Archive for 29 noviembre 2010

Actualización del kernel para Debian Linux 5.x

29/11/2010

Debian ha publicado una actualización del kernel 2.6.x, que soluciona un total de 31 CVE. Las vulnerabilidades podrían permitir a un atacante llegar a elevar privilegios, causar una denegación de servicio u obtener información sensible.

Esta es la octava actualización del kernel en lo que va de año y la que incluye un mayor número de correcciones. A continuación se detallan los CVE y un resumen de la vulnerabilidad.

CVE-2010-4164: Existe una falta de comprobación de límites en la función ‘x25_parse_facilities’ localizada en ‘net/x25/x25_facilities.c’ que podría causar un desbordamiento de enteros. Esto podría ser aprovechado por un atacante remoto para causar una denegación de servicio a través de una llamada a la función ‘x25_parse_facilities’ especialmente manipulada.

CVE-2010-4083: Un error en las llamadas al sistema semctl, al no inicializar la pila de memoria, podría permitir a un atacante acceder a información sensible.

CVE-2010-4080: Un fallo en el driver ALSA para dispositivos de audio ‘RME Hammerfall DSP’, podrían permitir a atacantes locales acceder a información sensible a través de la llamada al sistema SNDRV_HDSP_IOCTL_GET_CONFIG_INFO.

CVE-2010-4081: Un fallo en el driver ALSA para dispositivos de audio ‘RME Hammerfall DSP MADI’, podría permitir a atacantes locales acceder a información sensible a través de una llamada al sistema SNDRV_HDSP_IOCTL_GET_CONFIG_INFO.

CVE-2010-4079: Un fallo en el driver ‘ivtvfb’ usados por el dispositivo ‘Hauppauge PVR-350’, podría permitir a un atacante local obtener información sensible a través de una llamada al sistema FBIOGET_VBLANK.

CVE-2010-2963: Existe un error en la llamada a ‘copy_from_user’ localizada en ‘drivers/media/video/v4l2-compat-ioctl32.c’ que no comprueba la memoria de destino. Esto podría ser aprovechado por un atacante local que tenga acceso al dispositivo v4l para escribir en una parte del kernel aleatoria y elevar privilegios.

CVE-2010-3067: Existe un error de desbordamiento de entero en la función ‘do_io_submit’ en ‘fs/aio.c’. Esto podría ser aprovechado por un atacante local para causar una denegación de servicio a través de llamadas especialmente diseñadas a ‘io_submit’.

CVE-2010-3297: Existe un error al no ser modificada o inicializada a cero la variable ‘master_name’ antes de ser devuelta al usuario en la función ‘eql_g_master_cfg’ del fichero ‘/drivers/net/eql.c’. Un atacante local sin privilegios podría leer hasta 16 bytes de memoria no inicializada a través de vectores no especificados.

CVE-2010-3310: Se ha encontrado un fallo de comprobación de signo en las funciones ‘rose_bind’ y ‘rose_connect’ del ‘fichero net/rose/af_rose.c’. Esto podría ser aprovechado por un atacante local para eludir la comprobación de límites de memoria y provocar una denegación de servicio. Para que el sistema sea vulnerable debe disponer de un dispositivo ROSE.

CVE-2010-3296: Existe un error al no ser modificada o inicializada a cero la variable ‘addr’ antes de ser retornada al usuario en la función ‘cxgb_extension_ioctl’ del fichero ‘/drivers/net/cxgb3/cxgb3_main.c’. Esto podría ser aprovechado por un atacante local sin privilegios para leer hasta 4 bytes de memoria no inicializada a través de vectores no especificados.

CVE-2010-3432: Existe un error en el manejador de trozos de paquetes en la función ‘sctp_packet_config’ localizada en ‘b/net/sctp/output.c’ que podría causar un desbordamiento de memoria intermedia. Esto podría ser aprovechado por un atacante remoto para causar una denegación de servicio a través de vectores no especificados.

CVE-2010-3437: Existe un error en la función ‘pkt_find_dev_from_minor’ al usar como parámetro un entero sin signo para obtener un puntero a un dispositivo ‘pktcdvd_device’ desde el array ‘pkt_devs’. Esto podría ser usado por un atacante local para obtener partes arbitrarias de la memoria del kernel o causar una denegación de servicio a través de un valor entero especialmente manipulado.

CVE-2010-3442: Existe un error de desbordamiento de entero en la función ‘snd_ctl_new’ de ‘sound/core/control.c’. Un atacante local podría causar una denegación de servicio y potencialmente elevar privilegios a través de vectores no especificados.

