Suscribete a Mi Canal en YOUTUBE ==> da CLIC AQUÍ

Canal netamente académico donde se enseñará como atacan los ciberdelincuentes y como protegerse de estos ataques.

No me hago responsable del mal uso de los conocimientos adquiridos. Por Favor, Siempre ÉTICOS !

miércoles, 30 de diciembre de 2015

Los diez ciberataques más alarmantes de 2015.


Ni siquiera datos tan personales como nuestras huellas dactilares han escapado este año a los ciberataques. El 2015 llega a su fin dejando tras de sí una certeza: cuantos más dispositivos haya en nuestras vidas, más necesaria será la seguridad.
panda_securty_ciberataques_2015_bug
Al fin y al cabo, los ciberdelincuentes han demostrado a lo largo del año ser capaces de descubrir y aprovechar cualquier vulnerabilidad para hacerse con nuestros datos o controlar nuestros dispositivos en los que han sido los ciberataques más dañinos y preocupantes de 2015.
Robo de huellas dactilares
Si las huellas dactilares son ya uno de los métodos de seguridad biométricos más abrazados por la tecnología (sin ir más lejos, es el método de desbloqueo de los iPhone), el robo de datos de la administración de los empleados del gobierno estadounidense demuestra que el sistema no es seguro.
Un grupo de ciberdelincuentes se hizo el pasado mes de junio con las huellas dactilares de cerca de seis millones de trabajadores federales, una información con la que sus móviles (y quién sabe si la seguridad del país) podrían correr peligro.
panda_securty_ciberataques_2015_huella
Control remoto de coches inteligentes
Otro de los grandes retos de la ciberseguridad pasa por los coches inteligentes. Mientras, estos vehículos del futuro siguen teniendo una vertiente vulnerable. El pasado verano, dos ‘hackers’ demostraron que era posible aprovechar los fallos del ordenador de a bordo del Jeep Cherokee para llegar a manipularlo, controlando incluso el motor y los frenos a distancia.
Mil millones de Android comprometidos
No todas las vulnerabilidades en lo que a seguridad informática se refiere llegan de la mano de aparatos modernos o herramientas revolucionarias, sino que incluso los ‘smartphones’ han protagonizado un escándalo en este 2015: en concreto, cerca de 1.000 millones de dispositivos con Android se vieron afectados por Stagefright, un fallo de seguridad que habría permitido a los cibercriminales acceder a cualquier teléfono Android y controlarlo sin que los usuarios lo supieran.
Millones de infidelidades, al descubierto
El gran escándalo del año en el mundo de la ciberseguridad llegó de la mano de Ashley Madison y la filtración de los datos de sus 32 millones de usuarios. De este terremoto se sacaron un buen puñado de lecciones que todos, plataformas y usuarios, deberían tener presentes de cara al futuro.
panda_securty_ciberataques_2015_ashley_madison
Una bomba hospitalaria vulnerable
La salud de los seres humanos también está en riesgo por culpa de dispositivos vulnerables. No solo porque un coche inteligente pueda ser manipulado y sufrir un accidente, sino porque este año una bomba hospitalaria utilizada para suministrares a los pacientes sus medicamentos de forma informatizada se tuvo que retirar. Al estar conectada a la red de los hospitales, algún ciberdelincuente podría haber accedido a ella, manipularla y cambiar su configuración con consecuencias catastróficas.
Gasolineras en peligro
Los surtidores de las gasolineras también son vulnerables. Una investigación determinó que en España no pocas estaciones de servicio corren riesgos, y al otro lado del charco sucede lo mismo: al estar conectados a una red, los surtidores pueden ser atacados, e incluso un ciberdelincuente podría llegar a hacer explotar uno de ellos a distancia.
El año negro de Apple
Este 2015 ha sido el peor año para la firma de la manzana mordida en lo que a seguridad se refiere. Los ciberataques sufridos por sus dispositivos han multiplicado por cinco a los del año anterior y alguna que otra vulnerabilidad ha salido a la luz. Es el caso de Dyld, un ‘bug’ descubierto el pasado verano y que afectaba al sistema operativo de sus Mac OS X.
panda_securty_ciberataques_2015_apple
Datos robados a un tercero
Los 15 millones de clientes de la operadora T-Mobile vieron cómo sus datos eran robados por un grupo de ciberdelincuentes. Según la compañía, la información de los últimos dos años habría sido sustraída, pero no de sus propios servidores, sino que el robo lo sufrió un tercero: la compañía con la que T-Mobile gestiona los pagos y créditos a sus clientes.
Robo de datos a través del navegador
Efectivamente, los grandes nombres de la tecnología no se han librado este año de los escándalos por poner en riesgo la seguridad de sus usuarios. Es el caso de Firefox, que tuvo que advertir a los internautas el pasado verano de que un fallo en el navegador hacía que los ciberdelincuentes pudieran buscar y robar archivos de un equipo sin que nadie se percatase de ello.
Un mal fin de año para Dell
El último gran escándalo tuvo lugar el pasado mes, cuando se descubrió que los últimos modelos de los ordenadores Dell escondían en su interior un grave fallo de seguridad. Gracias a esta vulnerabilidad, los ciberdelincuentes podrían alterar la comunicación entre varios ordenadores y robar datos de los equipos afectados.

