16/02/2013

Me he mudado a mi propio servidor ^_^

Anuncios

Actualización del kernel para OpenSUSE

03/08/2011

Se ha publicado la actualización del kernel para OpenSUSE 11.4 a la versión 2.6.37.6, en la que se corrigen hasta 14 vulnerabilidades de diversa índole y efectos. Los problemas corregidos podrían permitir la realización de ataques de denegación de servicio, elevación de privilegios, e incluso el compromiso total del sistema a atacantes locales.

Los problemas corregidos están relacionados con la interfaz /proc/PID/io; con kernel/taskstats.c; con drivers/char/agp/generic.c; con ip_expire(); con kernel/pid.c; con los sistemas de archivos ext4, proc y NFS y con particiones LDM.

Se recomienda actualizar a la última versión del kernel, a través de la instrucción:

zypper in -t patch kernel-4932.

Fuente

=-=-=-=-=
Powered by Blogilo

Denegación de servicio en Kerberos

12/04/2011

El investigador Felipe Ortega ha hecho público un fallo en Kerberos a través de las listas de Debian Bugs que permite provocar una denegación de servicio en Kerberos y, potencialmente, ejecutar código arbitrario.

El fallo, que podría ser aprovechado por un atacante remoto para causar una denegación de servicio, se debe a un error en la interpretación de las peticiones recibidas. Este fallo provoca el procesado de un valor incorrecto de versión y hace que el servicio kadmind se detenga, ocasionando por tanto una denegación de servicio. Es posible que el fallo permita la ejecución de código, aunque no se ha demostrado aún.

La vulnerabilidad fue descubierta mientras se ejecutaba aplicación nmap para intentar determinar la versión de Kerberos, con el siguiente comando:

nmap -n -sV [servidor]

Siendo [servidor] el servidor de Kerberos principal.

El fallo que ha sido confirmado para la versión krb5-1.9 y está pendiente de solución. No se descarta que afecte a otras versiones.

Fuente

=-=-=-=-=
Powered by Blogilo

Corregidas 3 vulnerabilidades en WordPress

12/04/2011

Ya está disponible la nueva versión de WordPress 3.1.1 que corrige aproximadamente 30 fallos entre los que se incluyen 3 vulnerabilidades descubiertas por los desarrolladores Jon Cave y Peter Westwood.

WordPress es un sistema de gestión de contenidos enfocado a la creación de blogs desarrollado en PHP y MySQL, ampliamente usado en la comunidad de bloggers debido a su facilidad de uso y sus características como gestor de contenidos.

Una de las vulnerabilidades corregidas permitía a un atacante remoto el secuestro de la sesión de autenticación al forzar al navegador de los usuarios autenticados a realizar acciones no autorizadas al visitar una página web especialmente manipulada.

Esta vulnerabilidad, localizada en el componente ‘media uploader’ permitía evadir la protección contra cross-site request forgery (CSRF). Ha sido corregida mediante la asociación de códigos únicos en las peticiones.

La segunda de las vulnerabilidades corregidas era un cross-site scripting (XSS) localizado en el código encargado de las actualizaciones de la base de datos.

Esta vulnerabilidad se debe a la insuficiente validación de los parámetros de entrada y podría ser empleada, en el peor de los casos, para generar páginas web especialmente manipuladas permitiendo la ejecución de código HTML o JavaScript en el contexto de otro sitio web.

Estas dos primeras vulnerabilidades fueron descubiertas y notificadas por Jon Cave, quien a su vez es miembro activo del equipo de seguridad de WordPress.

La tercera y última vulnerabilidad, descubierta por Peter Westwood, permitía causar una denegación de servicio a través del uso de enlaces especialmente manipulados en los comentarios. El fallo en este caso, reside en la función ‘make_clickable’ del fichero ‘wp-includes/formatting.php’ al no comprobar la longitud de la URL en los comentarios antes de ser procesada por la libreria PCRE.

Junto con estas 3 vulnerabilidades, la nueva versión de WordPress corrige a su vez 26 fallos entre los que cabría destacar el soporte con IIS6, permalinks relacionados con PATHINFO, así como varios problemas de compatibilidad con ciertos plugins.

