Source: http://unaaldia.hispasec.com/2002_07_01_archive.html
Timestamp: 2016-05-04 06:04:33+00:00

Document:
Hispasec @unaaldia: julio 2002
Últimas novedades en CriptoRed
Resumen de las novedades producidas durante el mes de julio de 2002 enCriptoRed, la Red Temática Iberoamericana de Criptografía y Seguridadde la Información.1. Congresos y seminarios con fechas vigentes ordenados por fecha:(2-6 septiembre 2002 - Francia) Workshop Trust and Privacy in DigitalBusinesshttp://www.wi-inf.uni-essen.de/~trustbus02/(5-7 septiembre 2002 - España) VII Reunión Española de Criptología RECSIhttp://enol.etsiig.uniovi.es/viirecsi/(9-12 septiembre 2002 -España) Congreso Security in MobileCommunications en Málagamailto:apeinado@ic.uma.es(1-3 octubre 2002 - Reino Unido) Infrastructure Security Conference 2002http://www.infrasec-conf.org/(13-16 octubre 2002 - Panamá) Latin CACS 2002http://www.isaca.org/latin2002.pdf(20-22 noviembre 2002 - USA) Fifth Smart Card Research and AdvancedApplication Conferencehttp://www.usenix.org/events/cardis02/cfp/(25-29 noviembre 2002 - Cuba) II Congreso Internacional de Telemáticahttp://www.ispjae.cu/eventos/citel/2. Nuevos artículos y documentos por orden alfabético:Libro Seguridad en Unix y Redes v.2.1http://www.criptored.upm.es/paginas/docencia.htm#libroseResumen de Tesis Doctoral sobre autómatas celulareshttp://www.criptored.upm.es/paginas/investigacion.htm#rtesisTemario Introducción a la Computación Forense (Colombia)http://www.criptored.upm.es/paginas/docencia.htm#planesNueva versión de las soluciones de exámenes de S.I.http://www.criptored.upm.es/paginas/docencia.htm#examenes3. Altas:Número actual de miembros: 316http://www.criptored.upm.es/paginas/miembros_red_paises.htmAlta de la Escuela Politécnica Nacional (Ecuador)http://www.criptored.upm.es/paginas/instituciones.htm4. Otros temas de interés:4ª versión Diplomado en Seguridad Informática (México)http://www.aragon.unam.mx/Listado de ponencias aceptadas en VII RECSI (España)http://enol.etsiig.uniovi.es/viirecsi/abstract.aspSegunda Semana de Seguridad Informática (México)http://leopardo.aragon.unam.mx/labsec/2semsi/Nuevos cursos de formación de HispaSec - ISI (España)http://www.hispasec.com/formacion/Ampliada fecha para la recepción artículos de Nováticamailto:monografico-seguridad@lcc.uma.esMejorado el acceso al archivo histórico de la Red por meseshttp://www.criptored.upm.es/paginas/otrostemas_historico.htm#HistoricoAccesos mes de julio: 12.500 (datos estimativos según estadísticas al29/07/02)Descargas mes de julio: 5.500 (datos estimativos según estadísticas al29/07/02)http://www.criptored.upm.es/paginas/estadisticas.htmJorge Ramió AguirreCoordinador General CriptoRedMás información:CriptoRedhttp://www.criptored.upm.es
Finaliza con éxito la II Campaña de Seguridad en la Red
La II Campaña de Seguridad en la Red desarrollada entre el 10 de Junio y el 31 de julio, ha finalizado con un éxito total. Más de 400.000internautas visitaron la página web de esta iniciativa organizada por la Asociación de Internautas, con casi 5 millones de páginas vistas y650.000 descargas de los programas gratuitos que en ella se ofrecían.Durante estos cincuenta y dos días de duración de la Campaña se haconstatado la necesidad que tienen muchos internautas de informaciónsobre seguridad en Internet. Por los e-mails de desconocimiento ysorpresa recibidos por la Asociación de Internautas se desprende que losmotivos que más preocupan a los usuarios son la proliferación de virusinformáticos y las intrusiones ilegítimas en ordenadores. Paralelamenteexiste la necesidad de un debate sobre la privacidad e intimidad de lascomunicaciones electrónicas en el entorno laboral y la necesidad deinformación sobre el uso de Internet por los menores.La campaña puede considerarse todo un éxito pues han sido más de 400.000los internautas que se han interesado por esta iniciativa, con un totalde más de 5 millones de páginas vistas. El programa Checkdialer,desarrollado por Hispasec Sistemas con objeto de evitar las conexiones anúmeros 906 y que se ofrecía gratuitamente a través de la Campaña hasido descargado por 12.000 usuarios.La favorable acogida que la Campaña Nacional de Seguridad en la Red haobtenido entre la Comunidad Internauta confirma que la seguridad es unaasignatura pendiente. Por este motivo, aunque la Campaña ha finalizadooficialmente se mantendrá abierta la página http://seguridad.internautas.orgcon todos los contenidos que durante la campaña se han desarrollado.Antonio Roperoantonior@hispasec.comMás información:una-al-dia (10/06/2002) Hispasec participa en la segunda campaña deseguridad en la Redhttp://www.hispasec.com/unaaldia.asp?id=1324
Parche del parche para Windows Media Player
Y van dos. En apenas un mes Microsoft se ve forzada a distribuir porsegunda vez un parche que tiene como misión rectificar unaactualización anterior que se muestra defectuosa. En esta ocasión letoca el turno a su reproductor multimedia, Windows Media Player, ensus versiones 6.4, 7.1 y XP.El pasado 11 de mayo Hispasec informó de una vulnerabilidad que podíapermitir la ejecución de comandos en los sistemas que utilizaran MSNMessenger, MSN Chat y Exchange Instant Messenger. El 18 de juniovolvíamos con la noticia de que se había comprobado que el parcheoriginal que ofrecía Microsoft para solucionar el problema no actuabacorrectamente y era necesario volver a actualizar los sistemas con unnuevo parche.Hoy se repite la historia. El pasado 30 de junio informábamos dediferentes vulnerabilidades en Windows Media Player y de ladisponibilidad de un parche acumulativo para subsanar todos losproblemas conocidos hasta la fecha. Ahora Microsoft reconoce que elparche sólo corregía las últimas vulnerabilidades descubiertas en sureproductor multimedia, pero que no era acumulativo y por tanto nosubsanaba problemas anteriores. Como solución, nueva descarga deparche y nueva instalación.Según informaciones de la propia Microsoft, se les olvidó incluir unarchivo en la distribución del parche original, lo que provocó que laactualización no incluyera todas las correcciones de forma acumulativa,incumpliendo lo documentado en su boletín de seguridad. Ahoraempaquetan de nuevo el parche con el archivo que faltaba y vuelve apedir a los usuarios se actualicen de nuevo. Recomendamos a losafectados el uso de la opción Windows Update para acceder a éstas yotras actualizaciones.Bernardo Quinterobernardo@hispasec.comMás información:11/05/2002 - Grave problema de seguridad en MSN Chathttp://www.hispasec.com/unaaldia.asp?id=129418/06/2002 Microsoft rectifica el parche para la vulnerabilidad de MSN Chathttp://www.hispasec.com/unaaldia.asp?id=133230/06/2002 - Diferentes vulnerabilidades en Windows Media Playerhttp://www.hispasec.com/unaaldia.asp?id=1344Cumulative Patch for Windows Media Playerhttp://www.microsoft.com/technet/security/bulletin/MS02-032.asp19/02/2002 - Microsoft STPP, ¿estrategia tecnológica o lavado de cara?http://www.hispasec.com/unaaldia.asp?id=1213
Existe una vulnerabilidad de seguridad en Microsoft Exchange 5.5 debido aun desbordamiento de búfer en el código de Internet Mail Connector (IMC)al generar la respuesta al comando EHLO.El Internet Mail Connector (IMC) permite a Microsoft Exchange Server lacomunicación con otros servidores de correo a través de SMTP. Cuando elIMC recibe desde un servidor SMTP el comando extended Hello (EHLO) delprotocolo SMTP contesta mediante el envío de una respuesta de estado quecomienza de la siguiente forma:250-HelloDonde: es el nombre de dominio totalmente cualificado(fully-qualified domain name, FQDN) del servidor Exchange. es o el FQDN o la dirección IP del servidor que inició la conexión.Se empleará el nombre de dominio totalmente cualificado (FQDN) si el IMCde Exchange 5.5 es capaz de resolver está información a través deresolución de DNS inversa, en caso contrario utilizará la dirección IP.La vulnerabilidad reside en la creación de este mensaje de respuesta. Sila longitud total del mensaje excede de un tamaño específico seproducirá el desbordamiento de búfer. En función de los datos con losque el atacante intente explotar esta vulnerabilidad se producirá unacaída del IMC o incluso la ejecución de código en el servidor.Explotar esta vulnerabilidad con éxito no resultará sencillo ya que elatacante deberá crear un entorno del que el IMC atacado pueda resolverel DNS inverso y además provoque el desbordamiento.Microsoft ha publicado un parche para evitar este problema, que podrádescargarse desde:http://www.microsoft.com/Downloads/Release.asp?ReleaseID=40666Antonio Roperoantonior@hispasec.comMás información:Boletín de seguridad Microsoft (MS02-037)Server Response To SMTP Client EHLO Command Results In Buffer Overrunhttp://www.microsoft.com/technet/security/bulletin/ms02-037.asp