______________________________________________________________
Tomado de: http://www.pandasecurity.com/spain/mediacenter/seguridad/los-diez-ciberataques-mas-alarmantes-de-2015/
Se Respetan Derechos de Autor.

SHA-1, un Algoritmo Inseguro.

Google se plantea la eliminación de los certificados SHA-1 antes de tiempo.

Internet se mejora día a día. Cada vez son mayores las amenazas a las que se enfrentan los usuarios que se conectan a Internet, especialmente cuando hacemos referencia a sus datos y a la privacidad. Por ello, es de vital importancia utilizar conexiones seguras que eviten que, mientras intercambiamos información con distintos servidores, estos puedan caer en manos de usuarios no autorizados como piratas informáticos que puedan hacer mal uso de ellos.

A la hora de establecer conexiones seguras con servidores de páginas web o diferentes plataformas se utilizan certificados criptográficos. Existen muchos tipos de certificados diferentes que, según pasa el tiempo, van siendo más sencillos de crackear (debido al aumento de las técnicas de hacking y a la potencia de los equipos informáticos) así como pueden aparecer diferentes vulnerabilidades que permita a usuarios no autorizados descifrar la información protegida por estos certificados. Por ello, cuando un certificado se considera como inseguro, es habitual que los gigantes de Internet empiecen a rechazarlos, evitando establecer conexiones a través de ellos.

El próximo algoritmo que está en el punto de mira es SHA-1. Este algoritmo, creado por la NSA en 1995, ha sido considerado como inseguro por varios expertos de seguridad, quienes empezaron a recomendar su abandono a favor de otras opciones más robustas como SHA-2 con el fin de evitar que los datos de los usuarios pudieran verse comprometidos. En un principio, Google tenía previsto configurar su navegador Google Chrome para rechazar las conexiones seguras que utilizaran este algoritmo a principios de 2017, sin embargo, es posible que haya cambiado de idea y agilizado el proceso.

Según afirma el gigante de Internet, a partir de julio de 2016 su navegador web dejará de ser compatible con las conexiones SHA-1, forzando a los servidores a utilizar algoritmos más seguros y bloqueando la carga de las páginas web en caso de que no se puedan establecer conexiones que realmente sean consideradas como seguras.

Google no es el único que rechazará el uso de los certificados SHA-1 en los próximos meses. Mozilla, por otro lado, también bloqueará el uso de los certificados SHA-1 en su navegador Firefox a partir del 1 de julio de 2016.

________________________________________________________
Tomado de: http://www.redeszone.net/2015/12/23/google-se-plantea-la-eliminacion-de-los-certificados-sha-1-antes-de-tiempo/
Se Respetan Derechos de Autor.