Se recomienda la actualización a esta nueva versión de WordPress, bien desde Dashboard -> updates o bien descargándola y realizando la actualización a mano.

Fuente

=-=-=-=-=
Powered by Blogilo

SLAAC attack: el “hombre en el medio” de IPv6

07/04/2011

Investigadores de InfoSec Institute han descubierto una nueva forma de robar el tráfico de una red interna gracias a la configuración por defecto de IPv6 en Windows y MacOS X. Se trata de una especie de hombre en el medio, pero mucho más sencillo que las técnicas habituales en IPv4 (por ejemplo arp-spoofing). Al ataque se le ha llamado SLAAC, pero no se trata de un 0 day, como proclaman.

Obtener y redirigir el tráfico de una red interna hacia una máquina controlada por un atacante es una técnica conocida en el mundo de IPv4. Envenenar la caché ARP de los sistemas, es uno de los métodos más empleados. Ahora, el ataque SLAAC consigue el un efecto parecido pero de forma más "limpia".

En qué consiste

El atacante debe introducir un router (o algún dispositivo que actúe como tal, puede ser su propio ordenador) en la red interna con dos interfaces (virtuales o no): una de cara a la red interna, que soporte solamente IPv6 y otra con la conexión a Internet (solamente IPv4). En esos momentos existirá una red adicional IPv6, pero el atacante no controlará el tráfico. El intruso comenzará a enviar RA (router advertisements, anuncios de rutas), que es una especie de DHCP para IPv6. El objetivo es que el tráfico pase a través de la interfaz IPv6 sin que los clientes noten nada y esto se consigue gracias a una especificación obsoleta.

NAT-PT es un mecanismo que permite traducir de IPv4 a IPv6 y viceversa para que dispositivos que soporten una u otra versión puedan comunicarse. Un protocolo ideado para facilitar la migración entre redes que fue abandonado en 2007 porque resultaba demasiado complejo, contenía demasiados errores. El método es definir en el router un prefijo IPv6 e incrustar en los últimos 32 bits una dirección IP versión 4, que según el ataque previsto, debe coincidir con un servidor DNS del propio atacante, situado en la interfaz IPv4 del router (en Internet). Si se configura adecuadamente ese router del atacante para que se encargue de traducir (a través de NAT-PT) las direcciones IPv6 de las víctimas a IPv4, se consuma el ataque, engañando al usuario para que crea que su servidor DNS es el del atacante.

El siguiente paso es hacer que los sistemas operativos usen la red IPv6 (y sus DNS) creada paralelamente… y que lo hagan rápido (si no responde a tiempo, se usaría el DNS legítimo). Esto se consigue de forma muy sencilla por dos razones: La primera es el uso de Application Layer Gateways (ALGs), que es necesario en NAT-PT para hacer NAT en protocolos "especiales" como FTP. La segunda es que los sistemas operativos modernos prefieren siempre utilizar IPv6 (se han diseñado así para, presumiblemente, facilitar la migración tan deseada que parece que nunca llega).

En resumen, la víctima utiliza sin darse cuenta el DNS del atacante para resolver direcciones y, por tanto, puede ser redirigido a cualquier página (que no use certificados) de forma transparente.

Por qué ocurre

Gracias a Stateless address autoconfiguration (SLAAC) los sistemas operativos como Windows y Mac OS X, preferirán usar IPv6 en una red siempre que sea posible. IPv6 está ideado para autoconfigurarse al máximo. Por tanto, obtendrán automáticamente información del router fraudulento introducido por el atacante sin que se note, y comenzarán a usar su servidor DNS fraudulento. Además, es poco probable que en una red exista algún router IPv6, por tanto el atacante no tendrá "interferencias".

Aunque en InfoSec proclamen que se trata de un 0 day, está lejos de la definición formal de ese concepto. Según ellos, se han puesto en contacto con Microsoft y comentan que valorarán el problema.

Ventajas e inconvenientes del ataque

Estos problemas con routers "rogue" ya son más que conocidos en entornos IPv4, e incluso en entornos IPv6 existe software para simularlo. Pero hasta ahora se tomaban más como una molestia que como un ataque. Esta prueba de concepto confirma un escenario y un método de "aprovechamiento" viable.