CVE-2010-3477: Existe un error en la función ‘tcf_act_police_dump’ de ‘net/sched/act_police.c’ al no inicializar correctamente ciertas estructuras. Esto podría ser usado por un atacante local para obtener información sensible a través de un volcado de memoria.

CVE-2010-3448: Existe un error que bloquea el acceso al estado de la salida de audio en los ficheros ‘drivers/platform/x86/Kconfig’ y ‘drivers/platform/x86/thinkpad_acpi.c’ que podría ser aprovechado por un atacante local para causar una denegación de servicio a través de la lectura de ‘/proc/acpi/ibm/video’.

CVE-2010-3705: Existe un error procesando una autenticación HMAC en la función ‘sctp_auth_asoc_get_hmac’ localizada en ‘/net/sctp/auth.c’ que podría causar que la memoria se corrompa. Esto podría ser aprovechado por un atacante remoto para causar una denegación de servicio a través de un paquete especialmente manipulado.

CVE-2010-3848: Existe un desbordamiento de memoria intermedia basado en pila en el protocolo Econet. Esto podría ser aprovechado por un atacante local para causar una denegación de servicio y potencielmente elevar privilegios a través de un valor muy alto en ‘msg->msgiovlen’

CVE-2010-3849: Existe un error de comprobación de restricciones en la función ‘sendmsg’ del protocolo Econet. Esto podría ser aprovechado por un atacante local para causar una denegación de servicio a través de una llamada a la función ‘sendmsg’ con el valor dirección remota instanciado a NULL.

CVE-2010-3850: Existe un error de comprobación de restricciones en el protocolo Econet que podría ser aprovechado por un atacante remoto para asignar direcciones econet a interfaces arbitrarias a través de vectores no especificados.

CVE-2010-3859: Existe un error al cargar el módulo tipc que podría ser aprovechado por un atacante local para elevar privilegios a través de una llamada a ‘sendmsg’ especialmente diseñada.

CVE-2010-3858: Existe un error de comprobación de límites en la función ‘setup_arg_pages’ que podría ser aprovechado por un atacante local para causar una denegación de servicio a través de una llamada especialmente diseñada a la función ‘setup_arg_pages’.

CVE-2010-3873: Existe falta de comprobación en la función ‘x25_parse_facilities’ localizada en ‘net/x25/x25_facilities.c’ que podría provocar que la memoria se corrompa. Esto podría ser aprovechado por un atacante remoto para causar una denegación de servicio, y potencialmente, ejecutar código arbitrario a través de una llamada a la función ‘x25_parse_facilities’ especialmente manipulada.

CVE-2010-3874: Existe un desbordamiento de memoria intermedia basado en heap en el subsistema CAN (Control Area Network) en sistemas de 64-bits que podría ser aprovechado por un atacante local para causar una denegación de servicio a través de vectores no especificados.

CVE-2010-3875: Existe un error en la función ‘ax25_getname’ localizada en

‘net/ax25/af_ax25.c’ al leer memoria de la pila no inicializada. Esto

podría ser aprovechado por un atacante local para revelar información sensible a través de vectores no especificados.

CVE-2010-3876: Existe un error en la función ‘packet_getname_spkt’ localizada en ‘net/packet/af_packet.c’ al inicializar la estructura sockaddr si la longitud de la variable dev->name es menor de 13. Esto podría ser aprovechado por un atacante local para revelar información sensible a través de vectores no especificados.

CVE-2010-3877: Existe un error en el protocolo TIPC al copiar en el espacio de usuario la estructura ‘sockaddr_tipc’ localizada en ‘net/tipc/socket.c’. Esto podría ser aprovechado por un atacante local para revelar información sensible a través de vectores no especificados.

CVE-2010-3880: Existe un error de comprobación de restricciones en el subsistema ‘INET_DIAG’ que podría ser aprovechado por un atacante local para causar una denegación de servicio a través de la ejecución de ‘INET_DIAG’.

CVE-2010-4072: Existe un error al leer memoria no inicializada en el subsitema ‘System V shared memory’ en el fichero ‘ipc/shm.c’ que podría ser aprovechado por un atacante local para revelar información sensible a través de vectores no especificados.

CVE-2010-4073: Existe un error al leer memoria no inicializada en el subsistema ‘System V shared memory’ en el fichero ‘ipc/compat.c’ y ‘ipc/compat_mq.c’ que podría ser aprovechado por un atacante local en un sistema de 64-bits para revelar información sensible a través de una llamada a la función ‘semctl’ especialmente diseñada.