Flash, Mas de 300 Bugs en 2015.

Durante este año se han detectado más de 300 bugs en Flash

Durante este año se han detectado más de 300 bugs en Flash

Según informan desde TNW, a lo largo de este año se han detectado 316 errores de seguridad en Flash Player, es decir, seis bugs a la semana. La última, con el año a punto de terminar, ha sido una vulnerabilidad que podría permitir potencialmente a un hacker tomar el control de un sistema y ser explotada en ataques dirigidos ilimitados. Afortunadamente, el fallo ya ha sido parcheado por Adobe.
Lo cierto, es que tantos fallos de seguridad ha agravado claramente la reputación de Flash. Miles de internautas han criticado el programa durante todo el año, sobre todo desde que se descubrió que una empresa de seguridad explotaba agujeros en el software para acceder a los ordenadores de las víctimas. Lógicamente, Mozilla ha tomado cartas en el asunto. La compañía ha deshabilitado el plugin de Flash en Firefox, además el jefe de seguridad de Facebook abogó públicamente por su fin y Google ha eliminado el soporte para Flash en sus anuncios y en su portal de vídeos YouTube.
Por su parte, Adobe ha retirado este mes el nombre “Flash” de la última versión de su herramienta de animación Adobe Flash Professional, ahora denominada Animate CC. Ahora, la empresa californiana ya recomienda la adopción de otros estándares web como HTML5, cayendo a los pies de la clara evolución de los soportes online.

____________________________________________________________
Tomado de: http://muyseguridad.net/2015/12/30/bugs-flash/
Se respetan Derechos de Autor.

Ciberseguridad, un sector de 170.000 millones de dólares en 2020.

Ciberseguridad

Todas las previsiones anteriores en torno a la inversión en ciberseguridad se quedarán cortas, si se cumplen las previsiones de Hemanshu “Hemu” Nigam, fundador de SSP Blue y un experto en seguridad y privacidad que ha liderado los esfuerzos de seguridad de compañías como Microsoft y News Corporation.
Nigam prevé que el mercado mundial de ciberseguridad moverá la friolera de 170 mil millones de dólares en 2020. Y no estará muy alejado de la realidad porque la consultora Gartner prevé que el gasto mundial en seguridad de la información alcanzará 75 mil millones en 2015 y una tasa de crecimiento anual compuesta del 9,8 por ciento hasta 2020.
La otra gran consultora, IDC, estima que las zonas calientes de crecimiento serán el análisis de seguridad (10%); la inteligencia de amenazas (10% +); seguridad móvil (18%); y seguridad en la nube (50%).
Las mayores inversiones se localizarán en los servicios de gestión de la seguridad global, con un gasto importante de servicios financieros y de seguros.
El informe también prevé un gran incremento de la inversion en ciberseguridad en tecnologías emergentes como la Internet de las Cosas, hasta 29.000 millones de dólares en 2020, en una tasa anual compuesta del 55 por ciento.
También destacado el gasto en torno a la seguridad cibernética para proteger un sector del automóvil cada vez más tecnificado y conectado.
Fortisima inversión en seguridad como vemos, dicen ajustada al aumento de amenazas registradas en los últimos años y las que se esperan en el futuro.

______________________________________________________________________
Tomado de: http://muyseguridad.net/2015/12/29/ciberseguridad-inversion/
Se Respetan Derechos de Autor.