El ataque SLAAC tiene además una serie de ventajas. Por ejemplo, no es necesario alterar la red IPv4 de la víctima (ni la caché ARP de los equipos…), ni siquiera utilizar una dirección IP de esa red. Se aprovecha de forma limpia una funcionalidad (no un fallo) de los sistemas modernos: preferir IPv6 sobre IPv4.

El ataque también tiende a ser silencioso: la red IPv4 y por tanto, sus sistemas de defensa y monitorización "tradicionales", no son alterados.

Recomendaciones

Simplemente, como siempre, deshabilitar lo que no se utilice. En este caso, el soporte IPv6 desde las propiedades de red.

Fuente

=-=-=-=-=
Powered by Blogilo

Denegación de servicio en ISC BIND 9

28/02/2011

ISC ha confirmado una vulnerabilidad que afecta a BIND y que podría permitir a un atacante remoto causar una denegación de servicio.

BIND (Berkeley Internet Name Domain) es el software para servidores de gestión del protocolo DNS más utilizado en Internet gracias a su alta compatibilidad con los estándares de este protocolo.

El CVE-2011-0414 recoge esta vulnerabilidad, que se encuentra cuando se procesan transferencias IXFR o actualizaciones DDNS. Un atacante remoto podría aprovechar este problema para causar una denegación de servicio, mediante el envío de una consulta especialmente manipulada instantes después de haber procesado alguna de estas peticiones.

Las versiones afectadas por este problema son 9.7.1 y 9.7.2-P3, se recomienda actualizar a BIND 9.7.3. Tanto las versiones anteriores como BIND 9.8 no están afectadas.

Fuente

=-=-=-=-=
Powered by Blogilo

Ejecución de código arbitrario en ClamAV

25/02/2011

Se ha anunciado una vulnerabilidad en el antivirus ClamAV para las versiones anteriores a la 0.97, que podría permitir a un atacante remoto ejecutar código arbitrario en el sistema afectado.

ClamAV es un antivirus multiplataforma de código abierto. Entre sus objetivos, además de ser un motor para identificar malware en equipos en los que se instale, también está destinado a trabajar en servidores de correo electrónico para combatir la propagación virus, troyanos y otras amenazas a través del servicio de mensajería electrónica.

La vulnerabilidad, a la que le ha sido asignado el cve CVE-2011-1003, aparece en sistemas GNU/Linux. Está localizada en la función ‘vba_read_project_strings’ del fichero ‘libclamav/vba_extract.c’, donde después de liberarse un puntero éste no pasaba a apuntar a NULL. Por ello se podría incurrir en un fallo de doble liberación de memoria, que podría permitir a un atacante remoto causar una denegación de servicio y, potencialmente, ejecutar de código arbitrario a través de vectores que no han sido especificados.

La última versión del antivirus (actualmente la 0.97), que contiene el parche que soluciona dicho fallo, se encuentra en la página oficial de ClamAV.

Fuente

=-=-=-=-=
Powered by Blogilo

Servidores de Sourceforge comprometidos por atacantes

28/01/2011

Desde Sourceforge se han detectado una serie de ataques dirigidos específicamente contra ellos que han concluido con el compromiso de varios servidores. Sourceforge se ha visto obligado a apagar "un puñado" de servidores para intentar contrarrestar el ataque.

Desde el blog de Sourceforge.net han avisado durante el día 27 de enero de que se han visto atacados varios servidores de la organización. Nada más ser detectados, en un intento de limitar el alcance del ataque y salvaguardar la integridad de los datos, se han visto obligados a apagar un número indeterminado de servidores. Están trabajando para identificar cómo han accedido los atacantes y restaurar servicios.

El fallo se ha descubierto en primera instancia en los sistemas que alojan el repositorio CVS, pero otras máquinas se han visto comprometidas y todavía no pueden determinar el alcance completo. Por tanto, en respuesta a los ataques han apagado: los CVS, los ViewVC, servicios interactivos de shell y la posibilidad de subir nuevas versiones de programas.

