Está usted visitando una publicación en la hemeroteca de CSIRT-CV.
Para acceder al portal y contenido actual, visite https://www.csirtcv.gva.es

11/01/2013

Boletín 31/12/2012 - 11/01/2013

Tras el parón de navidades, empezamos el año 2013 cargados de nuevas noticias y alertas de seguridad.

Finalizamos el año 2012 con un 0-day en Microsoft Internet Explorer 8 y anteriores, por el que a partir de una vulnerabilidad use-after-free se permitía la ejecución de código en el equipo infectado. Metasploit ya ha incorporado un exploit para este fallo a su framework, y también existe una prueba de concepto diseñada por el investigador de seguridad Eric Romang. Microsoft, por su parte, se apresuró a publicar una actualización de emergencia para mitigar este problema.

Para no ser menos, 2013 ha empezado con una vulnerabilidad grave en Ruby on Rails (que ya ha sido corregida), y un 0-day en Java, que está siendo explotado en Internet y del que todavía no se ha publicado solución. Esta última vulnerabilidad es especialmente grave ya que, como en el caso anterior, existen pruebas de concepto disponibles y también un módulo de Metasploit que aprovecha esta vulnerabilidad.

En esta quincena festiva se han sucedido las publicaciones de informes recopilando datos del 2012, como el de la Policía Nacional que repasa las ciberestafas más frecuentes de 2012, o el anecdotario vírico de Panda. Asimismo, se han publicado predicciones sobre lo que nos traerá el 2013, donde destaca el informe de S21Sec sobre peligros de 2013 y el informe de McAfee donde se pronostica el fin de Anonymous para este año.

También ha sido relevante en los últimos días la creación de un Centro Europeo de Ciberdelincuencia, que se inaugura hoy mismo.

Como no, también tenemos casos de phishing enfocados a España, como el de La Caixa, que además descarga malware, o el del Ministerio de Hacienda y Administraciones Públicas, donde se solicitan datos personales y bancarios de los usuarios. No nos cansamos de recordar que ni la administración pública ni las entidades bancarias nos solicitarán nunca datos personales por correo electrónico, y que nunca debemos responder comunicaciones de este tipo.

Actualizaciones de programas:

Como viene siendo habitual, esta semana Microsoft ha publicado el último paquete de actualizaciones de seguridad correspondientes al mes de enero. Se incluyen siete boletines, dos clasificados como críticos y cinco como importantes. Dichos boletines solucionan vulnerabilidades relacionadas con Microsoft Windows, Microsoft Office y .NET Framework, entre otros. Una de las más importantes afecta a Microsoft XML Core Services, y cuya urgencia ha sido confirmada por varios expertos de seguridad.

Otro habitual es Adobe, que ha publicado dos nuevos boletines de seguridad, esta vez para sus productos Flash Player y Reader y Acrobat.

Para finalizar, destacamos la nueva versión de Asterisk, que corrige dos vulnerabilidades críticas que podrían permitir que atacantes remotos causaran denegación de servicio en estos conocidos servidores de telefonía IP.

CSIRT-CV