CVE-2010-4078: Existe un error al no inicializar la estructura fb_vblank en el driver del framebuffer ‘sisfb’ localizada en ‘drivers/video/sis/sis_main.c’. Esto podría ser aprovechado por un atacante local para revelar información sensible a través de una llamada de sistema ‘FBIOGET_VBLANK’ especialmente diseñada.

Se recomienda actualizar a través de las herramientas automáticas

apt-get.

=-=-=-=-=
Powered by Blogilo

Anuncios

Cuenta regresiva para que se terminen las direcciones IPv4

25/11/2010

"Una dirección IP es una etiqueta numérica que identifica, de manera lógica y jerárquica, a una interfaz (elemento de comunicación/conexión) de un dispositivo (habitualmente una computadora) dentro de una red que utilice el protocolo IP (Internet Protocol), que corresponde al nivel de red del protocolo TCP/IP. Dicho número no se ha de confundir con la dirección MAC que es un número hexadecimal fijo que es asignado a la tarjeta o dispositivo de red por el fabricante, mientras que la dirección IP se puede cambiar. Esta dirección puede cambiar 2 ó 3 veces al día; y a esta forma de asignación de dirección IP se denomina dirección IP dinámica (normalmente se abrevia como IP dinámica)." Fuente: Wikipedia

http://ipv6.he.net/v6ac/v6ac.swf

=-=-=-=-=
Powered by Blogilo

GNU Screen

23/11/2010

GNU Screen es una terminal virtual que permite a los usuarios acceder a multiples sesiones dentro de una sola terminal o sesion remota, lo que voy a mostrarles especificamente es como poder conectarse a una terminal remota, lanzar un proceso (por ejemplo descargar un archivo remotamente de 1Gb), cerrar la terminal e irnos. Mas tarde volver a loguearnos remotamente y volver al proceso que abandonamos previamente.

Esto es muy util para dejar procesos ejecutandose de manera desatendida y no tener que estar delante de la maquina todo el tiempo.

  1. Como primer paso tenemos que loguearnos en la maquina remota:
    Code:
    [vampird@sharwyn]:~$ ssh host

    En post anteriores explique como usar correctamente ssh, asi que leelo si no entiendes el comando

  2. Una vez que pasamos el login, ejecutamos screen
  3. Corremos screen, simplemente tipeando el comando. Nos va a tirar una leyenda. Presionando [Enter] nos saca la leyenda y volvemos al modo comando nuevamente.
  4. Hacemos lo que tenemos que hacer, por ejemplo descargamos el archivo gigante, o nos ponemos a compilar eso que necesitamos, en fin no importa. Cuando crean conveniente y tengan la necesidad de desconectarse de la terminal pero sin matar el proceso que estan corriendo, presionan Control + a + d
    Esto hará un “detach” del screen. con lo cual estamos en condiciones de hacer un “exit” de la terminal remota.
  5. Cuando volvemos a la pc y tengamos ganas de ver como va todo, simplemente luego de loguearnos ponemos el comando:
    Code:
    [vampird@sharwyn]:~$ screen +rx

    y volvera al proceso que dejamos corriendo, asi de facil.

  6. Cuando culmine el proceso y querramos salir de screen simplemente ponemos exit.

Para abrir y manejar multiples sesiones las podemos nombrar durante la creacion, para eso usamos el comando screen -R nombre y para retomarla lo volvemos a escribir

Aca hay otras teclas importantes y utiles:

  • CTRL-a c: nueva terminal.
  • CTRL-a p y CTRL-a n: se mueve entre la terminal previa y la siguiente.
  • CTRL-a N: cambia a la terminal correspondiente al num N.
  • CTRL “: Muestra una lista de las terminales.
  • CTRL-a A: Permite cambiar el nombre de una terminal.
  • CTRL-d: Cierra una terminal. Si era la ultima se va de screen.
  • CTRL-a d: Hace un detach. Permitiendo volver a conectarse. Incluso desdpués de haber hecho un logout.

=-=-=-=-=
Powered by Blogilo

Adobe publica la versión X de Reader

23/11/2010

Adobe ha publicado una nueva versión de su lector de archivos pdf. Se trata de una completa renovación con interesantes novedades en el apartado de seguridad.

Si hacemos una simple búsqueda en cualquier base de datos de vulnerabilidades, sin duda, encontraremos al Reader de Adobe en los primeros puestos de los resultados. Reader ha sido el blanco de investigadores de seguridad y creadores de malware desde que hace unos años se abriese la veda a la caza y captura de la brecha que permitiese romper, una vez más, su seguridad. Desde entonces a Adobe le han llovido las críticas, algunas incluso declarando desahuciado al propio formato pdf.

