Está usted visitando una publicación en la hemeroteca de CSIRT-CV.
Para acceder al portal y contenido actual, visite https://www.csirtcv.gva.es

03/10/2014

Boletín 22/09/2014 - 03/10/2014

Si hay que destacar algo de los últimos días, sin duda, es 'Shellshock', la grave vulnerabilidad que se ha publicado sobre Bash, el intérprete de comenados más utilizado en GNU/Linux y muchos otros sistemas basados en UNIX como Android y Mac OS X. Esta vulnerabilidad puede ser explotada, entre otros, para instalar código malicioso en los sistemas vulnerables pudiendo obtener el control del sistema. La mayoría de distribuciones importantes de GNU/Linux ya han lanzado actualizaciones para solucionar el problema, desde CSIRT-CV se recomienda aplicar dichas actualizaciones lo antes posible y continuar pendientes de las novedades con respecto a esta vulnerabilidad.

Otra grave vulnerabilidad que se descubrió el pasado julio, badUSB, fue la que afectaba a cualquier memoria o dispositivo de almacenamiento USB y para la cual esta misma semana han publicado el código, en una maniobra discutible, pero quizá necesaria. BadUSB puede ser utilizada para tomar el control sobre el ordenador de un tercero, eliminar y mover archivos o redireccionar el tráfico online del usuario.

También hemos tenido noticias de que el sitio web oficial de la popular biblioteca de JavaScript multiplataforma jQuery.com ha sido comprometido para servir malware. La buena noticia es que no hay ningún indicio de que haya sido afectada la propia libreria de jQuery.

Al igual que las amenazas cada día son más sofisticadas, las soluciones de seguridad también se sofistican, y es con ello que desde la el Centro Criptológico Nacional (CCN), adscrito al Centro Nacional de Inteligencia (CNI) nos anuncian CARMEN (Centro de Análisis de Registros y Minería de Eventos), solución desarrollada por la valenciana S2 Grupo con el objetivo de identificar incidentes críticos provocadas por amenazas persistentes avanzadas (APT).

En otro orden de cosas, las autoridades europeas en materia de protección de datos han aprobado el primer dictamen conjunto sobre el Internet de las cosas, que atiende a los retos que presentan nuevos escenarios como los wearables, los dispositivos relacionados con la salud y el deporte y la domótica.

Por último comentar que ya está abierta la inscripción para la cuarta edición de 2014 de los microcursos online de seguridad que imparte CSIRT-CV a través de la plataforma SAPS? de forma totalmente gratuita.

Actualizaciones de programas

Se ha publicado un parche de seguridad para Xen que evita que invitados del HVM puedan provocar la caída del servidor o que tengan datos de otros huéspedes o del propio hipervisor.

Se ha identificado una vulnerabilidad que afecta a todas las versiones de iOS anteriores a la versión 8 y que podría ser aprovechada por un delincuente cuando un usuario, haciendo uso del navegador Safari, visualiza un documento PDF que esté diseñado para realizar acciones maliciosas en el dispositivo iOS como iPhone, IPad, IPod Touch o Apple TV. Desde el fabricante se recomienda aplicar las actualizaciones.

Han sido corregidas varias vulnerabilidades en el core de Joomla! que afectan a varias versiones de la rama 2.x y 3.x. Para las versiones de la rama 3.x, actualizar a las versiones 3.2.5 o 3.3.4. Para las versiones de la rama 2.x, actualizar a la versión 2.5.25. Hay que tener en cuenta que a final de 2014, se acaba el soporte para la rama 2.5x y todo lo que no corra con versiones 3x será vulnerable.

CSIRT-CV