Google indexará páginas HTTPS por defecto.

páginas HTTPS

Google ha anunciado que su motor de búsqueda ha comenzado la indexación de páginas HTTPS por defecto, el Protocolo seguro de transferencia de hipertexto o lo que es lo mismo, la versión segura de HTTP, usada principalmente por entidades financieras, comercio electrónico y otro gran número de servicios que requieran envío de contraseñas o de datos personales.
La medida se enmarca en la “búsqueda de la seguridad del usuario”, una prioridad según Google. “Con los años, hemos trabajado duro para promover una red más segura y proporcionar una mejor experiencia de navegación para los usuarios”.
Navegar por la web debe ser una experiencia privada entre el usuario y el sitio web y no debe ser objeto de espionaje, ataques man-in-the-middle ataques o modificación de datos. Es por esto que hemos estado promoviendo con fuerza y en todas partes el protocolo HTTPS.
Como una continuación natural de esa estrategia, Google está ajustando su servicio de indexación en la búsqueda de un mayor número de páginas HTTPS. En concreto, el gigante de Internet indexará páginas HTTPS equivalentes de páginas HTTP, incluso cuando las primeros no están vinculados desde cualquier página. Cuando dos direcciones URL desde el mismo dominio parezcan tener el mismo contenido, pero se sirven en diferentes esquemas de protocolo, indexará la URL HTTPS más segura.
Google lleva tiempo promoviendo la adopción de este protocolo y hace tiempo anunció el uso automático de conexiones cifradas HTTPS en el envío y recepción del 100 por cien de los mensajes de su servicio de correo electrónico web Gmail.
El pasado año, Google también anunció la inclusión de los protocolos de conexiones cifradas como factor para posicionar los sitios web en sus búsquedas.

____________________________________________________________
Tomado de: http://muyseguridad.net/2015/12/21/https-google-defecto/
Se Respetan Derechos de Autor.

lunes, 28 de diciembre de 2015

Decálogo de la concienciación en ciberseguridad en la empresa.


La utilización de las nuevas tecnologías en el desempeño de nuestra actividad profesional con smartphones, tablets, ordenadores portátiles, etc. unido a la facilidad de acceso a Internet, ha convertido nuestro puesto de trabajo y el de cualquier empleado en un puesto móvil. De esta forma podemos trabajar desde cualquier parte y en cualquier momento.
Este nuevo escenario de trabajo ha hecho que, desde el punto de vista de la seguridad de la información, el perímetro de seguridad de la organización se desvanezca. Ha convertido a cada empleado en el nuevo perímetro de seguridad a proteger, en el punto más importante.
Por ello, es si cabe aún más importante la implicación del empleado en la protección de la información que maneja. No desde el punto de vista técnico, sino adoptando unas pautas de comportamiento seguro en el uso de las tecnologías. Ante esta situación, la formación y la concienciación en ciberseguridad se convierten en iniciativas básicas y fundamentales.
Los tres pilares en la ciberseguridad son: las personas, de los procesos y de la tecnología. La formación y concienciación de los empleados se centra en la dimensión de las personas. El objetivo de la concienciación no es convertir a los empleados en expertos en seguridad de la información. El objetivo es trasladar las mejores prácticas en materia de seguridad para que adopten pautas de comportamiento seguro en los distintos entornos en los que desempeñan su actividad profesional. De esta forma mejora la cultura de seguridad de la organización. Incluso el empleado puede extender estas pautas en su ámbito personal.
A continuación veremos los puntos más importantes sobre los que debemos concienciar al empleado de cualquier organización.
Puesto de trabajo: mantén la mesa  de papeles que contengan información sensible. bloquea la sesión tu equipo cuando abandones puesto dispositivos: no modifiques configuración tus dispositivos. instales aplicaciones autorizadas. conectes dispositivo USB confiables. establece una clave acceso y opción bloqueo automático en dispositivos móviles. uso equipos corporativos: manejes corporativa públicos. si accedes al correo corporativo desde personal descargues ficheros equipo. fugas información: facilites sensible estás seguro quien es el receptor misma. destruye formato papel. tires a papelera. mantengas conversaciones confidenciales lugares donde puedas ser oídas por terceros. gestión credenciales: compartas credenciales utilices corporativas personal. apuntes visibles. navegación: evita acceder páginas web pinches enlaces sospechosos. procura escribir dirección barra del navegador. electrónico: protección realiza copias seguridad aquella sólo esté alojada dispositivos. viaje seguro: transportar dispositivos extraíbles. lo cifra información. redes WiFi eres seguridad: detectas cualquier actividad sospechosa o un funcionamiento anómalo avisa departamento

______________________________________________________________________
Tomado de: https://www.incibe.es/blogs/post/Empresas/BlogSeguridad/Articulo_y_comentarios/Infografia_concienciacion_ciberseguridad
Se Respetan derechos de Autor.













domingo, 27 de diciembre de 2015

BOOTRASH, Nemesis y FIN1, ecosistema de malware financiero.

