La compañía noruega Opera Software liberó hoy una versión corregida de su navegador. La versión 9.62 corrige una falla importante que permite ciertos ataques aprovechando una vulnerabilidad que señalamos ayer.
La empresa recomienda a los usuarios actualizar su navegador lo antes posible.
Redacción de Segu-Info
Hace algunos momentos Microsoft emitió el Sumario de Seguridad actualizado para Octubre 2008, incluyendo la información del nuevo parche que adelantaramos esta mañana en Segu-info.
El nuevo Boletín, ‘crítico’ para casi todas las versiones de Windows y sólo ‘importante’ para Vista y 2008, es el denominado MS08-067.
Lo destacable de la vulnerabilidad descripta, y que entendemos es una de la causas de liberarlo ahora, es:
En el momento de publicar este boletín de seguridad, ¿había recibido Microsoft algún informe que indicase que se estaba utilizando esta vulnerabilidad?
Sí. Microsoft es consciente de ataques limitados y dirigidos que intentan aprovechar esta vulnerabilidad. No obstante, cuando se publicó el boletín Microsoft no había visto publicado ningún ejemplo de código de prueba de concepto.
Recomendamos, como con cualquier parche, probar lo mejor posible los parches antes de aplicarlos en equipos productivos.
Redacción de Segu-Info
En un boletín de seguridad de hoy la empresa Microsoft anunció que hacia el final del día liberará nuevos parches para la plataforma Windows, calificados en su mayoría como “Críticos” la máxima calificación que otorgan. Sólo los parches para Windows Vista y Windows 2008 son calificados como “importantes”.
En el boletin, que es un adelanto que envia Microsoft a los sucriptores del boletin de Seguridad, no se dan detalles de el/los componentes afectados por esto parches.
Normalmente Microsoft libera parches el segundo martes de cada mes, y así lo hizo el pasado 14 de octubre. Evidentemente consideran los parches anunciados para hoy lo suficientemente importantes para no esperar al mes que viene.
Hoy a las 18hs (hora de Buenos Aires) Microsoft hará un Webcast para dar un breve repaso de este boletin y atender principalmente consultas de los asistentes.
Les recordamos que Microsoft no envia correos con parches adjuntos.
Redacción de Segu-Info
Bolentin de notificacion avanzada (inglés):
http://www.microsoft.com/technet/security/bulletin/ms08-oct.mspx
El miércoles Adobe anunció el lanzamiento de Flash Player versión 10, que se ocupa de la vulnerabilidad de seguridad clickjacking la cual podría dar acceso a un atacante para usar la cámara y micrófono del usuario.
En un boletín de seguridad, Adobe dice que todos los usuario de Flash Player versión 9.0.124.0 y anteriores deben actualizar a la versión 10. Los usuarios pueden actualizar ejecutando el auto-update del programa cuando este les pregunta, o visitar el sitio de Adobe’s Player Download Center.
“El clickjacking es un problema en múltiples navegadores web que le pueden permitir a un atacante atraer al usuario a hacer clic en enlaces o diálogos sin que se de cuenta,” dijo Adobe en un boletín de seguridad. “Esta actualización previene el ataque de clickjacking en un Flash Player en las cámara y micrófono del usuario. ”
La actualización también se ocupa de otros asuntos de seguridad. Previene de un ataque de escalación de privilegios contra servidores web que alojan contenido Flash y archivos de políticas interdomino, repara una falla potencial de escaneo de puertos e impide potenciales ataques a la API del portapapeles, dijo Adobe en su boletín de seguridad.
“Recomendamos a todos los usuarios actualizar a Adobe Flash Player 10 para mitigar los potenciales problemas de seguridad descriptos en el Boletín de Seguridad del 15 de Octubre” le dijo en un correo electrónico a SCMagazineUS.com Brad Arkin, director, Seguridad y Privacidad de Producto en Adobe.
Los clientes que no puedan actualizarse de inmediato debido a restricciones de TI u otras razones, pueden cambiar su configuración para mitigar el problema potencial de caer víctimas de una explotación de clickjacking. El atajo es el descripto en un boletín anterior de Adobe. Arkin dijo que habrá una actualización para Flash Player 9 el mes próximo.ño
Jermiah Grossman, fundador de WhiteHat Security y Robert Hansen, fundador y CEO de
SecTheory notificaron el mes pasado a Adobe de las posibles explotaciones de clickjacking para el Flash. Estos dos investigadores han estado investigando el clickjacking desde mediados de este año.
Autor: Angela Moscaritolo
Fuente:
http://www.scmagazineus.com/Adobes-Flash-Player-10-upgrade-addresses-clickjacking/article/119559/
http://www.adobe.com/support/security/bulletins/apsb08-18.html
Visto @ Segu-Info
En su ciclo habitual de actualizaciones los segundos martes de cada mes, Microsoft ha anunciado que en esta ocasión se esperan once boletines de seguridad, uno dedicado a Microsoft Host Integration Server, otro al Directorio Activo, a Internet Explorer, Office y el resto a Windows.
Si en septiembre fueron cuatro boletines de seguridad los que salieron a la luz, este mes Microsoft prevé publicar once actualizaciones el martes 14 de octubre. Cuatro alcanzan la categoría de críticos, seis de importantes y uno de moderado.
Adicionalmente, y como viene siendo habitual, Microsoft publicará una actualización para Microsoft Windows Malicious Software Removal Tool. Además, se publicarán actualizaciones de alta prioridad no relacionadas con la seguridad. Como es habitual, cada boletín podrá contener un número indeterminado de correcciones de seguridad.
El problema en el Directorio Activo afecta sólo a Windows 2000 Service Pack 4, y resulta crítico. También se aplicará probablemente una actualización acumulativa para el navegador Internet Explorer, que corrige al menos un error crítico, afectando a todas las versiones soportadas. Se corregirá además una vulnerabilidad crítica en Excel, aunque no se tiene constancia de que esté siendo aprovechada activamente por atacantes. Los seis boletines importantes están dedicados a distintos aspectos del sistema operativo. La rama 2000 se ve afectada por cuatro de ellas, XP-2003 por cinco y Vista-2008 también por cuatro.
Hay que señalar que, en cualquier caso, el adelanto que ofrece Microsoft está sujeto a cambios de última hora.
Fuente:
http://www.hispasec.com/unaaldia/3639
http://www.microsoft.com/technet/security/bulletin/ms08-oct.mspx