Microsoft ha publicado un parche para cubrir dos nuevas vulnerabilidadesque afectan a SQL Server 2000 y MSDE 2000.Un desbordamiento de búfer que se produce en múltiples ConsistencyCheckers (DBCCs) incluidos como parte de SQL Server 2000. Los DBCCs sonutilidades en forma de comando de consola que permiten el mantenimientoy la realización de otras operaciones en el servidor SQL. Mientras quemuchas de estas sólo pueden ser ejecutadas por sysadmin, algunas puedenser ejecutadas por los miembros de db_owner y db_ddladmin. En el casomás serio, si un atacante logra explotar esta vulnerabilidad podrálograr la ejecución de código en el contexto del servicio SQL Server.Existe una vulnerabilidad de inyección SQL en dos procedimientosalmacenados empleados en la replicación de bases de datos. Uno de estosprocedimientos sólo puede ser ejecutado por los usuarios pertenecientesa db_owner; mientras que el otro, debido a un error en la asignación depermisos, podrá ser ejecutado por cualquier usuario que pueda acceder ala consola del sistema de forma interactiva. Si un atacante lograexplotar esta vulnerabilidad podrá lograr la ejecución de comandos delsistema operativo en el servidor.Este parche se encuentra disponible en varios idiomas y puededescargarse desde:http://support.microsoft.com/support/misc/kblookup.asp?id=Q316333Antonio Roperoantonior@hispasec.comMás información:Boletín de seguridad Microsoft MS02-038Cumulative Patch for SQL Server 2000 Service Pack 2 http://www.microsoft.com/technet/security/bulletin/MS02-038.asp
Surgida como respuesta a la iniciativa propietaria PASSPORT, deMicrosoft, la "alianza por la libertad" ha publicado la primera versiónde sus especificaciones. La "Liberty Alliance" está formada por organizaciones tan importantes yrepresentativas como: Sun, MasterCard, AOL, CITIGROUP, France Telecom,HP, American Express, Nokia, NTT DoCoMo, RSA, Sony, Vodafone, Cisco,Novel, Ericsson, Visa, Verisign, Xerox y muchos otros.Las especificaciones actuales permiten:* Enlazado de cuentas de forma voluntaria: Los usuarios pueden elegirenlazar cuentas de diferentes proveedores y servicios dentro de"círculos de confianza".* Tecnología SSO (Single Sign-on): Una vez que un usuario se autentificaen una cuenta, puede acceder al resto de cuentas "enlazadas", sinnecesidad de autentificarse de nuevo.* Contexto de autenticación: Las organizaciones y servicios en las queresiden las diferentes cuentas enlazadas pueden especificar qué tipo deautentificación deben usar los usuarios.* "Log-out" global: Una vez que un usuario cierra la sesión al serviciosobre el que se autentificó, se cierran automáticamente lasautenticaciones en el resto de cuentas enlazadas.La principal innovación respecto a tecnologías como, por ejemplo,Kerberos, es que las diferentes organizaciones no necesitan "confiar"entre sí, o disponer de una tecnología homogénea, o compartir recursos,bases de datos o accesos para realizar su trabajo.Las especificaciones, en PDF, pueden descargarse libremente del web.Miden un total de 1.8 Megabytes. Incluso se dispone de una lista decorreo técnica para organizaciones que estén trabajando en productosbasados en las especificaciones "Liberty Alliance".Hispasec, como empresa especializada en I+D pionero en el campo de laseguridad informática, está estudiando muy detenidamente estasespecificaciones como posible complemento a su tecnología "SingleSign-On" actual.Jesús Cea Aviónjcea@hispasec.comMás información:Liberty Alliance launches first specifications giving users simplifiedsign-on for any platform and devicehttp://www.projectliberty.org/press/releases/2002-07-15-1.htmlSpecificationshttp://www.projectliberty.org/specsLiberty Alliance Projecthttp://www.projectliberty.org/Liberty Alliance Releases Specificationshttp://slashdot.org/article.pl?sid=02/07/15/1910201
Publicación del número 59 de "Phrack"
Acaba de publicarse el número 59 del conocido E-Zine "Phrack"."Phrack", que cuenta ya con más de 16 años de historia, se centra en loscampos de "exploits" y nuevas tecnologías de "hacking", fundamentalmenteen entornos informáticos.En este último número podemos encontrar artículos sobre:* Gestión de la tabla de interrupciones de los microprocesadores x86* Redirección de la ejecución de un proceso* Cómo saltarse las herramientas de informática forense más habituales* Nuevos trucos para explotar con eficacia los ataques de "formato"* Modificación de procesos mientras se ejecutan* Cómo saltarse la protección ASLR contra desbordamientos de búfer* Detección de "rootkits" por diferencias en el tiempo de ejecución delas llamadas al sistema* Vulnerabilidades de diseño del protocolo SSH y OpenSSH* "Shellcode" para Linux/390* Capturador de teclado para Linux* Estudio de generadores de números aleatorios* Acceso a la memoria Kernel de Windows 2000/XPy otros temas menores.De lectura recomendable para conocer el "estado del arte" en el mundo"Underground".Jesús Cea Aviónjcea@hispasec.comMás información:Phrackhttp://www.phrack.org/Phrack 59http://barrapunto.com/article.pl?sid=02/07/23/2247251
Certificaciones antivirus obsoletas
Ancladas en el pasado, las principales certificaciones antivirus comoICSALabs, Checkmark o VB 100%, no se ajustan a las necesidades actualesde los usuarios ni evaluan en su justa medida la realidad de lassoluciones antivirus de hoy día.Sus logotipos suelen ocupar contraportada de las cajas de productos yaparecen en las webs de las casas antivirus como galardones que,supuestamente, certifican la calidad de sus soluciones. Si nosadentramos un poco en sus especificaciones encontramos que los testsson pobres y se centran principalmente en los porcentajes de detección,y en el mejor de los casos desinfección, sobre colecciones de muestrasconocidas.Con la explosión del fenómeno Internet, y las implicaciones que todosconocemos en el mundo de los virus informáticos, sobre todo a modo dei-worms, el modelo reactivo de los antivirus tradicionales, basados enofrecer vacunas después de haber detectado un espécimen nuevo, dejade ser una solución efectiva.En el tiempo en que se detecta un virus nuevo, es analizado por ellaboratorio antivirus, desarrollan la vacuna, la solución pasa elcontrol de calidad interno, ponen la nueva firma de detección adisposición de los usuarios y éstos se actualizan, un gusano deInternet o i-worm puede haber infectado miles y miles de sistemas.No hay que incidir mucho en esta cuestión, basta con nombrar a'Melissa', 'ILoveYou', 'Kournikova', 'Nimda', 'BadTrans', 'Sircam'o 'Klez', entre otros muchos.En este punto alguien podría preguntar por las heurísticas actuales,ya que supuestamente, o al menos así se venden, son las tecnologíasencargadas de detectar nuevos virus. Queda claro por la experienciaque no son efectivas, de lo contrario no tendríamos que recordarpara nada los nombres de especímenes antes comentados.Las heurísticas, en realidad, son también detecciones basadas enfirmas, pero que buscan porciones de código más genéricas en vez dela cadena concreta que identifica a un virus en particular. El diseñode un virus nuevo, o la ofuscación a nivel de código de uno yaexistente, burla de forma trivial este tipo de detección. Una pequeñaprueba de concepto se pudo ver el pasado junio durante las jornadasde seguridad de e-Gallaecia, donde mi compañero