Recientemente Mandiant identificó un nuevo grupo de desarrollo de malware y APTs al que bautizó como FIN1. Ahora se ha encontrado un nuevo tipo de "bootkit" que se carga antes de que el sistema operativo Windows cargue, resultando muy difícil de identificar y/o de quitarlo.

Se cree que esta es una parte del ecosistema de malware llamado "Nemesis" desarrollado por FIN1, en el cual atacantes financieramente motivados buscar robar datos de tarjeta de crédito y débito y otras operaciones de ATMs. Este tipo de ataques se han visto en el pasado, pero esta vez, la cuestión parece real monstruosa. Esperamos que las instituciones financieras y Microsoft recuperarán antes de que sea demasiado tarde.

La investigación completa de la empresa Fireeye identificó estas actividades durante una investigación reciente en una organización del sector financiero. Némesis incluye puertas traseras, canales de comunicación para el C&C, captura de pantalla, registro de pulsaciones de tecla, proceso de inyección y programación de tareas. A principios del 2015, FIN1 actualizó sus herramientas para incluir una utilidad que modifica el registro de Volume Boot Record (VBR) para comenzar a cargar componentes de Nemesis antes de la carga del código del sistema operativo Windows. Esta utilidad se indentifó como BOOTRASH.

En Windows, la tabla de partición MBR es fundamental para el proceso de arranque y almacena información sobre el disco, la disposición de las particiones y una pequeña cantidad de código que se utiliza durante el proceso de arranque. Este código busca la partición primaria activa y pasa el control a la VBR.

La VBR se encuentra en el primer sector de una partición y contiene código máquina específico para ser reconocido por el sistema operativo. BOOTRASH se apropia de este proceso de arranque para cargar parte del código de Nemesis antes de la carga del sistema operativo.

_______________________________
Tomado de: http://blog.segu-info.com.ar/2015/12/bootrash-nemesis-y-fin1-ecosistema-de.html?m=1#bootrash-nemesis-y-fin1-ecosistema-de
Se Respetan Derechos de Autor.

martes, 22 de diciembre de 2015

Como responder ante una infección de Malware en la Empresa.

La incidencia del malware en las empresas considera tres variables: cantidad, complejidad y diversidad. A pesar de su antigüedad, sigue siendo una de las principales preocupaciones de las empresas y se materializa con frecuencia, por lo que resulta necesario conocer cómo responder ante un incidente.

A tales fines, el Laboratorio de Investigación de ESET Latinoamérica desarrolló una nueva Guía de respuesta a infección de malware, considerando que se trata de una amenaza latente que continuará creciendo, con métodos de infección cada vez más sofisticados. Estos se traducen en retos para la protección de la información, y esta guía práctica detalla las acciones a seguir antes, durante y después de un incidente.

El documento repasa los distintos tipos de malware y aplicaciones potencialmente indeseables (PUAs), junto a los riesgos de seguridad que podrían ocasionar. Luego, detalla las acciones a seguir enmarcadas en los siguientes aspectos:

.Identificación de la infección
.Determinación de su alcance
.Mantención de la continuidad del negocio
.Contención de las acciones maliciosas
.Eliminación de la infección y el vector de ataque
.Recuperación de la normalidad de las operaciones
.Registro de las lecciones aprendidas

Asimismo, se detallan los pasos a seguir para reportar muestras al Laboratorio de ESET, que las analizará con el propósito de ayudar a la comunidad entendiendo el comportamiento de los programas maliciosos hallados.