En nuevo comunicado de Sourceforge realizado menos de 24 horas después del primero, no aporta mucho más: siguen trabajando en detectar qué ha ocurrido y por qué.

Sourceforge es una especie de incubadora de software libre muy popular. Ofrece una plataforma para cubrir todo el ciclo de desarrollo colaborativo de software, además de facilitar la distribución. Si el compromiso en los sistemas hubiese llegado al control de esta distribución de software (por ejemplo troyanizando software popular), el impacto podría ser muy elevado.

Estaremos atentos a nuevos comunicados. Sería interesante conocer cómo han accedido a los repositorios y hasta dónde han llegado los atacantes.

Fuente

=-=-=-=-=
Powered by Blogilo

Actualización del kernel para Red Hat 6

14/01/2011

Red Hat ha publicado una actualización del kernel 2.6.x, que soluciona un total de 31 vulnerabilidades. Las vulnerabilidades podrían permitir a un atacante llegar a elevar privilegios, causar una denegación de servicio u obtener información sensible.

A continuación se detallan los CVE y un resumen de la vulnerabilidad.

CVE-2010-2492: Existe un error en la fución ‘cryptfs_uid_hash()’ localizada en ‘/fs/ecryptfs/messaging.c’ que podría causar un desbordamiento de memoria intermedia. Esto podría ser aprovechado por un atacante local no autenticado para causar una denegación de servicio a través de una llamada a la función ‘cryptfs_uid_hash()’ especialmente manipulada.

CVE-2010-3067: Existe un error de desbordamiento de entero en la función ‘do_io_submit’ en ‘fs/aio.c’. Esto podría ser aprovechado por un atacante local para causar una denegación de servicio a través de llamadas especialmente diseñadas a ‘io_submit’.

CVE-2010-3078: Existe un error de comprobación de restricciones en la función ‘xfs_ioc_fsgetxattr’ en ‘fs/xfs/linux-2.6/xfs_ioctl.c ‘. Esto podría ser aprovechado por un atacante local para revelar información a través de llamadas XFS_IOC_FSGETXATTR.

CVE-2010-3080: Existen varios errores de dereferencia a memoria liberada y doble liberación de memoria en la función ‘snd_seq_oss_open’ en ‘sound/core/seq/oss/seq_oss_init.c’. Esto podría ser aprovechado por un atacante local para ejecutar código arbitrario a través de vectores no especificados.

CVE-2010-3298: Existe un error al no ser modificada o inicializada a cero la variable ‘reserved’ antes de ser devuelta al usuario en la función ‘ hso_get_count’ del fichero ‘/drivers/net/usb/hso.c’. Un atacante local sin privilegios podría leer hasta 9 bytes de memoria no inicializada a través de vectores no especificados.

CVE-2010-3477: Existe un error en la función ‘tcf_act_police_dump’ de ‘net/sched/act_police.c’ al no inicializar correctamente ciertas estructuras. Esto podría ser usado por un atacante local para obtener información sensible a través de un volcado de memoria.

CVE-2010-3861: Existe un error en la función ‘ethtool_get_rxnfc’ localizada en ‘net/core/ethtool.c’ que no inicializa ciertos bloques de memoria. Esto pordría ser aprovechado por un atacante local para revelar información, y potencialmente, elevar privilegios a través de un comando ETHTOOL_GRXCLSRLALL especialmente manipulado con un valor info.rule_cnt muy largo.

Es una vulnerabilidad distinta a CVE-2010-2478.

CVE-2010-3865: Existe un error de desbordamiento de entero en la función ‘rds_rdma_pages’ de ‘net/rds/rdma.c’. esto podría ser aprovechado por un atacante local para elevar privilegios a través de una llamada especialmente manipulada a esta función.

CVE-2010-3874: Existe un desbordamiento de memoria intermedia basado en heap en el subsistema CAN (Control Area Network) en sistemas de 64-bits que podría ser aprovechado por un atacante local para causar una denegación de servicio a través de una operación de conexión.

CVE-2010-3876: Existe un error no especificado en el protocolo de paquetes que podría ser aprovechado por un atacante local para revelar información sensible a través de vectores no especificados.

