Está usted visitando una publicación en la hemeroteca de CSIRT-CV.
Para acceder al portal y contenido actual, visite https://www.csirtcv.gva.es

04/01/2019

Boletín 22/12/2018 - 04/01/2019

Empezamos este nuevo año con problemas de seguridad relativos a IoT. Por un lado, la empresa Trend Micro ha publicado un análisis que revela que dos de los protocolos de IoT de mensajería más utilizados presentan vulnerabilidades que, en caso de ser explotadas, permitirían a un atacante llevar a cabo ataques de denegación de servicio o controlar remotamente un endpoint de IoT, entre otros. Sabemos que los dispositivos IoT no están diseñados habitualmente con medidas de seguridad robustas, evidencia de ello son las múltiples vulnerabilidades que se han detectado en dichos dispositivos. Un ejemplo de ello se publicaba recientemente referente a un fallo de seguridad en las cámaras IP de Guardzilla que permite acceder a las grabaciones de otros usuarios.

Por otro lado, y aunque sea una notifica ficticia, la OSI ha publicado un relato de cómo usar la información de sensores y dispositivos IoT para preparar un robo en una vivienda conectada. En definitiva, queda de manifiesto que ante la adquisición de nuevos dispositivos IoT, deben tenerse en cuenta los requisitos de seguridad que deben cumplir, y sobre todo no delegar la seguridad del hogar a solo la contraseña de la WiFi.

Como ya veníamos avisando el malware continuará aumentado en 2019 al igual que lo hizo en un 200% en 2018, probablemente debido al auge del cryptojacking y como están siendo utilizados los dispositivos IoT para minar criptodivisas. 

Este año no solo comienza con malas noticias sobre fallos de seguridad sino que también nos deja la publicación de la versión 2.0 del NIST Risk Management Framework; metodología pública de gestión de riesgos de origen americano aplicable a cualquier tipo de organización. Una de sus principales novedades es el protagonismo que ha ganado la privacidad de la información, poco tratada hasta ahora en versiones anteriores.

Vulnerabilidades y actualizaciones publicadas

Nuevamente un investigador de seguridad "SandboxEscaper" ha revelado una nueva vulnerabilidad "Zero day" que afecta a Microsoft Windows a través de un mensaje en la red social Twitter. De momento no se conocen demasiados datos pero se sabe que esta nueva vulnerabilidad afecta a "Readfile.exe" y permitiría a un usuario con pocos privilegios leer cualquier archivo al que se pueda acceder mediante la cuenta del sistema local". Este fallo de seguridad parece que solo puede explotarse localmente, por lo cual no deberiamos tener ningún tipo de problema siempre y cuando tengamos cuidado con las personas que tengan acceso físico a nuestro ordenador.

Se ha detectado una vulnerabilidad en el comando wget que permitiría obtener información sensible. La vulnerabilidad, con CVE-2018-20483, puede ser solucionada en aquellos sistemas que hagan uso de GNU Wget actualizando a la versión 1.20.1 o posterior.

También se han identificado fallos de seguridad en las aplicaciones Adobe Acrobat y Reader para Windows y MacOS, que podrían permitir a un atacante obtener información sensible, realizar una escalada de privilegios o incluso ejecutar código arbitrario en el contexto del usuario.

Se ha encontrado una vulnerabilidad en los modems de Orange Livebox mediante la cual se puede obtener el SSID y contraseña WiFi del dispositivo. Se recomienda actualizar a la última versión de firmware en los sistemas afectados.

CSIRT-CV