Naturalmente, el uso de la tecnología de seguridad es necesario en el contexto actual de amenazas informáticas; la aplicación de medidas de protección preventivas, proactivas y reactivas, por tanto, ayudará a mitigar el impacto del malware en las empresas.

No se pierdan la nueva Guía de respuesta a infección de malware en la sección de Guías de WeLiveSecurity

_______________________________
Tomado de: http://www.welivesecurity.com/la-es/2015/11/24/como-responder-infeccion-de-malware-empresa/
Se Respetan Derechos de Autor.

jueves, 17 de diciembre de 2015

Actualizar Ya ! Joomla con vulnerabilidad en su administrador de contenido (CMS).

Esta semana inició con la publicación por parte de Joomla de una vulnerabilidad en su administrador de contenido (CMS), la cual permite a un atacante ejecutar código de forma remota. Aunque las vulnerabilidades para los administradores de contenido son bastante comunes para sus pluggins, en este caso se trata de una debilidad propia del núcleo del sistema, que además ha estado ahí por más de 8 años y que afecta a todas las versiones desde la 1.5 hasta la 3.4.5.
Se trata de una inyección de objetos basada en el controlador de bases de datos de MySQL, que no verifica el contenido enviado por los clientes en el user-agent y permite incluir código PHP que será ejecutado por el servidor.
Su construcción rememora las cadenas necesarias para ejecutar la vulnerabilidad ShellShock y tiene su mayor éxito al usar la función eval() de PHP para ejecutar las funciones pasadas como payload.
Construcción del exploit para ShellShock

Haciendo uso del exploit publicado en Exploit-DB y un entorno virtualizado corriendo Joomla 3.4.5 verificamos la vulnerabilidad. En primer lugar usamos el payload propuesto en el código del exploit para crear un archivo en la ruta /tmp/.

Payload para crear un archivo haciendo uso de la vulnerabilidad


Ejecutamos y confirmamos que el archivo ha sido creado por el usuario nobody en la ruta definida. Además podemos confirmar que el user-agent de la petición es el encargado de explotar la vulnerabildiad:

confirmación de la ejecución de la vulnerabilidad
Dado que mediante la función eval() y haciendo uso de la llamada al sistema system() es posible ejecutar casi cualquier comando, creamos una pequeña WebShell en una carpeta con los permisos suficientes y enviamos los parámetros haciendo peticiones get:
Archivo php con una pequeña webshell creado mediante la vulnerabilidad RCE-Joomla

El resultado, una página que nos permite ejecutar código directamente desde la URL.

WebSheel creada haciendo uso de la vulenrabildiad RCE-Joomla
Como ven las posibilidades son infinitas  y solo es necesario un poco de creatividad. La vulnerabilidad esta siendo explotada en todas las latitudes y debido a los códigos publicados se seguirá multiplicando, así que es necesario que actualicen sus administradores de contenidos y quienes hagan uso de IPS o WAF, actualicen las firmas de sus dispositivos de seguridad para evitar las peticiones con la configuración de user-agent identificada. 
Pueden verificar si su sitio ya ha sido atacado buscando los valores "JDatabaseDriverMysqli" y "0:" en el log de acceso de su sitio web administrador con Joomla.
Peticiones identificadas en el log del portal
Recuerden hacer Backup de su sitio web y buscar la notificación de nueva versión de Joomla:
Joomla Update
______________________________________________________
Tomado de: http://blog.csiete.org/2015/12/probamos-la-vulnerabildiad-de-rce-en.html
Se Respetan Derechos de Autor.

sábado, 5 de diciembre de 2015

VPN "port fail" permite mostrar las IPs reales de los usuarios.

Perfect Privacy ha descubierto un fallo de seguridad bautizado como "port fail" que afecta a las VPNs IPSec o PPTP (normalmente con OpenVPN) que permiten port forwading, es decir, redirigir un puerto hacia una máquina detrás del proxy VPN, algo ampliamente utilizado con clientes torrent y en general con descargas P2P.