Jesús Cea y yoexpusimos sobre las debilidades de las soluciones antivirus actuales.El simple uso de variables intermedias, en un gusano escrito en VisualBasic Script de apenas 20 líneas de código, logró vencer a lasheurísticas de los principales productos antivirus del mercado.El futuro, que ya debería ser presente, pasa claramente por laimplantación de tecnologías proactivas capaces de ofrecer al usuariosistemas de protección contra virus nuevos sin necesidad de recurrira continuas actualizaciones. Claro está que no es la panacea, noacabará con la problemática de los virus, y seguirán siendo necesariaslas actualizaciones puntuales, pero la capacidad de prevención de lassoluciones antivirus aumentará drásticamente y el usuario dejará detener la sensación de indefensión total durante las primeras horasde propagación de un virus nuevo.Las buenas noticias son que algunas casas antivirus, bien porexigencias del mercado, bien por convencimiento propio o como ventajacompetitiva, ya comienzan a implantar funcionalidades proactivas quevan más allá del antivirus tradicional que todos conocemos.Volviendo al títular que nos ocupa, el problema es que estas nuevastecnologías no son evaluadas por las certificaciones actuales, cuyasmetodologías sólo se centran en la detección a nivel de código. Elresultado es que hoy día algunos productos antivirus pueden llegara ser incluso penalizados en este tipo de evaluaciones, cuando enrealidad el nivel de protección que ofrecen es muy superior al deotras soluciones que simplemente, al igual que las certificaciones,se han quedado ancladas en el pasado.Bernardo Quinterobernardo@hispasec.comMás información:ICSA labs - Current certification criteriahttp://www.icsalabs.com/html/communities/antivirus/certification.shtmlComplete List of ICSA Certified Anti-Virus Productshttp://www.icsalabs.com/html/communities/antivirus/certifiedproducts.shtmlCheckmark AntiVirus Level 1http://www.check-mark.com/checkmark/cm_av1.htmlCheckmark Antivirus Level 2http://www.check-mark.com/checkmark/cm_av2.htmlCheckmark Trojanhttp://www.check-mark.com/checkmark/cm_trc1.htmlVB 100% Awardhttp://www.virusbtn.com/vb100/about/index.xmle-Gallaeciahttp://www.e-gallaecia.com/
Estadísticas del CERT para el primer semestre del 2002
El CERT (Computer Emergency Response Team) acaba de publicar lasestadísticas de incidentes de seguridad del primer semestre del presenteaño. Estas estadísticas son confeccionadas a partir del número deincidentes recibidos en el CERT (que se consideran una parte muy pequeñadel número total de incidentes).Las estadísticas registradas para estos primeros seis meses reflejanunas cifras cercanas a las registradas durante todo el año 2001. Así, si durante los doce meses del 2001 se registraron un total de 52.658incidentes, en la mitad del 2002 la cifra ya asciende a 43.136.Según la definición del CERT, un incidente es "cualquier intento,exitoso o no, de obtener acceso no autorizado a datos o a un sistema".Aunque en el informe publicado no clasifica las incidencias, ni el tantopor ciento registrado por cada una de ellas, hay que recordar que viruscomo Klez o Frethem han contado con una notable incidencia y propagación.Otro dato de interés en estas estadísticas es el incremento devulnerabilidades de seguridad registradas por el CERT. Si durante el año2001 se registraron 2.437 vulnerabilidades, en lo que llevamos de año yase han registrado 2.148 vulnerabilidades.Antonio Roperoantonior@hispasec.comMás información:CERT/CC Statistics 1988-2002http://www.cert.org/stats/cert_stats.html
Grave vulnerabilidad en PHP
PHP en sus versiones 4.2.0 y 4.2.1 se ve afectado por una gravevulnerabilidad que puede permitir a un atacante la posibilidad deprovocar una denegación de servicios en el servidor web o llegar alograr la ejecución de código arbitrario.Esta nueva vulnerabilidad afecta al lenguaje PHP, el sistema para lacreación de páginas dinámicas más extendido bajo plataforma Unix. Lavulnerabilidad reside en la porción de código responsable deltratamiento de envíos de archivos, específicamente multipart/form-data.Si un atacante envía una petición POST específicamente creada alservidor podrá degradar las estructuras de datos internas empleadas porPHP. Específicamente un intruso podrá lograr que una estructura dememoria inicializada inadecuadamente sea liberada. En la mayoría de loscasos, el atacante podrá emplear la vulnerabilidad para provocar lacaída del intérprete PHP o del servidor web. Sin embargo, endeterminadas circunstancias el atacante podrá emplear la vulnerabilidadpara ejecutar código el servidor (con los privilegios del servidor web).Se recomienda la actualización a PHP 4.2.2 disponible enhttp://www.php.net/downloads.php.Antonio Roperoantonior@hispasec.comMás información:CERT® Advisory CA-2002-21 Vulnerability in PHPhttp://www.cert.org/advisories/CA-2002-21.htmle-matters. PHP remote vulnerabilityhttp://security.e-matters.de/advisories/022002.htmlPHP Security Advisory: Vulnerability in PHP versions 4.2.0 and 4.2.1http://www.php.net/release_4_2_2.php
Symantec ha anunciado la adquisición de cuatro compañías centradas en elmercado de la seguridad como son Mountain Wave, Recourse Technologies,Riptech y SecurityFocus, por un valor total cercano a los de 375millones de euros.Con objeto de fortalecer su línea de negocio dentro del mercado de laseguridad Symantec ha tirado de talonario para ampliar sus recursos. Enmenos de un mes, ha gastado cerca de 375 millones de euros en comprarcuatro compañías centradas en el mercado de la seguridad informática.La adquisición de Mountain Wave por aproximadamente 20 millones de eurosse cerró a primeros del mes de julio, mientras que la pasada semanaSymantec anunció la adquisición de Recourse Technologies por 134millones de euros, Riptech por 144 millones de euros y Securityfocus,conocida por alojar la popular lista de correo bugtraq, por cerca de 75millones de euros.Con estas adquisiciones se ve una clara intención de Symantec porpotenciar su línea de productos basada en la detección de intrusos y lagestión remota y el tratamiento de vulnerabilidades. Esta noticia no haestado libre de polémica en todos los "corrillos" del mundo de laseguridad, especialmente la compra de securityfocus y el tratamiento dela lista de seguridad bugtraq, al observar en este movimiento unapérdida en la objetividad y el tratamiento "full disclosure" que siemprecaracterizó dicha lista. Por otra parte este tipo de movimientos y adquisiciones no son laprimera vez que se llevan a cabo en el sector de la seguridad. Podemosrecordar las adquisiciones realizadas por Network Associates, cuando en1998 compró también a golpe de talonario McAfee, Dr. Solomon´s, PGP, TISy Anyware, movimientos que tampoco estuvieron exentos de polémica ycuatro años después se ha demostrado como algunos de los cuales noterminaron de cuajar dentro del gigante de la seguridad.Antonio Roperoantonior@hispasec.comMás información:Symantec Acquires Mountain Wave, Inc.http://www.symantec.com/press/2002/n020702.htmlSymantec to Acquire SecurityFocus http://www.symantec.com/press/2002/n020717.htmlSymantec to Acquire Recourse Technologies http://www.symantec.com/press/2002/n020717a.htmlSymantec to Acquire Riptech http://www.symantec.com/press/2002/n020717b.htmlSymantec's SecurityFocus buyout met with pessimismhttp://www.theregister.co.uk/content/55/26315.htmlBugTraq. Subject: Administrivia: Symantec acquiring SecurityFocus http://online.securityfocus.com/archive/1/282903