Sin duda la característica estrella es el modo protegido o más concretamente, la adición de una sandbox que aislará a Reader del sistema, impidiendo o limitando el impacto de un ataque en caso de explotación.

Los equipos de Adobe llevan trabajando varios meses en este modelo conjuntamente con los equipos de seguridad de Microsoft Office y Google Chrome entre otros. Equipos con experiencia en la implementación de este modelo en sus respectivos productos.

El modo protegido vendrá activado por defecto y causará que Reader se ejecute en un entorno de mínimos privilegios. Cualquier acción potencialmente peligrosa será conducida a través de un proceso denominado ‘Broker’ con la capacidad de filtrarlas. La sandbox no impedirá la explotación de vulnerabilidades (no es su misión principal) pero mitigará sus efectos como línea defensiva.

En comparación, con Reader 9 explotar una vulnerabilidad tan solo requería evadir DEP, y si Reader se estaba ejecutando con privilegios de administrador la explotación exitosa resultaría en resultados fatales. Ahora, con Reader X, se ha de hallar una brecha en la sandbox, evadir protecciones, explotar una vulnerabilidad en el proceso ‘Broker’, volver a evadir protecciones y elevar privilegios ya que dicho proceso, como se ha comentado, corre con derechos restringidos.

Naturalmente, esto no quiere decir que ni se dejen de encontrar fallos, ni que éstos dejen de ser explotables, pero sin duda va a representar un nuevo aliciente o reto franquear esta nueva frontera (como ya se han hecho con otras) para aquellos que buscan la sensación de ver aparecer a la calculadora de Windows por el escritorio llamada desde donde no debiera.

El tiempo nos dirá si esta nueva etapa permite llevar la tranquilidad a los usuarios y sacar a Adobe de los titulares en la sección de seguridad.

De momento Reader X se ha publicado en su versión inglesa, se espera que próximamente se publiquen en el resto de idiomas habituales.

=-=-=-=-=
Powered by Blogilo

Dos vulnerabilidades en Wireshark

22/11/2010

Se han anunciado dos vulnerabilidades en Wireshark versiones 1.4.0 a 1.4.1 y 1.2.0 a 1.2.12.

Wireshark (aún conocido como Ethereal, su nombre anterior) es una aplicación de auditoría orientada al análisis de tráfico en redes. Su popularidad es muy elevada, puesto que soporta una gran cantidad de protocolos y es de fácil manejo. Además Wireshark es software libre (sujeto a licencia GPL) y se ejecuta sobre la mayoría de sistemas operativos Unix y compatibles, así como en Microsoft Windows.

El primero de los problemas, reside en un desbordamiento de búfer en el disector LDSS al procesar líneas de resumen de gran longitud, un atacante podría aprovechar este problema para ejecutar código arbitrario. La segunda vulnerabilidad es una denegación de servicio debida a un bucle infinito en el disector ZigBee ZCL.

Se recomienda actualizar a Wireshark 1.4.2 o 1.2.13 desde:

http://www.wireshark.org/download.html

=-=-=-=-=
Powered by Blogilo

Chrome es el navegador con mayor número de vulnerabilidades graves (en 2010)

19/11/2010

La compañía Bit9, en un pequeño estudio, ha contado (y sólo contado) el número de vulnerabilidades graves en doce programas muy populares destinados al usuario. El navegador con menor número de fallos registrados en 2010 es Opera (6), seguido de Internet Explorer (32) y Firefox (51).

Bit9 se ha limitado a buscar en la base de datos pública de NIST (http://nvd.nist.gov) el número de vulnerabilidades graves archivadas para cada software. Ha contabilizado las publicadas entre el 1 de enero y el 21 de octubre de 2010. Consideran graves las vulnerabilidades cuyo valor estándar CVSS (Common Vulnerability Scoring System) es mayor que 7.

Este es el resultado:

  • Google Chrome (76 vulnerabilidades graves)
  • Apple Safari (60 vulnerabilidades graves)
  • Microsoft Office (57 vulnerabilidades graves)
  • Adobe Reader y Acrobat (54 vulnerabilidades graves)
  • Mozilla Firefox (51 vulnerabilidades graves)
  • Sun Java Development Kit (36 vulnerabilidades graves)
  • Adobe Shockwave Player (35 vulnerabilidades graves)
  • Microsoft Internet Explorer (32 vulnerabilidades graves)
  • RealNetworks RealPlayer (14 vulnerabilidades graves)
  • Apple WebKit (9 vulnerabilidades graves)
  • Adobe Flash Player (8 vulnerabilidades graves)
  • Apple QuickTime (6 vulnerabilidades graves) y Opera (6 vulnerabilidades graves)

