Charlie Miller, el investigador de seguridad reconocido por vulnerar los productos de Apple, hará pública (en la conferencia de seguridad CanSecWest a finales de este mes) su más reciente investigación a través de la cual, según él, fue capaz de encontrar cerca de 30 defectos críticos en software de uso común.

Después de haber "hackeado" anteriormente la MacBook Air y el navegador Safari, parecería que se inclina por hacer quedar mal a Apple, pero su investigación abarcó pruebas a diferentes proveedores de software: Adobe Reader, Apple Preview, Microsoft PowerPoint y OpenOffice Oracle. Read more »

Es muy común buscar la personalización hasta el extremo de los servicios que utilizamos y descubrir características que aún no poseen nuestros amigos. Pero Facebook está advirtiendo que no es posible saber quién miró tu perfil, pese a que numerosas aplicaciones lo pregonan a los cuatro vientos. Read more »

Un escritor de explotaciones en Core Security Technologies descubrió una vulnerabilidad grave que expone a los usuarios del programa de virtualización Microsoft Virtual PC a los ataques maliciosos de hackers. 

La  falla, aún sin reparar, en esencia, permite a un atacante saltarse diversas mitigaciones de seguridad como  la prevención de ejecución de datos (DEP), controladores de excepciones de seguridad (SAFESEH) y la asignación de espacios aleatorios (ASLR)  para explotar el sistema operativo Windows. 

 Read more »

Por Ariel Waissbein

Vulnerabilidades continúan siendo  detectadas y explotadas con éxito en los productos más populares de Adobe : Acrobat y Reader. Hace unos días el equipo de Viruslist recibieron un archivo PDF (detectado como Exploit.JS.Pdfka.bui), que contenía un exploit para  la vulnerabilidad CVE-2010-0.188, que originalmente fue descubierto en febrero en Acrobat / Reader versión 9.3 y anteriores.

La vulnerabilidad - un desbordamiento de búfer - se manifiesta cuando se accede al campo que contiene la imagen. El ataque se realiza mediante "la dispersión de pilas”, una popular técnica utilizada por muchas explotaciones en productos capaz de ejecutar código JavaScript. El reciente ataque Aurora es un buen ejemplo de esta técnica en acción.

Microsoft publicó una solución para ayudar a los usuarios de Internet Explorer a bloquea los ataques de malware contra una vulnerabilidad aún sin reparar en el navegador. 

La herramienta de reparación está disponible aquí, y  desactiva eficazmente los valores de fábrica en el binario Iepeers.dll en las versiones afectadas de Internet Explorer. 

Se ha dado a conocer una vulnerabilidad en Skype (en todas las versiones previas a la 4.2.0.1.55 (v4.2 hotfix #1) para Windows), que podría ser aprovechada por un atacante para evitar restricciones de seguridad y descubrir información sensible. Skype es un el cliente de VoIP (voz sobre IP) muy popular, tiene millones de usuarios por todo el mundo y permite las comunicaciones a través de chat, voz y videoconferencia con otros usuarios de Skype o de teléfonos fijos. Además está disponible para distintas plataformas Windows, Linux y Mac OS X.

 Read more »

Por Andrew Storms

Cada mes, como un reloj, Microsoft publica boletines de seguridad y todas las personas cada mes me preguntan si es pequeño o un lanzamiento grande. Si bien los detalles exactos de los parches son generalmente tratados como noticias, la esperada carga de trabajo de cada mes realmente no debería ser un juego de adivinanzas, porque la liberación de parches de Microsoft es predeciblemente cíclica. 

Apple libero el día de ayer una nueva versión de su navegador Safari con el fin de corregir fallas de seguridad.

La actualización 4.0.5, disponible para Mac OS X y Windows, repara fallas que pueden lleva a la ejecución de código remoto cuando un usuario es engañado para visitar un sitio web malicioso. Read more »

Con el uso de pistas dejadas en el blog de McAfee, un hacker israelí fue capaz de localizar la última vulnerabilidad de día cero en Internet Explorer y crear un código de explotación funcional. 

El código de explotación abre camino para la puesta en marcha de ataques  de gestión de descargas para todos los usuarios de IE 6 e IE 7, y ya colocado en la herramienta  de punto y clic de Metasploit. 

 Read more »