El caso es que si estamos utilizando la misma VPN que la víctima, nos conectamos al mismo peer (es decir, tenemos la misma IP pública) y redireccionamos un puerto hacia nosotros, cuando la víctima intente conectarse a ese puerto (por ejemplo para descargar un torrent) revelará su IP real, lógicamente porque no puede establecer un socket con la misma IP origen que de destino.

"Si el atacante ha activado el reenvío de puertos con su cuenta en el mismo servidor, puede averiguar las direcciones IP reales de cualquier usuario en el mismo servidor VPN engañándolo para que visite un enlace que redirige el tráfico a un puerto bajo su control" dicen los investigadores. También podéis ver en Reddit dos comentarios donde se explica bastante bien.

Perfect Privacy probó este fallo en nueve grandes proveedores VPN que ofrecen la posibilidad de port forwarding y cinco de ellos, entre los que se incluyen Ovpn.to, nVPN y Private Internet Access (PIA), eran vulnerables. Todos ellos han sido avisados y (supuestamente) lo han corregido pero seguramente muchos otros seguirán siendo vulnerables (AirVPN, IPVANISH?).

La recomendación: si estás usando una VPN para mantener el anonimato en Internet lo mejor es que contactes con tu proveedor y preguntes por "port fail"...


_______________________________________________________________
Tomadi de: http://blog.segu-info.com.ar/2015/12/vpn-port-fail-permite-mostrar-las-ips.html
Se Respetan Derechos de Autor

OpenSSL soluciona cuatro vulnerabilidades.

El proyecto OpenSSL ha anunciado la publicación de nuevas versiones de OpenSSL destinadas a corregir cuatro vulnerabilidades, tres de ellas calificadas de impacto moderado y una última de gravedad baja.
En primer lugar OpenSSL avisa que esta será la última actualización para las ramas 1.0.0 y 0.9.8; a no ser que algún problema significativo antes del 31 de diciembre (fecha de final de soporte) obligue a publicar una actualización de urgencia. Esto podría representar un problema para determinadas aplicaciones corporativas y más concretamente para algunos dispositivos y sistemas empotrados que incluyen estas versiones más antiguas, y para los que las actualizaciones son más raras o complicadas.
El primero de los problemas, de gravedad moderada, reside en una vulnerabilidad (con CVE-2015-3193) en la función BN_mod_exp que puede producir resultados incorrectos en sistemas x86_64. Solo afecta a OpenSSL 1.0.2 y puede explotarse contra los algoritmos RSA, DSA (Digital Signature Algorithm) y Diffie–Hellman (DH). Aunque el ataque puede ser complejo e incluso requerir una cantidad significativa de recursos.
Una vulnerabilidad (de gravedad moderada) de denegación de servicio relacionada con la verificación de firmas de certificados (CVE-2015-3194) y que afecta a las versiones 1.0.2 y 1.0.1. Se ven afectadas cualquier aplicación que realice verificación de certificados, incluyendo clientes y servidores OpenSSL que permitan la autenticación de clientes.
También de gravedad moderada, una fuga de memoria cuando se presenta con una estructura "X509_ATTRIBUTE" (CVE-2015-3195). Se ven afectadas todas las versiones de OpenSSL.
Por último, una vulnerabilidad de gravedad baja que podría dar lugar a una condición de carrera (CVE-2015-3196). Este fallo ya había sido corregido en OpenSSL 1.0.2d y 1.0.1p, aunque no había sido anunciado en un aviso de seguridad. El problema también afecta a OpenSSL 1.0.0, que se actualiza en la nueva versión 1.0.0t
OpenSSL ha publicado las versiones 1.0.2e, 1.0.1q, 1.0.0t y 0.9.8zh disponibles desde
Más información:
OpenSSL Security Advisory [3 Dec 2015]
_________________________________________________________
Se Respetan Derechos de Autor.