Se han encontrado múltiples vulnerabilidades en 3Com Wireless 8760 Dual-Radio 11a/b/g PoE Access Point que podrían ser aprovechadas por un atacante para saltarse restricciones de seguridad, acceder a información sensible, inyectar código SNMP y perpetrar ataques de cross-site scripting.

En la entrega anterior hablamos de este boletín de Microsoft y la polémica que ha suscitado. También del protocolo NTLM y su diseño, culpables en última instancia de un ataque que permite acceder a los mismos recursos a los que tiene acceso la víctima. ¿Qué ha hecho Microsoft durante estos siete años para atajar el fallo? ¿Está totalmente corregido el problema con este parche?

Mucho está dando que hablar el boletín MS08-68 de Microsoft. Se dice que por fin, ha corregido una vulnerabilidad conocida desde hace siete años. Pero esto, como cualquier simplificación, no es del todo cierto. No es una vulnerabilidad como tal, ni ha sido corregida por completo, porque no se puede. Vamos a intentar aclarar algunos asuntos en dos entregas.

Se ha anunciado una vulnerabilidad en el BlackBerry Desktop Software, que puede ser utilizada por un atacante para lograr el compromiso del sistema afectado.

IBM ha anunciado la publicación de una actualización que corrige diversas vulnerabilidades en IBM AIX 6.1.

SuSE ha publicado una nueva actualización para múltiples paquetes que corrigen numerosos problemas de seguridad.

No es broma, las nuevas estrategias en la detección de código malicioso apuntan a ese objetivo que puede sonar utópico. No quiere decir que nos estemos acercando al antivirus perfecto, sino que los nuevos enfoques de las soluciones de seguridad intentan identificar tanto al malware como a los ficheros legítimos, tratan de clasificar todo.

Apple ha lanzado una nueva actualización de seguridad (v.2.2) para el firmware de dos de sus dispositivos portátiles (iPhone e iPod touch). En la nueva versión se solventa, entre otros, un fallo en el iPhone a la hora de manejar el protocolo "tel://" que podría ser aprovechado para forzar una llamada telefónica si se visita con Safari una página web especialmente manipulada. A pesar de que se deja vulnerabilidades sin solucionar, la versión 2.2 del firmware para iPhone e iPod touch añade nuevas funcionalidades y soluciona un mínimo de 12 problemas de seguridad.

Coincidiendo con el décimo aniversario de "una-al-día" publicamos hace una semana un nuevo reto de ingeniería inversa relacionado con el evento. La idea era analizar y entender un programa conocido como crackme, destinado específicamente a que su propia protección software sea sorteada. En la entrega de hoy desvelamos los lectores premiados y cómo solucionarlo.

La consultora Ernst & Young ha publicado los resultados de la Encuesta Global de Seguridad de la Información (Global Information Security Survey) en su undécima edición, en la que se ofrece una mirada al actual estado de la seguridad de la información y ofrece recomendaciones para la mejora de cara al futuro.

El Tercer Día Internacional de la Seguridad de la Información DISI 2008, evento en el que Hispasec Sistemas participa como colaborador, se celebrará en la Escuela Universitaria de Ingeniería Técnica de Telecomunicación EUITT, en el Campus Sur de la Universidad Politécnica de Madrid, España, el próximo LUNES 1 de DICIEMBRE.

Se ha descubierto una vulnerabilidad en Check Point VPN-1 que podría permitir a un atacante remoto obtener las direcciones IP de la red interna.

Collin Mulliner ha descubierto un fallo en iPhone que permite realizar llamadas involuntariamente con sólo pulsar sobre un enlace. Lo terrorífico, es que las llamadas no se pueden cancelar con ningún botón ni virtual ni físico.

SuSE ha publicado una actualización para múltiples paquetes que solucionan numerosas vulnerabilidades.

Dentro del marco de la celebración por el décimo aniversario de una-al-día, vamos a presentar un nuevo reto de ingeniería inversa relacionado con el evento. La idea es analizar y entender un programa conocido como crackme, destinado específicamente a que su propia protección software sea sorteada.

Durante las últimas semanas, con la convocatoria de varias movilizaciones y actos para mañana día 19 de noviembre, se ha intensificado el debate sobre la necesidad de regulación profesional de la Informática, como Ingeniería que es. Desde Hispasec hemos querido ir, si cabe, un poco más allá, planteando la necesidad de contar con una formación académica y/o mecanismos de acreditación específicos en Seguridad TIC. Para ello, a modo de entrevista, contamos con la inestimable colaboración de D. Fernando Arroyo Montoro, Director del Departamento de Lenguajes, Proyectos y Sistemas Informáticos de la Escuela Universitaria de Informática de la Universidad Politécnica de Madrid, la Escuela de Informática más antigua de España, que acaba de cumplir 30 años y D. Jorge Ramió Aguirre, profesor de Seguridad Informática en la UPM desde 1994, Coordinador de la Red Temática Iberoamericana de Criptografía y Seguridad de la Información CriptoRed y Director de la Cátedra UPM Applus+ de Seguridad y Desarrollo de la Sociedad de la Información.

La AMTSO (Anti Malware Testing Standards Organization) ha publicado un par de documentos en los que se explican principios generales básicos a seguir a la hora de realizar comparativas de productos antivirus con cierto fundamento.

Dentro del conjunto de boletines de seguridad de noviembre publicado el pasado martes por Microsoft y del que ya efectuamos un resumen, se cuenta el anuncio (en el boletín MS08-069) de una actualización crítica para evitar tres vulnerabilidades en Microsoft XML Core Services, que podrían permitir a un atacante remoto ejecutar código arbitrario, o revelar información sensible, si el usuario visualiza un email, o abre con Internet Explorer una página web especialmente manipulada.

Después de que Mozilla publicara recientemente una actualización de seguridad para su navegador Firefox, ahora le ha llegado el turno a Safari. Apple acaba de lanzar la versión 3.2 de su navegador en la que se corrigen hasta 12 vulnerabilidades, algunas de ellas catalogadas como críticas ya que podrían permitir la ejecución de código de forma remota. Recordamos que la última revisión de seguridad de Safari fue publicada a finales del mes de Junio.

La Fundación Mozilla ha publicado múltiples actualizaciones para Thunderbird, Seamonkey y para las dos ramas de su navegador Firefox (2.x y 3.x). Las nuevas versiones corrigen múltiples fallos de seguridad que podrían permitir salto de restricciones, revelación de información sensible, denegaciones de servicio y ejecución de código arbitrario por parte de un atacante remoto, pudiendo comprometer un sistema vulnerable.