Al realizar la instalación de Microsoft SQL Server 7.0 o 2000 se crea unarchivo de texto en el que se incluye la contraseña de administracióndel servidor de base de datos. Al finalizar la instalación el archivocon la información sensible permanece en el sistema, al acceso decualquier usuario.Cuando se realiza la instalación de SQL Server 7.0 (incluido MSDE 1.0),SQL Server 2000, o uno de los Service Pack para SQL Server 7.0 o SQLServer 2000, la información proporcionada para el proceso de instalaciónes recogida y almacenada en un archivo de configuración llamadosetup.iss.El archivo setup.iss puede ser empleado entonces para automatizar elproceso de instalación en otros sistemas SQL Server. SQL Server 2000también incluye la posibilidad de grabar una instalación desatendida enel archivo setup.iss. El administrador podrá introducir la contraseña ala rutina de instalación bajo las siguientes condiciones:Si el servidor SQL Server está configurado en "Mixed Mode", seintroducirá la contraseña para la cuenta de administrador (cuenta "sa").Cuando en "Mixed Mode" o en "Windows Authentication Mode", se puedeintroducir de forma opcional un nombre de usuario y contraseña con elpropósito de iniciar las cuentas del servicio SQL Server.En cualquier caso, la password se almacenará en el archivo setup.iss.Antes de SQL Server 7.0 Service Pack 4, las contraseñas se almacenabanen texto claro. Para SQL Server 7.0 Service Pack 4 y SQL Server 2000Service Packs 1 y 2, las passwords eran cifradas y almacenadas. De formaadicional, durante el proceso de instalación se crea un archivo de logque también incluirá cualquier password almacenada en setup.iss.El problema reside en que el archivo permanece en el sistema una vezcompletado el proceso de instalación. Excepto en SQL Server 2000setup.iss quedará al alcance de cualquiera que pueda acceder al sistema.Microsoft publica un parche para Microsoft SQL 7, MSDE 1.0 y MicrosoftSQL Server 2000, disponible en:http://www.microsoft.com/Downloads/Release.asp?ReleaseID=40205Antonio Roperoantonior@hispasec.comMás información:Boletín de seguridad Microsoft MS02-035SQL Server Installation Process May Leave Passwords on Systemhttp://www.microsoft.com/technet/security/bulletin/MS02-035.asp
Norton Personal Firewall y Norton Internet Security se ven afectados poruna condición de desbordamiento de búfer que permitirá a un atacante laejecución de código en el sistema afectado.Norton Personal Internet Firewall de Symantec es uno de los firewallspersonales más extendidos para plataformas Microsoft Windows NT, 98, MEy 2000. La vulnerabilidad en el proxy http que puede permitir a unatacante sobreescribir los primeros tres bytes del registro EDI y deesta forma lograr la ejecución de código malicioso.Esta vulnerabilidad es explotable incluso si la aplicación que realizala petición no está configurada en los permisos del firewall pararealizar peticiones al exterior. Un ejemplo de este escenario puede seruna página web maliciosa que contenga un enlace camuflado con los datossuficientes para explotar la vulnerabilidad.Symantec publicará en breve una actualización para solucionar esteproblema que podrá descargarse desde la opción LiveUpdate.Antonio Roperoantonior@hispasec.comMás información:Aviso de seguridad de @stake:www.atstake.com/research/advisories/2002/a071502-1.txt
Las versiones no actualizadas del módulo ToolTalk del entorno CDE sonsusceptibles a dos ataques que permiten realizar una denegación deservicio, borrar o sobreescribir cualquier archivo del sistema, yejecutar código arbitrario.CDE (Common Desktop Environemnt) es un entorno gráfico de usuario quefunciona en multitud de plataformas Unix (incluyendo Solaris, Compaq,AIX, Linux y otros sistemas operativos). ToolTalk facilita lainfraestructura necesaria para el intercambio de información entremúltiples aplicaciones y sistemas que ejecuten CDE.Las versiones sin actualizar de ToolTalk contienen dos vulnerabilidades:La primera de ellas permite eliminar cualquier archivo del sistema,matar el servicio ToolTalk e, incluso, ejecutar código arbitrario en lamáquina, con privilegios de administrador.La segunda vulnerabilidad permite sobreescribir cualquier fichero delsistema (incluyendo el fichero de claves) con la información que elatacante elija.Ambas vulnerabilidades se pueden provocar de forma remota, por lo queHispasec recomienda encarecidamente tomar medidas apropiadas enseguida.Lo más recomendable, por supuesto, es actualizar el servidor ToolTalkcon el parche correspondiente del fabricante. Si ello no es posible, yno se está utilizando las funcionalidades ToolTalk en producción, sepuede deshabilitar el servicio editando el fichero "/etc/inetd.conf" osimilar de nuestro sistema operativo, donde debemos eliminar las líneasdel tipo:100083/1 tli rpc/tcp wait root /usr/dt/bin/rpc.ttdbserverdrpc.ttdbserverdTambién debe eliminarse el proceso en memoria, que aparecerá de formasemejante a:# ps -ef UID PID PPID C STIME TTY TIME CMD ... root 355 164 0 19:31:27 ? 0:00 rpc.ttdbserverd ...En caso de requerir el servicio ToolTalk y no disponer de parche, almenos debemos disponer de medidas perimetrales como cortafuegos o reglasde acceso en los "routers", para limitar la posibilidad de que unatacante externo acceda a nuestros sistemas empleando estasvulnerabilidades. Es importante recordar que dichas medidas deben sersiempre temporales, y que no nos protegen de posibles atacantes ennuestra propia intranet.La mayoría de los fabricantes que utilizan DCE ya han publicadoactualizaciones de seguridad del servicio. Revise el estado de losparches pendientes de aplicación.Jesús Cea Aviónjcea@hispasec.comMás información:CERT® Advisory CA-2002-20 Multiple Vulnerabilities in CDE ToolTalkhttp://www.cert.org/advisories/CA-2002-20.htmlMúltiples Vulnerabilidades en CDE ToolTalkhttp://www.unam-cert.unam.mx/Boletines/Boletines2002/boletin-UNAM-CERT-2002-020.htmlVulnerability Note VU#975403Common Desktop Environment (CDE) ToolTalk RPC database server(rpc.ttdbserverd) does not adequately validate file descriptor arguementto _TT_ISCLOSE()http://www.kb.cert.org/vuls/id/975403Vulnerability Note VU#299816Common Desktop Environment (CDE) ToolTalk RPC database server(rpc.ttdbserverd) does not adequately validate file operationshttp://www.kb.cert.org/vuls/id/299816Desktop Technologies -- CDEhttp://www.opengroup.org/cde/Open Group Desktop Technologies Frequently Asked Questionshttp://www.opengroup.org/desktop/faq/06/10/2001 - Vulnerabilidad en CDE ToolTalkhttp://www.hispasec.com/unaaldia.asp?id=1077
Nuevo parche para Microsoft SQL Server 2000
Microsoft publica un parche acumulativo para SQL Server 2000 que incluyelas funcionalidades de todos los parches publicados hasta la fecha.Además este parche elimina tres nuevas vulnerabilidades que afectan aSQL Server 2000 y MSDE 2000.Una vulnerabilidad de desbordamiento de búfer en el procedimientoempleado para cifrar la información de las contraseñas del servidor SQL.Un atacante que consiga explotar esta vulnerabilidad de forma exitosapodrá conseguir control sobre la base de datos e incluso sobre elservidor.Un desbordamiento de búfer en el procedimiento empleado para insertardatos masivos ("bulk data") en tablas de SQL. Un atacante que consigaexplotar esta vulnerabilidad de forma exitosa podrá conseguir controlsobre la base de datos e incluso sobre el servidor.Una vulnerabilidad de elevación de privilegios resultante de laasignación incorrecta de permisos en la llave del registro que almacenala información de las cuentas del servidor SQL. Un atacante que consigaexplotar esta vulnerabilidad podrá conseguir mayores privilegios en elsistema.Este parche puede descargarse desdehttp://support.microsoft.com/support/misc/kblookup.asp?id=Q316333Antonio Roperoantonior@hispasec.comMás información:Boletín de seguridad Microsoft MS02-034:Cumulative Patch for SQL Serverhttp://www.microsoft.com/technet/security/bulletin/MS02-034.asp