CVE-2010-3880: Existe un error de comprobación de restricciones en el subsistema ‘INET_DIAG’ que podría provocar un bucle infinito. Esto podría ser aprovechado por un atacante local para causar una denegación de servicio a través de la ejecución de instrucciones ‘INET_DIAG_REQ_BYTECODE’ especialmente manipuladas.

CVE-2010-4072: Existe un error en la función ‘copy_shmid_to_user’ del subsitema ‘System V shared memory’ localizada en ‘ipc/shm.c’ que no inicializa ciertas estructuras. Esto podría ser aprovechado por un atacante local para revelar información sensible a través de una llamada shtmctl especialmente manipulada.

CVE-2010-4073: Existen varios errores al no inicializar ciertas estructuras en el subsistema ‘System V shared memory’ en el fichero ‘ipc/compat.c’ y ‘ipc/compat_mq.c’ que podría ser aprovechado por un atacante local en un sistema de 64-bits para revelar información sensible a través de una llamada a la función ‘semctl’ especialmente diseñada.

CVE-2010-4074: Existe un error al inicializar ciertas estructuras en los drivers ‘mos7720’ y ‘mos7840’ para conversión de dispositivos USB/serie que podría ser aprovechado por un atacante local para revelar información sensible a través de una llamada ‘TIOCGICOUNT’ especialmente manipulada.

CVE-2010-4075: Existe un error en la función ‘uart_get_count’ localizada en ‘drivers/serial/serial_core.c’ que no inicializa adecuadamente ciertas estructuras. Esto podría ser aprovechado por un atacante local para revelar información sensible a través de una llamada ‘TIOCGICOUNT’ especialmente manipulada.

CVE-2010-4077: Existe un fallo en la función ‘ntty_ioctl_tiocgicount’ localizada en ‘drivers/char/nozomi.c’ que no inicializa adecuadamente ciertas estructuras. Esto podría ser aprovechado por un atacante local para obtener información sensible a través de una llamada al sistema ‘TIOCGICOUNT’ especialmente manipulada.

CVE-2010-4079: Existe un fallo en la función ‘ivtvfb_ioctl’ usados por el dispositivos ‘Hauppauge PVR-350’ localizado en ‘drivers/media/video/ivtv/ivtvfb.c’ que no inicializa adecuadamente ciertas estructuras. Esto podría ser aprovechado por un atacante local para obtener información sensible a través de una llamada al sistema ‘FBIOGET_VBLANK’ especialmente manipulada.

CVE-2010-4080: Existe un error en la función ‘snd_hdsp_hwdep_ioctl’ en el driver ALSA para dispositivos de audio ‘RME Hammerfall DSP’ localizada en ‘sound/pci/rme9652/hdsp.c’ que no inicialiliza ciertas estructuras. Esto podrían ser aprovechado por un atacante local para acceder a información sensible a través de una llamada ioctl ‘SNDRV_HDSP_IOCTL_GET_CONFIG_INFO’ especialmente manipulada.

CVE-2010-4081: Existe un error en la función ‘snd_hdspm_hwdep_ioctl’ en el driver ALSA para dispositivos de audio ‘RME Hammerfall DSP MADI’ localizada en ‘sound/pci/rme9652/hdspm.c’ que no inicialiliza ciertas estructuras. Esto podrían ser aprovechado por un atacante local acceder a información sensible a través de una llamada ioctl ‘SNDRV_HDSPM_IOCTL_GET_CONFIG_INFO’ especialmente manipulada.

CVE-2010-4082: Existe un error en la función ‘viafb_ioctl_get_viafb_info’ al no inicializar correctamente cierto miembro de una estructura. Esto podría ser usado por un atacante local para revelar información sensible a través de vectores no especificados.

CVE-2010-4083: Existe un error en las llamadas al sistema semctl al no inicializar la pila de memoria. Esto podría ser aprovechado por un atacante local para acceder a información sensible a través de ciertos comandos en la llamada al sistema semctl.

CVE-2010-4158: Existe un error al inicializar una matriz local en la función ‘sk_run_filter’ localizada en ‘net/core/filter.c’ que podría permitir a un atacante local revelar información sensible a través de una llamada a la función especialmente manipulada.

