Mozilla publica 8 boletines de seguridad para Firefox, Thunderbird y SeaMonkey

Mozilla, publicó hace unos días un total de 8 boletines de seguridad que solucionan doce vulnerabilidades que afectan a sus productos Firefox, Thunderbird y SeaMonkey.

De estos boletines, cinco solucionan vulnerabilidades consideradas críticas y el resto vulnerabilidades consideradas moderadas.

Las correcciones vienen implementadas en las siguientes versiones: Firefox 11.0, Firefox ESR 10.0.3, Firefox 3.6.28, Thunderbird 11.0, Thunderbird ESR 10.0.3, Thunderbird 3.1.20 y SeaMonkey 2.8, las cuales pueden ser descargadas desde la página web de Mozilla.

Como suele suceder en estos casos, los tipos de vulnerabilidades incluyen: escalada de privilegios, cross-site scripting, etc...

Podéis obtener más información en inglés, pinchando en el nombre asignado a cada boletín:

MFSA 2012-12

MFSA 2012-13

MFSA 2012-14

MFSA 2012-15

MFSA 2012-16

MFSA 2012-17

MFSA 2012-18

MFSA 2012-19

Apple corrige 81 vulnerabilidades en iOS 5.1

Todos aquellos usuarios Apple, habrán notado en los últimos días que sus teléfonos o tabletas les han advertido de una nueva actualización del Sistema Operativo que llevaban instalado y cuya descarga era de 177Mb: la versión iOS 5.1 y que afecta a iPhone 3GS, 4, 4S, iPod Touch, iPad e iPad2.

En total, en estos 177Mb encontramos nada más y nada menos que ¡¡81 actualizaciones de seguridad!!, vulnerabilidades o fallos que seguridad de los más diversos: denegaciones de servicio, ejecución de código arbitrario, revelación de información sensible del usuario a un atacante remoto en el caso de entrar a una página web especialmente manipulada, etc...

Por tanto, si tienes alguno de los sistemas de Apple, que funcionen bajo iOS 5 y todavía no te has actualizado, mi recomendación es que lo hagas a la mayor brevedad posible... o puedes hacer como recomendaban los chicos de Blackberry en el artículo anterior: limitar el uso del navegador.

Aunque en este caso, quizás también deberías limitar el uso del teléfono, en especial de las funciones relacionadas con acceso por VPN, Siri, etc...

Grave vulnerabilidad en Blackberry a través de WebKit

En esta ocasión, me hago "eco" una vez más de una noticia publicada recientemente por los chicos de hispasec, en la que se informa de una grave vulnerabilidad en los dispositivos Blackberry que usan WebKit como motor del navegador y que se mostró en la conferencia de seguridad RSA celebrada a finales de febrero en San Francisco.

Desde Blackberry se ha confirmado que el fallo se produce en las gamas 6 y 7 de Blackberry OS y en Blackberry PlayBook, siendo especialmente grave en este último caso, ya que a diferencia de lo que ocurre en BlackBerry OS, en PlayBook, Webkit es usado por muchas aplicaciones, quedando de esta forma todas ellas expuestas ante un ataque: por ejemplo, el lector de correo a través de un email en formato HTML.

Los modelos que se han visto afectados son: Blackberry PlayBook, Blackberry Bold 9650, 9700, 9780, 9790, 9900 y 9930. Blackberry Curve 9300 (3G), 9330 (3G), 9350, 9360, 9370 y 9380, Blackberry Pearl 9100 (3G) Series. Blackberry Torch 9800, 9810, 9850 y 9860.

Sin embargo, a día de hoy, no se ha ofrecido una corrección efectiva de la vulnerabilidad, aunque sí varios consejos a administradores de los Servidores Empresariales BlackBerry para que puedan forzar que todo el tráfico del navegador en la organización, se realice mediante el uso del servicio de conexión MDS de Blackberry para restringir el acceso mediante el navegador solamente a sitios confiables.

El malware de la policía aprovecha un exploit de Java

Tras muchos días sin poder escribir en el blog, voy a intentar durante este fin de semana recoger las noticias más importantes relacionadas con la seguridad durante estos días, empezando por el famoso "virus de la policía" y cuya foto aparece en la imágen (recogida de hispasec.com), fuente por otra parte, de esta noticia.

Este malware está consiguiendo muchísima notoriedad en los medios de comunicación debido al uso de los cuerpos de seguridad de los diferentes estados para asustar a los usuarios infectados.