La NSA acaba de hacer pública una actualización de sus distribución"segura" de Linux, basado en un kernel Linux 2.4.18.SELinux es una distribución de Linux realizada por la NSA para cubrirlas necesidades de un sistema operativo que cumpla los criterios"Trusted" y disponible en código fuente, y poder así hacer frente a laeventualidad de que desapareciesen los sistemas actualmente en uso, comoTrusted Solaris (Sun), Trusted AIX (IBM) o Trusted IRIX (SGI, antiguaSilicon Graphics). Desde que se publicó la primera versión, en Diciembre de 2000, se hanido descubriendo algunos problemas, y las actualizaciones han sidoconstantes, tanto para solucionar bugs como para actualizar componentes.Los usuarios de la versión Linux de la NSA deben actualizar sudistribución de forma periódica, preferiblemente de manera frecuente.La última versión de SELinux se publicó el 3 de Julio de 2002, y estábasada en un kernel Linux 2.4.18, que es la última versión disponible dela serie estable 2.4.*. La licencia de SELinux es GPL.Jesús Cea Aviónjcea@hispasec.comMás información:Security-Enhanced Linuxhttp://www.nsa.gov/selinux/23/09/2001 - La NSA distribye una nueva revisión de su distribución"segura" SELinuxhttp://www.hispasec.com/unaaldia.asp?id=106404/02/2001 - Actualización de la versión Linux de la NSAhttp://www.hispasec.com/unaaldia.asp?id=83328/12/2000 - La NSA publica una versión "segura" de Linuxhttp://www.hispasec.com/unaaldia.asp?id=795
Gusano Frethem, una vez más se repite la historia
Bajo el nombre de Frethem se ha bautizado un gusano caracterizado porvenir en un mensaje con el asunto "Re: Your password!" y que en losúltimos días está alcanzando índices de incidencia bastante altos.Resulta inexplicable como un nuevo gusano con las mismas característicasde BadTrans, Nimda o el más reciente Klez alcanza unas cifras deinfecciones muy significativas. Existen ya numerosas versiones de esteespécimen pero todas ellas con la misma característica, aprovechar lavulnerabilidad iFRAME del Internet Explorer 5.01 y 5.5 y provocar que elusuario se vea infectado sin llegar a abrir el mensaje ya que el virusse autoejecuta desde las vista previa de mensajes del cliente de correoelectrónico Outlook.Al igual que Klez, el gusano es capaz de cambiar o falsificar la dirección del remitente del e-mail, por lo recibir un mensaje infectado con alguna de las versiones de Frethem no indica expresamente que el remitente también esté infectado. Sin duda, esto también provocará un nuevo aluvión de mensajes informativos de los antivirus avisando al supuesto remitente de una falsa infección o al receptor informándole de tal hecho y provocando una mala imagen del falso receptor.CaracterísticasEste nuevo gusano se caracteriza por el Asunto "Re: Your password!" y elcuerpo de mensaje:ATTENTION!You can accessvery importantinformation bythis passwordDO NOT SAVEpassword to diskuse your mindnow presscancelFrethem aparece como una de las tareas activas en la Lista de tareas deWindows, con el nombre taskbar.Frethem crea el fichero taskbar.exe en el directorio de Windows y creala siguiente entrada en el Registro de Windowspara ejecutarse cada vezque se inicie el ordenador:HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run\Task Bar = %Windows%\TASKBAR.EXERecomendaciónAl igual que virus ya conocidos como Klez o Nimda, se recomienda comomedida básica e inmediata actualizar el navegador Internet Explorer,bien a la versión 6 o bien instalar los parches de seguridad de lasversiones 5.01 y la 5.5. Con esta sencilla medida se evitará que elvirus se autoejecute y se abra un cuadro de diálogo al previsualizar elmensaje que alertará de la existencia de un virus.Actualizar a Internet Explorer 6http://www.microsoft.com/windows/ie_intl/es/Usuarios de Internet Explorer 5.01http://www.microsoft.com/downloads/release.asp?ReleaseID=29605Usuarios de Internet Explorer 5.5http://www.microsoft.com/downloads/release.asp?ReleaseID=31775Antonio Roperoantonior@hispasec.comMás información:Alerta Antivirus:http://www.alerta-antivirus.es/detalle_virus.php?cod_virus=1560Trend Micro:http://www.trendmicro.com/vinfo/virusencyclo/default5.asp?VName=WORM_FRETHEM.KMcAfee:http://vil.mcafee.com/dispVirus.asp?virus_k=99566PandaSoftware:http://service.pandasoftware.es/enciclopedia/ficha.jsp?Virus=W32/Frethem.Khttp://service.pandasoftware.es/enciclopedia/ficha.jsp?Virus=W32/Frethem.JSymantec:http://www.symantec.com/avcenter/venc/data/w32.frethem.k@mm.htmlNorman:http://www.norman.com/virus_info/w32_frethem_k_mm.shtmlBitdefender:http://www.bitdefender-es.com/virusi/virusi_descrieri.php?virus_id=102Computer Associates:http://www3.ca.com/virusinfo/Virus.asp?ID=12564http://www3.ca.com/virusinfo/Virus.asp?ID=12572F-Secure:http://www.f-secure.com/v-descs/frethem.shtmlKaspersky:http://www.viruslist.com/eng/viruslist.html?id=50644Sophos:http://www.sophos.com/virusinfo/analyses/w32frethemfam.htmlVSAntivirus. Crónica de un virus:http://www.vsantivirus.com/15-07-02.htmhttp://www.vsantivirus.com/16-07-02.htm
Un año de cursos Hispasec-ISI
Acaba de cumplirse un año desde el comienzo de la actividad formativaproducto de la colaboración entre HISPASEC e ISI (Instituto SeguridadInternet).El número de alumnos que han pasado por nuestros cursos es de 347 y ajuzgar por los cuestionarios de evaluación de calidad que se rellenan alfinal de cada curso el nivel de satisfacción de los alumnos es muy alto.Dicha satisfacción hace que la mejor publicidad para nuestros cursoshaya sido la comunicación "boca a boca". Los alumnos eran administradores de redes y sistemas así como desarrolladores de aplicaciones en Internet.Las empresas y organizaciones para las que trabajan nuestros alumnos sonde todo tipo: Bancos, Telecos, Ministerios, Fuerzas se seguridad, Mediosde comunicación, Fabricantes de Informática, Consultoras y Auditoras,etc. Diez de las compañías que forman el índice IBEX-35 nos han confiadola formación de su personal.Los cursos que actualmente se imparten son: "Seguridad Internet en Servidores Windows-2000" "Seguridad Internet en Servidores UNIX" "Desarrollo de aplicaciones Internet seguras con tecnologías Microsoft" "Seguridad Internet en routers CISCO"Durante este año irán apareciendo lo siguientes cursos: "Seguridad en aplicaciones .NET" "Sistemas de detección de Intrusos" "Respuesta ante incidentes y análisis forense"Redacción Hispasechispasec@hispasec.comMás información:Cursos de seguridad Internet http://www.hispasec.com/formacion/
Una utilidad incluida en el sistema operativo MacOS X, SoftwareUpdate,puede permitir la instalación de software no autorizado en las máquinasde los usuarios.El sistema operativo Mac OS X de Apple incluye una herramientadenominada SoftwareUpdate pensada para realizar la actualización, deforma automática y desatendida, de los diversos componentes del sistemaoperativo.SoftwareUpdate se conecta periódicamente -cada semana, en la configuración por defecto- para determinar si existe alguna actualización. Para ello, realiza una conexión HTTP con swscan.apple.com. Esta es una conexión sin ningún tipo de autenticación, ya que únicamente descarga un archivo XML que contiene la relación de los diversos componentes, con su nivel de versión.Con esta relación, el sistema operativo construye una lista del softwareinstalado en la máquina y la envía, también mediante HTTP sinautenticación, a swquery.apple.com. En el caso de existir una nuevaversión para alguno de los componentes, el servidor de Apple respondecon la ubicación del nuevo software, su tamaño y una breve descripción.En caso de no existir ninguna actualización, el servidor responde conuna página en blanco con el comentario de "No hay actualizaciones".Debido a la inexistencia de negociación de autenticación durante estacomunicación, un atacante puede hacerse pasar por los servidores deApple. Con esto puede conseguir la instalación, automáticamente, decualquier software, en los sistemas de la víctima. Además estainstalación se realiza con privilegios de root, por lo que el atacantedispone de un control completo sobre la víctima.En el momento de redactar este boletín, Apple no ha publicado todavíaninguna actualización de SoftwareUpdate que elimine esta vulnerabilidad.Existen diversas páginas dedicadas a la seguridad de Mac OS X que hanpublicado los detalles concretos de cómo aprovechar esta vulnerabilidad.Apple ha publicado la actualización SoftwareUpdate, que puede descargarse desde la dirección:http://download.info.apple.com/Mac_OS_X/061-0074.20020712/2z/SecurityUpdate7-12-02.dmg.binXavier Caballéxavi@hispasec.com
Undécima edición de "USENIX Security Conference"