CVE-2010-4160: Existe falta de comprobación de límites en la función ‘sendto’ localizada en ‘net/socket.c’ que podría provocar un desbordamiento de entero. Esto podría ser aprovechado por un atacante local para causar una denegación de servicio a través de una llamada a la función ‘pppol2tp_sendmsg’ especialmente manipulada.

CVE-2010-4162: Existe un error de desbordamiento de entero en ciertas funciones de ‘fs/bio.c’ y ‘block/blk-map.c’. Esto podría ser aprovechado por un atacante local para causar una denegación de servicio a través del envío de ioctls especialmente manipuladas a un dispositivo SCSI.

CVE-2010-4163: Existe un error al procesar ciertas peticiones entrada/salida con una longitud 0 en la función ‘blk_rq_map_user_iov’ localizada en ‘block/blk-map.c’. Esto podría ser aprovechado por un atacante local para causar una denegación de servicio a través de una llamada IOCTL especialmente manipulada.

CVE-2010-4242: Un error en la función ‘hci_uart_tty_open’ localizada en el archivo ‘drivers/bluetooth/hci_ldisc.c’ debido a que no comprueba si un tty está abierto, podría permitir a un atacante local llevar elevar privilegios.

CVE-2010-4248: Existe un error en la función ‘posix_cpu_timers_exit_group’ localizada en ‘posix-cpu-timers.c’ que podría causar una condición de carrera. Esto podría ser aprovechado por un atacante local no autenticado para causar una denegación de servicio a través de una llamada especialmente manipulada.

CVE-2010-4249: Un error de diseño en el manejador de sockets de Unix podría permitir a un atacante local causar una denegación de servicio, debido a un consumo excesivo de memoria, a través de una aplicación especialmente manipulada.

CVE-2010-4263: Existe una dereferencia a puntero nulo en el driver igb que podría ser aprovechada por un atacante remoto para causar una denegación de servicio a través del envio de un paquete VLAN a una interfaz que use dicho driver.

CVE-2010-4525: Existe un error al no inicializar el campo kvm_vcpu_events.interrupt.pad. Esto podría ser aprovechado por un atacante local para obtener información sensible a través de vectores no especificados.

CVE-2010-4668: Existe un error en la función ‘blk_rq_map_user_iov’ localizada en ‘block/blk-map.c’ que podría ser aprovechado por un atacante remoto para causar una denegación de servicio a través de una llamada ioctl especialmente manipulada con el valor de longitud 0.

Esto es una regresión relacionada con CVE-2010-4163

Se recomienda actualizar a través de YUM o del agente de actualización de Red Hat

Fuente

=-=-=-=-=
Powered by Blogilo

Ejecución de código en VLC a través de ficheros Real Player

07/01/2011

Existe un error de desbordamiento de memoria intermedia en el reproductor VLC. Este fallo se produce al procesar la cabecera de un archivo de Real Player y permite la ejecución de código.

VLC Media Player es un completo reproductor multimedia que soporta un gran número de formatos, como pueden ser: MP3, MPEG, DIVX, VCD o DVD entre otros, así como varios protocolos de streaming. Además está disponible para un amplio número de plataformas distintas como Windows, Mac OS X y para varias distribuciones de Linux. VLC también puede ser utilizado como servidor en unicast o multicast, en IPv4 o IPv6. Dispone de un plug-in para Firefox que permite ver algunos archivos Quicktime y Windows Media desde páginas web sin necesidad de utilizar los reproductores oficiales de Apple o Microsoft.

Esta vulnerabilidad, a la que se le ha asignado el CVE CVE-2010-3907, permite ejecutar código a través de un fichero Real Player especialmente diseñado.

VLC ha solucionado este error en la versión 1.1.6, aunque todavía no está disponible en la página oficial de descarga.

Como contramedida se aconseja desactivar los plugins del navegador o renombrar o eliminar los ficheros del tipo ‘libreal_plugin.*’ de la carpeta ‘plugins’ en el directorio de instalación.

Fuente

=-=-=-=-=
Powered by Blogilo