Está usted visitando una publicación en la hemeroteca de CSIRT-CV.
Para acceder al portal y contenido actual, visite https://www.csirtcv.gva.es

26/06/2015

Boletín 13/06/2015 - 26/06/2015

Tal como hemos venido anunciando, a partir del próximo mes de julio, Microsoft dejará de ofrecer actualizaciones de seguridad para Windows 2003 Server (como ocurrió con Windows XP el año pasado). Esto supone que si se publica alguna vulnerabilidad que afecte a este sistema operativo, no va a ser solucionada por Microsoft. Además, poco a poco los distintos fabricantes de software dejarán de soportar esta plataforma para sus productos.
Mantener un equipo con W2003 supondrá un problema de cumplimiento difícilmente justificable. La solución que les queda al más de millón y medio de equipos con este sistema, es planificar una migración a una versión más reciente o mudarse a la nube.

Se ha publicado una actualización de seguridad para los más de 600 millones de móviles Samsung (a partir del S4) que tienen la versión vulnerable del teclado SwiftKey.  La explotación de esta vulnerabilidad permitiría:

• Acceder a sensores como el GPS, cámara, micrófono, ...
• Instalar aplicaciones sin que el usuario lo vea
• Alterar el funcionamiento de aplicaciones o del móvil
• Interceptar mensajes o llamadas
• Acceder a imágenes o mensajes de texto

Precisamente, para detectar este tipo de vulnerabilidades, el programa Android Security Rewards, anunciado por Google, permitirá que los investigadores reporten vulnerabilidades de Android y recibir una compensación económica por ello. El año pasado Google pagó un millón y medio de dólares a los investigadores de seguridad que encontraron vulnerabilidades en Google Chrome y otros productos.

Ha sido también noticia esta quincena que el portal LastPass ha sufrido una intrusión por la que los atacantes han conseguido acceder a direcciones de correo electrónico, recordatorios de contraseñas y hashes de autenticación, aunque no se han comprometido los datos cifrados de los usuarios. Desde LastPass están solicitando a los usuarios que cambien la clave principal de acceso.

Pero este ataque no ha sido el único relevante de la semana: la Policía ha alertado sobre una nueva campaña de correos fraudulentos que suplantan a la Agencia Tributaria que persiguen engañar a los ciudadanos para robarles datos o acceder a sus equipos. Se trata de un phishing similar al que suplantaban a Sociedad Estatal Correos y Telégrafos, que engañaban a los usuarios que finalmente acababan instalando un malware que cifraba sus datos. Según indica el FBI este malware ha costado a sus víctimas más de 18 millones de dólares en Estados Unidos. 

En lo que a CSIRT-CV respecta, ha sido una quincena intensa:

Hemos iniciado una nueva campaña de concienciación para este verano, en la que se dará especial relevancia a dispositivos y aplicaciones móviles, ya que son especialmente usados en fechas estivales. Como siempre, nuestras campañas se desarrollarán a través de las redes sociales.

Además, el próximo miércoles 1 de julio se abrirá la inscripción para una nueva edición de los cursos online de seguridad que imparte CSIRT-CV a través de la plataforma SAPS? Se trata de un grupo de cursos y microcursos con diversa temática sobre seguridad. Además, en esta nueva edición estrenamos un nuevo curso: Uso seguro de iOS, imprescindible para los que utilicen iPhone, iPad,...

Por último, nos alegra informar de que CSIRT-CV ha recibido por parte de AENOR la certificación de cumplimiento de la nueva ISO 27001:2013. Esta certificación demuestra el compromiso de la Generalitat Valenciana con la seguridad de la información. CSIRT-CV se ha convertido en uno de los primeros organismos valencianos en adecuarse a la ISO 27001:2013, y en el primero dentro de la Generalitat.

Actualizaciones de programas:

Drupal ha publicado dos nuevas versiones, 7.38 y 6.36, para solucionar fallos de seguridad catalogados como críticos entre los que se incluyen vulnerabilidades de los tipos Access bypass, Information Disclosure, Open Redirect, entre otras. Es imprescindible actualizar cuanto antes.

Por su parte, Adobe también ha publicado dos actualizaciones relevantes. Se ha corregido una vulnerabilidad crítica en Adobe Flash Player que permitía tomar el control de los equipos atacados, y otra que afectaba a su producto Adobe Connect por la que se podía, por ejemplo, robar cookies mediante ataques XSS.

Cerramos las actualizaciones de programas informando de que VMWare ha publicado también diferentes actualizaciones para corregir vulnerabilidades que podrían causar denegaciones de servicio y ejecución de código arbitrario.

CSIRT-CV