Del 5 al 9 de Agosto se celebra la undécima edición de "USENIX SecurityConference", en San Francisco (EE.UU.).USENIX es una asociación nacida en 1975, desarrollando infinidad deiniciativas orientadas al avance de la tecnología informática, laseguridad y la resolución de problemas prácticos. En concreto, organizaafamados simposios anuales especializados en Seguridad.El simposio de 2002 se celebrará en San Francisco, los días 5 a 9 deAgosto. La fecha límite para el preregistro a coste reducido se haampliado hasta el próximo 17 de Julio, así que las personas interesadasen asistir pero que todavía no hayan completado el registro puedenbeneficiarse aún de descuentos de hasta 400 dólares.Este congreso no solo sirve como foro para la presentación de ponencias de gran interés, sino que también permite la celebración de encuentrossociales, encuentros temáticos, tutoriales y anuncios de "trabajos enprogreso". El programa de actos está disponible en el web del evento, enformato PDF.Tradicionalmente, muchos de los trabajos presentados en USENIX se acabanpublicando también online, en las propias webs de los autores. En sumomento, HispaSec se hará eco de los más interesantes.Jesús Cea Aviónjcea@hispasec.comMás información:USENIX - Security '02 - 11th USENIX Security Symposiumhttp://www.usenix.org/events/sec02/
Todos los profesionales de la criptología y la seguridad de lainformación tienen una cita ineludible los próximos 5, 6 y 7 deSeptiembre, en Oviedo.El encuentro, organizado por la universidad de Oviedo y la asociaciónespañola de criptología y seguridad de la información, reune a la flor ynata de la profesión y sirve como punto anual de intercambio deexperiencias y presentación de trabajos por parte de los investigadores.Se trata de un evento imprescindible para mantenerse al día en el"estado del arte" en el mundo de la criptología.HispaSec ya informó de este evento el pasado 2 de Enero. Para losrezagados, la fecha límite de inscripción es el próximo 15 de Julio.Jesús Cea Aviónjcea@hispasec.comMás información:VII Reunión Española sobre Criptología y Seguridad de la Información http://enol.etsiig.uniovi.es/viirecsi/Asociación Española de Criptología y Seguridad de la Informaciónhttp://aecsi.rediris.es/
APC: un gusano que ataca a Apache
Está circulando un gusano, extremadamente complejo, que ataca a los servidores web basados en Apache, en la plataforma FreeBSD, que todavía no han sido actualizados.Tal como informó Hispasec, en sendos boletines publicados el 17 y 20 de junio, a finales del mes pasado se dio a conocer la existencia de una vulnerabilidad en las versiones de Apache anteriores a la 1.3.26 y la 2.0.39. El problema radicaba en la forma en que Apache procesaba las cabeceras incorrectas en los "datos troceados" ("chunked data"). La vulnerabilidad podía permitir a un atacante remoto originar una condición de error en el servidor. En función de la versión de Apache y el sistema operativo utilizado en el servidor podía llegar a ser posible la ejecución de código en el servidor.Desgraciadamente, y en una actuación que levantó mucha polémica, la vulnerabilidad fue divulgada por ISS a las pocas horas de ser descubierta, sin dejar margen a los responsables del proyecto Apache a publicar las versiones actualizadas. Las nuevas versiones de Apache tardaron casi dos días en estar disponibles para su descarga.El gusano APCEl pasado 28 de junio, un servidor que actuaba como "honeypot"con Apache 1.3.24, permitió capturar un gusano que se conectaba a los servidores web e intentaba determinar si el mismo era vulnerable. El gusano ha sido bautizado como "APC" a partir de una cadena de texto que aparece dentro del mismo.ComportamientoLa primera acción que realiza el gusano es enviar un paquete (un simple "hola") al puerto 2001/udp a una dirección IP fija. A continuación queda a la escucha en este mismo puerto, esperando la recepción de órdenes. Esto permite controlar remotamente el gusano para utilizarlo como un "zombie" en un ataque de denegación de servicio distribuido contra objetivos concretos.Simultáneamente, el gusano empieza a rastrear direcciones IP, de forma aleatoria. En cada dirección intenta establecer una conexión TCP contra el puerto 80, enviando una simple petición HTTP ("GET / HTTP/1.1") . Si la máquina remota responde, el gusano analiza la respuesta. Si el servidor remoto se identifica como Apache envía una segunda petición HTTP que contiene el código del ataque (ver http://www.idefense.com/idtools/Apache%20Worm.txt).Este ataque es específico contra la plataforma FreeBSD 4.5.InfecciónEl servidor web registra, en el archivo log, la siguiente entrada:[Sun Jul 7 13:47:19 2002] [error] [client xx.xx.xx.xx] client sent HTTP/1.1 request without hostname (see RFC2616 section 14.23): /Por su parte, en /var/log/messages se registra el siguiente mensaje:Jul 7 13:47:25 foobar /kernel: pid 22639 (httpd), uid 80: exited on signal 11En los sistemas vulnerables, el gusano se copia en el directorio /tmp con los nombres ".a" y ".uua".Una vez copiados estos archivos, se ejecuta /tmp/.a, completando el ciclo.DetecciónSe puede detectar la presencia del gusano comprobando la existencia de los archivos ".a" y ".uua" en el directorio /tmp. Otra forma de detectar la actividad del gusano es monitorizando el tráfico que utilice el puerto 2001/udp.EliminaciónPara eliminar el gusano de una máquina comprometida deben borrarse los archivos ".a" y ".uua" del directorio /tmp y matar el proceso del gusano:% ps aux ! grep ".a" nobody 1103 0.0 0.4 932 444 v1 S 6:46PM 0:00.00 /tmp/.a xx.xx.xx.xx% kill -9 1103PrevenciónActualizar la versión de Apache a la 1.3.26.Xavier Caballéxavi@hispasec.com
Acceso al directorio 'WEB-INF' en diversos servidores de aplicaciones web
Existe una vulnerabilidad, presente en las versiones para Windows de servidores de aplicaciones y contenedores de servlets J2EE, que permite el acceso a los archivos presentes en el directorio WEB-INF.Los sistemas vulnerables son:* EA Serve (Sybase), versión 4.0* OC4J (Oracle) * Orion versión 1.5.3* JRun (Macromedia) versiones 3.0, 3.1 y 4.0* HPAS (Hewlett Packard) versión 3.0* Pramati versión 3.0* Jo!Una aplicación web ("web app") es una colección de servlets, JSP ("Java Server Pages"), documentos HTML, imágenes y otros archivos empaquetados de una forma tal que permite una rápida instalación en cualquier servidor web que de soporte a servlets.Estas aplicaciones habitualmente se encuentran empaquetadas en archivos .WAR, con una estructura estándar similar a la siguiente:index.htmlalgo.jspimages/on.gifimages/off.gifWEB-INF/web.xmlWEB-INF/lib/algo.jarWEB-INF/classes/MyServlet.classWEB-INF/classes/com/empresa/etc/servlet/empWebServlet.class...Esta estructura facilita la portabilidad de las aplicaciones entre diferentes servidores. El directorio "WEB-INF" es especial: cualquier cosa contenida dentro de él no debe ser visible a los clientes web ya que contiene la clase Java y la información de configuración de la aplicación web. Por tanto, cualquier intento de acceso al directorio habitualmente resulta en un código de error HTTP 404 (no encontrado) o 403 (acceso no permitido).El archivo web.xml situado dentro del directorio "WEB-INF", al que habitualmente se conoce como el "descriptor para despliegue", contiene información detallada sobre la aplicación web: mapeos de URL, detalles del registro del servlet, tipos MIME, restricciones de seguridad a nivel de página... etc.Existe una vulnerabilidad en los servidores de aplicaciones y contendedores de servlets citados más arriba que puede permitir a un atacante acceder a la información existente dentro del directorio "WEB-INF". Consiste, simplemente, en añadir un punto (".") a continuación del nombre del directorio:http://www.unservidor.com/WEB-INF./web.xmlhttp://www.unservidor.com/WEB-INF./classes/MyServlet.classEsta vulnerabilidad combina un error en el filtrado de URL que realizan los servidores de aplicaciones con una característica del sistema de archivos de Windows: se ignora el punto final en cualquier vía de acceso o nombre de archivo.Los diversos fabricantes afectados por la vulnerabilidad han publicado los parches o versiones actualizadas:* EA Server de SybaseActualización a la versión 4.1 * OC4J de OracleActualización a la versión 9.0.2 de OC4J/9iAS, disponible en http://otn.oracle.com/software/products/ias/devuse.html* Orion ServerActualización a la versión 1.5.4* JRun 3.0, 3.1 y 4.0Parche disponible en http://www.macromedia.com/v1/handlers/index.cfm?ID=23164* HPAS Solucionado mediante el paquete de mantenimiento 8* PramatiSolucionado en el Service Pack 1.* Jo!Actualización a la versión 1.0b7 Xavier Caballéxavi@hispasec.comMás información:Sybase - EA Serverhttp://www.sybase.com/products/applicationservers/easerver/Oracle - OC4Jhttp://otn.oracle.com/software/products/ias/devuse.htmlOrion Serverhttp://www.orionserver.comHPAS - Hewlett Packerdhttp://www.hpmiddleware.com/SaISAPI.dll/SaServletEngine.class/products/hp-as/default.jspPramatihttp://www.pramati.comJo!http://sourceforge.net/projects/tagtraum-jo