Desde hispasec, han realizado una profunda investigación sobre la raíz del problema, confirmando finalmente que se está usando una vulnerabilidad en Java para conseguir ejecutar código.

Esta vulnerabilidad, que desencadena todo el proceso, se está utilizando ampliamente en kits de explotación de vulnerabilidades.

Para detener el ataque, los antivirus podrían haber detectado en primera instancia el intento de infección y en segunda el ejecutable en sí. En ambos estadios del ataque, los niveles de detección de firmas han resultado insuficientes.

Por tanto, en estos momentos, actualizar los sistemas (en especial Java) es extremadamente importante para protegerse.

Microsoft publica 9 boletines de seguridad

Este Martes se publicaron 9 boletines de seguridad por parte de Microsoft, concretamente los que van desde el MS12-008 al MS12-016, de los cuales han sido calificados como de gravedad "crítica" y el resto como "importantes", solucionando 21 vulnerabilidades.

MS12-008: Boletín "crítico" corrige dos vulnerabilidades en los controladores en modo kernel de Windows que puede permitir la ejecución remota de código. Afecta a Windows XP, 2003 Server, Vista, 2008 Server y Windows 7.

MS12-009: Presenta un nivel de gravedad "importante" y la vulnerabilidad que resuelve afecta a Windows XP, Windows 7 y Windows Server 2003 y 2008.

MS12-010: Actualización acumulativa de IE que soluciona cuatro vulnerabilidades que pueden permitir la ejecución de código arbitrario de forma remota, afectando a IE 6,7,8 y 9.

MS12-011: Soluciona tres vulnerabilidades en Microsoft Sharepoint y Microsoft Sharepoint Foundation Este boletín ha sido valorado como "importante". 

MS12-012: Boletín "importante" que resuelve una vulnerabilidad en el panel de control. Afecta a Windows Server 2008.

MS12-013: Boletín "crítico". Corrige también una vulnerabilidad de ejecución de código remota si un usuario abre un archivo multimedia específicamente creado. Afecta a Vista, 7 y 2008.

MS12-014: Corrige una vulnerabilidad en el códec Indeo. Presenta un nivel de gravedad "importante" y afecta a todos los sistemas Windows.

MS12-015: Boletín "importante" que resuelve cinco vulnerabilidades en Microsoft Office.

MS12-016: Valorado como "crítico", este boletín soluciona dos vulnerabilidades en Microsoft .NET  Framework y Microsoft Silverlight.

Podéis consultar más acerca de estos boletines en TechNet.  

Usan la imágen de la Agencia Tributaria para una campaña de phising

El Instituto Nacional de Tecnologías de la Comunicación (INTECO) ha alertado sobre una serie de correos electrónicos que se están enviando falseando la imágen de la Agencia Tributaria, incluidos colores, logotipo, etc...

En el correo, se le pide a los usuarios una serie de datos para realizarle una falsa devolución de impuestos.

Entre los datos que piden está el número de cuenta (obviamente para poder hacer el ingreso de la devolución) que además pueden usar para sustraer dinero al usuario sin consentimiento de este.

Por tanto, ¡¡mucho cuidado!!. Si os llega un correo con el logotipo de la Agencia Tributaria y del Gobierno de España, pidiendo vuestros datos para una supuesta devolución de impuestos, ni caso.

Google Wallet: un riesgo para la seguridad

Si ayer hablaba de otro problema (uno más) con Android, hoy sale a la luz desde Security Magazine que investigadores de seguridad han encontrado un problema de seguridad en la plataforma de pago móvil Google Wallet, la cual está disponible para teléfonos vendidos por Sprint Nextel Corp.

Los servicios de pago móviles que permiten a los usuarios pagar mediante el empleo de un teléfono y un terminal en lugar de usar tarjetas de crédito, ha sido aplicado desde hace tiempo en Japón y otros países, pero está empezando a aplicarse en los Estados Unidos.

La vulnerabilidad fue identificada por Joshua Rubin, un ingeniero senior de una firma de seguridad de Greenwood Village, Colorado, quien ha desarrollado una aplicación que permite crackear los 4 dígitos del PIN que se necesita para lanzar Google Wallet, tal y como se puede apreciar en este vídeo: bit.ly/zgO2L6.

Google ha dicho que están trabajando en una solución y que recomiendan que mientras tanto, no se use Google Wallet en dispositivos "rooted".