tivoli Storage Manager Client is prone to a remote heap-based buffer-overflow vulnerability.

Successfully exploiting this issue would allow a remote attacker to corrupt memory and execute arbitrary code in the context of the IBM Tivoli Storage Manager (TSM) Backup-Archive client.

The following versions of TSM are vulnerable:

- TSM 5.5 with client levels 5.5.0.0 to 5.5.0.7
- TSM 5.4 with client levels 5.4.0.0 to 5.4.2.2
- TSM 5.3 with client levels 5.3.0.0 to 5.3.6.1
- TSM 5.2 with client levels 5.2.0.0 to 5.2.5.2
- TSM 5.1 with client levels 5.1.0.0 to 5.1.8.1
- TSM Express all levels

fuente:security focus

REFERENCIA DE LA VULNERABILIDAD

MAS REFERENCIAS

VULNERABILIDAD. ‘libspf2′ DNS TXT Record Handling Remote Buffer Overflow Vulnerability

The ‘libspf2′ library is prone to a remote buffer-overflow vulnerability that stems from a lack of bounds checking when handling specially crafted DNS TXT records.

Remote attackers may exploit this issue to execute arbitrary code in the context of an application using a vulnerable version of the library.

Versions prior to ‘libspf2′ 1.2.8 are affected.

fuente:security focus

REFERENCIA DE LA VULNERABILIDAD

VULNERABILIDAD. Opera Web Browser History Search and Links Panel Cross Site Scripting Vulnerabilities

Opera Web Browser is prone to multiple cross-site scripting vulnerabilities because it fails to properly sanitize user-supplied input.

An attacker may leverage these issues to execute arbitrary script code in the browser of an unsuspecting user in the context of the affected site. This may allow the attacker to steal cookie-based authentication credentials, change the browser’s settings and to launch other attacks.

Versions prior to Opera Web Browser 9.62 are vulnerable to these issues.

NOTE: The ‘History Search’ issue described here may be related to the ‘History Search’ that was previously described in BID 31842 ‘Opera Web Browser Multiple Cross Site Scripting Vulnerabilities’.

fuente:security focus

REFERENCIA DE LA VULNERABILIDAD

Adobe PageMaker PMD File Processing Buffer Overflows Vulnerability

Multiple vulnerabilities have been discovered in Adobe PageMaker, which can be exploited by malicious people to compromise a user’s system.

fuente:secunia

REFERENCIAS

Vulnerabilidad en el G1 Android Google Mobile (by HTC)

Charlie Miller, Mark Daniel, y Jake Honoroff de ISE (Evaluadores Independientes de Seguridad) han identificado y explotado una vulnerabilidad en el sistema operativo del nuevo teléfono Android de Google. El sistema operativo Android, desarrollado por Google, es open source y tiene muchas características diseñadas específicamente para teléfonos celulares, tales como la navegación web, cámara, GPS, acelerómetros y control. El primer teléfono comercial con el sistema operativo Android, el T-Mobile G1 por HTC, (disponible a partir del 22 de octubre de 2008). Estos teléfonos se venden actualmente con la vulnerabilidad lo cual puede pasar a ser un riesgo para la seguridad de sus usuarios hasta que no se saque una actualización del software eliminando este problema.

La vulnerabilidad

Android está basado en más de 80 diferentes paquetes de código open source. Básicamente la vulnerabilidad se debe al hecho de que Google no utiliza las versiones más actualizadas de estos paquetes; en otras palabras, este problema de seguridad en particular que afecta al teléfono G1 era conocido y fue arreglado en el paquete de software, pero Google utiliza una versión vieja que sigue siendo vulnerables, por lo que no se liberara ninguna información adicional sobre la vulnerabilidad o paquete de software hasta que exista una solución disponible.

El impacto

Un usuario con un teléfono Android que utilice el navegador para navegar por la Internet puede ser “explotado” si visita una página maliciosa. Al visitar el sitio web malicioso, el atacante puede ejecutar cualquier código que desee con los privilegios del navegador web de la solicitud.. (existen una gran cantidad de exploit para realizar pruebas de demostración). Este exploit no saldrá a la luz publica hasta que exista una solución disponible.

La arquitectura de seguridad del Android está muy bien construida y el impacto de este ataque será limitado. Un atacante que consiga explotar la vulnerabilidad tendrá acceso a cualquier información que el navegador puede utilizar, tales como cookies utilizadas para acceder a los sitios, la información puesta en aplicaciones web, campos de formulario, contraseñas guardadas, etc También pueden cambiar la forma en que el navegador funciona, engañando así al usuario para que este utilice información sensible. Sin embargo, no puede controlar otro tipo de funciones del teléfono la marcación directa.