Es posible obtener el código fuente de las aplicaciones .ASA y .JSP residentes en un servidor JRun 4.0 simplemente añadiendo unos caracteres especiales en la URL.JRun 4.0 de Macromedia es un servidor J2EE diseñado para ejecutarse en servidores web para das soporte aplicaciones basadas en páginas JSP y Servlets en Java. Cuando en la URL se añaden unos caracteres especiales (%3f.jps o ?.jsp), el servidor JRun actúa de forma errónea y visualiza el código fuente de la aplicación. Esto no únicamente releva la lógica del funcionamiento de las aplicaciones sino que en muchas ocasiones este código fuente puede contener contraseñas de acceso a bases de datos. También puede facilitar a un atacante información sobre la ubicación de los recursos, la estructura de la red y del modelo de negocio.Esta vulnerabilidad sólo afecta a JRun versión 4.0 cuando se ejecuta en Windows 2000 Server con Internet Information Server como servidor web. Macromedia ha publicado un parche que soluciona esta vulnerabilidad, así como los otros problemas de seguridad conocidos hasta la fecha en JRun.Xavier Caballéxavi@hispasec.com
Se ha descubierto un problema de denegación de servicio que afecta a losservidores BEA WebLogic Server y Express.Existe una vulnerabilidad que puede permitir a cualquier atacante colgarel servidor BEA WebLogic Server debido a una "race condition", unasituación en las que dos o más procesos leen o escriben en un áreacompartida y el resultado final depende de los instantes de ejecución decada uno.Las instalaciones de WebLogic Server y Express 5.1.x, 6.0.x, 6.1.x y 7.0en Windows NT o Windows 2000 pueden verse afectadas por estavulnerabilidad.Bea ha publicado las siguientes actualizaciones para solventar esteproblema:BEA WebLogic Server y Express 7.0ftp://ftpna.bea.com/pub/releases/security/CR080901_70.zipBEA WebLogic Server y Express 6.1ftp://ftpna.bea.com/pub/releases/security/CR080901_61sp3.zipBEA WebLogic Server y Express 6.0ftp://ftpna.bea.com/pub/releases/security/CR080901_60sp2rp3.zipBEA WebLogic Server y Express 5.1ftp://ftpna.bea.com/pub/releases/security/CR080901_510sp12.zipAntonio Roperoantonior@hispasec.comMás información:BEA. Patch available to prevent DOS attack:http://dev2dev.bea.com/resourcelibrary/advisoriesdetail.jsp?highlight=advisoriesnotifications&path=components/dev2dev/resourcelibrary/advisoriesnotifications/advisory_BEA02-19.htm
Acaba de hacerse pública la versión squid-2.4.STABLE7 que solucionavarios problemas de seguridad en Squid y productos relacionados.Squid es un servidor proxy ampliamente utilizado por sus ampliasposibilidades de configuración y su alto rendimiento. Ofrece soportepara cacheo de FTP, gopher y HTTP.Entre los cambios relacionados con la seguridad de esta nueva versión,nos encontramos: - Reparación y limpieza del cliente Gopher, que corrige algunas vulnerabilidades y problemas al mostrar menús. - Reparaciones en la forma en que se procesan los directorios FTP a HTML. Se cree que tanto este problema como el anterior pueden ser explotados remotamente y provocar la ejecución de código al visitar un sitio especialmente creado. - Nueva opción "ftp_sanitycheck" que chequea que los canales de datos FTP coinciden correctamente con el servidor, para prevenir la inyección de datos en la conexión. - El ayudante de autenticación MSNT ha sido actualizado a la versión 2.0.3+fixes debido a que se han encontrado ciertos buffer overflows bajo ciertos tipos de configuración. - Reparado un problema debido a la forma en que Squid envía las credenciales de autenticación proxy que bajo ciertas condiciones puede llegar a enviar el conjunto usuario/clave a una web externa.Otros cambios: - Squid ahora rechaza correctamente cualquier petición que use la cabecera "transfer-encoding". - Cambios menores para dar soporte adecuado a Apple MAC OS X y plataformas relacionadas. - Implementada la opción -T - Reparados los problemas relacionados con HTCP en la reconfiguración del servidor ("squid -k reconfigure") Es aconsejable actualizarse a la última versión en caso de que estemosutilizando alguna anterior a la 2.4.STABLE6. La única forma decomprobar adecuadamente esto es ejecutando el comando: squid -v Si no es posible la actualización se hace necesario el establecimientode listas de acceso bastante restrictivas que no permitan el uso deFTP o Gopher. Las introduciremos al principio del archivo squid.conf: acl workaround proto FTP Gopher http_access deny workaround Francisco Javier Santosfsantos@hispasec.comMás información: Página oficial de Squid:http://www.squid-cache.org Actualización de Squid:http://www.squid-cache.org/Versions/v2/2.4/ Squid Proxy Cache Security Update Advisory:http://www.squid-cache.org/Advisories/SQUID-2002_3.txt 0
Desbordamiento de búfer en varias librerías de resolución de DNS
Algunas librerías de resolución de peticiones DNS contienendesbordamientos de búfer que pueden permitir, bajo determinadascircunstancias, que un atacante ejecute código arbitrario en una máquinaremota, con los privilegios del proceso que realiza la petición DNS."Domain Name System" (DNS) es una tecnología Internet cuyo principal usoes traducir nombres de dominio (como "www.hispasec.com", por ejemplo) adirecciones IP y viceversa. Se trata de un protocolo básico de Internet,casi tan importante como el propio IP.Cuando un programa desea realizar una resolución de DNS, típicamente,invoca una librería externa que abstrae a la aplicación de sus detallesinternos de funcionamiento, "sockets", temporizaciones, reintentos, etc.Algunas de esas librerías contienen desbordamientos de búfer que puedenser utilizados por un atacante remoto para matar el proceso que realizala petición o, con suerte, ejecutar código arbitrario en la máquina.Las vulnerabilidades afectan a:- Librería "libbind" del BIND de ISC (el servidor de nombres más populardel mundo).- Librería "libc" de las distribuciones *BSD.Conjuntamente, ambas vulnerabilidades cubren prácticamente todo elecosistema Unix, tanto sistemas "Open Source", como UNIX comercialescomo Solaris.Típicamente es necesario que el atacante disponga de un servidor de DNSválido en Internet, pero eso no es obstáculo en la práctica, ya queregistrar un dominio es cuestión de horas y de menos de 50 ?. También sepuede realizar el ataque desde un servidor DNS comprometido.Ambas organizaciones están distribuyendo ya versiones actualizadas desus librerías de resolución de nombres. Resulta necesario, pues: a)instalar las actualizaciones, b) reiniciar las aplicaciones que utilicenlas librerías de forma dinámica, c) reenlazar las aplicaciones queutilicen las librerías de forma estática.En el caso de BIND, la vulnerabilidad afecta a todas las versionesprevias al BIND 9. Se recomienda actualizar a BIND 9.2.1, y no instalarlas librerías de compatibilidad BIND 8 (no se instalan por defecto).Es de destacar que, dada las características de esta vulnerabilidad,puede atravesar multitud de cortafuegos del mercado, por lo queposibilita atacar máquinas, a priori, protegidas mediante medidasperimetrales clásicas.Jesús Cea Aviónjcea@hispasec.comMás información:CERT® Advisory CA-2002-19 Buffer Overflow in Multiple DNS ResolverLibrarieshttp://www.cert.org/advisories/CA-2002-19.htmlVulnerability Note VU#803539Multiple vendors' Domain Name System (DNS) stub resolvers vulnerable tobuffer overflowhttp://www.kb.cert.org/vuls/id/803539Buffer Overflow en Múltiples Bibliotecas de Resolución de DNShttp://www.unam-cert.unam.mx/Boletines/Boletines2002/boletin-UNAM-CERT-2002-019.htmlInternet Software Consortium - BINDhttp://www.isc.org/products/BIND/bind8.htmlInternet Software Consortium - BIND Vulnerabilitieshttp://www.isc.org/products/BIND/bind-security.htmlbuffer overrun in libc/libresolv DNS resolverftp://ftp.netbsd.org/pub/NetBSD/security/advisories/NetBSD-SA2002-006.txt.asc