El estudio se queda ahí, y no pretende ir mucho más allá. Lógicamente, evaluar la seguridad integral de un producto involucraría muchas otras variables. Desde la velocidad de parcheo hasta el nivel de explotación de las vulnerabilidades, pasando por lo "hipotético" de una explotación real (que culmine en ejecución de código) de estas vulnerabilidades. Tampoco hay que olvidar que en teoría nada impide a Microsoft, por ejemplo, ocultar vulnerabilidades y solucionarlas de forma "silenciosa" (mientras que con software libre, a la larga, esto no sería posible). En la práctica, pensamos que no es una circunstancia habitual, dado el interés de los atacantes en descubrir fallos ocultos.

En este sentido, aunque los resultados del informe le sean favorables, Internet Explorer es el más atacado. Ciñéndose a los números, es el navegador (de entre Chrome, Safari y Firefox) con menor número de fallos graves. Pero esta "cualidad" no luce demasiado cuando sus fallos son, de lejos, los más explotados, mediáticos, deseados y aprovechados por atacantes. Igual ocurre con Adobe. Poco importa que en este estudio ocupe el cuarto puesto en número de vulnerabilidades. Durante los dos últimos años ha sido muy atacado y ha gestionado muy mal su seguridad: En cuestión de inseguridad "global", es el primero.

=-=-=-=-=
Powered by Blogilo

Actualizaciones de seguridad para Adobe Reader y Acrobat

19/11/2010

No logro entender como hay gente que sigue usando productos de Adobe… pero en fin

Adobe ha publicado una actualización para corregir dos vulnerabilidades críticas en Adobe Reader y Acrobat en diferentes plataformas, que podrían permitir a un atacante ejecutar código con los permisos con los que se lance la aplicación afectada.

Las versiones afectadas son Adobe Reader 9.4 (y anteriores) para Windows, Macintosh y UNIX; y Adobe Acrobat 9.4 (y versiones 9.x anteriores) para Windows y Macintosh.

Las vulnerabilidades corregidas residen en dos problemas diferentes de corrupción de memoria que pueden dar lugar a la ejecución de código arbitrario.

Adobe recomienda a los usuarios de Reader y Acrobat la actualizaciones a las versiones recientemente publicadas empleando la opción de actualización automática de los productos o bien descargándolas desde la propia web de Adobe: http://www.adobe.com/downloads/ o http://get.adobe.com/es/reader/

=-=-=-=-=
Powered by Blogilo

Actualización del kernel para SuSE Linux Enterprise 11

16/11/2010

SuSE ha publicado la actualización del kernel para SuSE Linux Enterprise Server y Desktop en su versión 11 SP1 en la que se corrigen tres vulnerabilidades de escalada de privilegios.

Los problemas corregidos están relacionados con los sockets RDS y con video4linux, en todos los casos podrían permitir a un atacante local la obtención de privilegios de root.

Se recomienda actualizar a la última versión del kernel, disponible a

través de la herramienta automática YaST.

=-=-=-=-=
Powered by Blogilo

Para no perder la costumbre… Tres vulnerabilidades en Adobe Flash Media Server

16/11/2010

Se han anunciado tres nuevas vulnerabilidades críticas en Adobe Flash Media Server 4.0 (y anteriores). Un atacante remoto podría emplear estos fallos para provocar condiciones de denegación de servicio o llegar a ejecutar código arbitrario en los sistemas afectados.

Concretamente, los problemas afectan a Adobe Flash Media Server (FMS) 4.0 (y versiones anteriores), Adobe Flash Media Server 3.5.3 (y versiones anteriores), y Adobe Flash Media Server (FMS) 3.0.6 (y versiones anteriores) para Windows y Linux.

Existen dos vulnerabilidades de denegación de servicio, una por fuga de memoria y otra por un error en el tratamiento de procesos. Una tercera vulnerabilidad más grave reside en un fallo de segmentación que podría dar lugar a la ejecución de código arbitrario en los sistemas afectados.

Adobe ha publicado las versiones 4.0.1, 3.5.5 y 3.0.7 que corrigen estos problemas disponible desde:

http://www.adobe.com/support/flashmediaserver/downloads_updaters.html

=-=-=-=-=
Powered by Blogilo

Lecciones animadas acerca de cryprografia

11/11/2010

Navegando el otro dia encontre la web de intypedia, y me resultaron interesantes los videos que suben ahi acerca de cryptografia

=-=-=-=-=
Powered by Blogilo