Descarga de archivos con Lotus Domino R4 Web Server
El servidor web de Lotus Domino R4 se ve afectado por un problema deseguridad por el cual un atacante podrá descargar cualquier archivo deldirectorio raíz del web.Esta vulnerabilidad no funciona con los scripts estándar incluidos enDomino como admin4.nsf, names.nsf, domcfg.nsf, etc. Sin embargo, siexisten otros archivos o bases de datos .nsf realizados a medida en eldirectorio raíz del servidor web podrán descargarse con sólo añadir elcarácter "?" al final del nombre de archivo.http://servidordomino/archivo.ext?Permitirá la descarga de archivo.ext en lugar de su ejecución. Esto nose reproduce en otras carpetas diferentes a la raíz del web, ni en LotusR5.Lotus no ha publicado ningún parche ni actualización, ya que no loconsidera como un problema de gravedad, por lo que se recomienda situarlos archivos en una ruta diferente a la raíz.Antonio Roperoantonior@hispasec.comMás información:Lotus Domino Web Server File Retreival Vulnerabilityhttp://www.securiteam.com/securitynews/5EP010U7PI.html
Cisco Secure Access Control Server para Unix implementa el programaAcme.server lo que provoca una vulnerabilidad de escalada de directoriosy de divulgación de información.La vulnerabilidad se provoca cuando alguien navega en el servidor yañade barras como en el siguiente ejemplo:http://servidor:9090///Con lo que se conseguiría mostrar todos los archivos y el sistema dearchivos del servidor.El defecto descrito se encuentra presente en todas las versiones desdela 2.0 hasta la 2.3.5.1 incluida, de Cisco Secure ACS para Unix. Otrosproductos de la familia Cisco Secure ACS como las versiones para WindowsNT no son vulnerables a este problema. La corrección está incluida enACS Unix versión 2.3.6.1.El impacto de la vulnerabilidad puede variar dependiendo del acceso quetengan los potenciales atacantes al puerto 9090 del Cisco Secure ACS.Antonio Roperoantonior@hispasec.com
Vulnerabilidad en Netware FTP SERVER
Se ha publicado recientemente una vulnerabilidad de denegación de servicio sobre Netware FTP Server.El servidor FTP de Netware, se ve afectado por una vulnerabilidad porla que un atacante podría causar una denegación de servicio, es decir, dejar totalmente inoperativo el servidor sin posibilidad de atender ninguna petición. Deberá reiniciarse todo el sistema con el fin de recobrar la funcionalidad habitual del servicio.El Servidor FTP de Netware tiene una condición de bug de formato de cadena que puede provocarse mediante el uso de formatos de cadena iguales al nombre de usuario de login. Lo cual conducirá al servidor a una terminación inexperada (ABEND). Actualmente no se encuentra disponible ningún parche que remiende estavulnerabilidad. Las pruebas de comprobación de esta vulnerabilidad se han Realizado sobre Novell Netware FTP Server y corría en Netware 6.0 SP 1 conactualización a NWFTPD.Antonio J. Román Arrebolaroman@hispasec.comMás información:cqure.net.20020521.netware_nwftpd_fmtstrhttp://www.cqure.net/advisories/netware_nwftpd_fmtstr.htmlNovell, Inchttp://www.novell.com
La seguridad del modelo de código abierto
Una ponencia presentada en un congreso sobre el software de código abierto analiza el modelo de seguridad del software de código fuente abierto y del software de código fuente propietario y advierte sobre las iniciativas que está tomando la industria para 'proteger' los sistemas informáticos.En el congreso "Open Source Software: Economics, Law and Policy", celebrado en la localidad francesa de Toulouse del 20 al 21 de junio de este año, Ross Anderson, de la universidad de Cambridge, presentó la ponencia "Security in Open versus Closed Systems - The Dance of Boltzmann, Coase and Moore".Esta ponencia analiza los modelos de seguridad implícitos a los dos modelos predominantes de desarrollo de software: software de código fuente abierto ("open source") y software de código fuente propietario. Por otro lado, realiza un análisis de la iniciativa TCPA.Tradicionalmente se ha asumido siempre que el modelo de código abierto permitía disponer de un código de mayor calidad (y más seguro) debido a que la propia comunidad era la encargada de mantener el código fuente. Ante esto, los defensores del modelo de código fuente propietario respondían que el libre acceso al código fuente facilitaba la localización de agujeros en la seguridad del software.Hasta la fecha nadie había realizado un estudio serio sobre ambos modelos de seguridad, para analizar las ventajas e inconvenientes de ambos. Precisamente este ha sido el objetivo del trabajo de Ross Anderson. En él, intenta demostrar que los argumentos indicados anteriormente para la defensa de uno u otro modelo son excesivamente simplistas.La segunda parte del estudio de Ross Anderson, se centra en el análisis de la iniciativa de Intel, HP, IBM y Microsoft denominada "Trusted Computing Platform Alliance" (TCPA) que tiene como objetivo que la nueva generación de ordenadores personales sean más seguros. En realidad, según Anderson, el objetivo es aumentar la seguridad en aquello que interesa a los fabricantes de ordenadores y de software, en contra de los intereses reales de los usuarios de los mismos en materia de seguridad.Según Anderson, la TCPA de prosperar puede ser una amenaza directa a la comunidad de software de código abierto, por motivos más directamente relacionados con la economía que no con la tecnología.TCPA no es un proyecto futuro, sino que hoy en día ya existen ordenadores que cumplen las especificaciones TCPA. También algunas características de Windows XP (la necesidad de renovar el registro si el usuario modifica sustancialmente la configuración de su ordenador) también están incluidas dentro de la TCPA.Xavier Caballéxavi@hispasec.comMás información:Página personal de Ross Andersonhttp://www.cl.cam.ac.uk/users/rja14Security in Open versus Closed Systems - The Dance of Boltzmann, Coase and Moorehttp://www.cl.cam.ac.uk/ftp/users/rja14/toulouse.pdfOpen Source Software: Economics, Law and Policyhttp://www.idei.asso.fr/ossconf.htmlTrusted Computing Platform Alliance (TCPA)http://www.trustedcomputing.org/Especificación TCPA v1.1http://www.trustedcomputing.org/docs/main%20v1_1b.pdfEspecificación para la implementación de TCPA en PChttp://www.trustedcomputing.org/docs/TCPA_PCSpecificSpecification_v100.pdfFears of Misuse of Encryption System Are Voiced The New York Times (20-06-02)http://cryptome.org/tcpa-rja.htmSecurity of Open vs. Closed Source Softwarehttp://slashdot.org/articles/02/06/21/1227222.shtmlStudy: Equal security in all software http://news.com.com/2100-1001-938124.htmlMS to eradicate GPL, hence Linuxhttp://www.theregister.co.uk/content/4/25891.html
Finaliza con éxito la II Campaña de Seguridad en l...
La "Liberty Alliance" publica sus primeras especif...
Estadísticas del CERT para el primer semestre del ...
La instalación de SQL Server deja las contraseñas ...
Desbordamiento de búfer en Norton Personal Interne...
VII Reunión Española sobre Criptología y Seguridad...
Acceso al directorio 'WEB-INF' en diversos servido...
Divulgación del código fuente de las aplicaciones ...
Desbordamiento de búfer en varias librerías de res...
Descarga de archivos con Lotus Domino R4 Web Serve...
Vulnerabilidad de divulgación de información con C...

References: resolución 
 resolución 
 resolución 
 resolución 
 resolución 
 Resolución