Una nueva vulnerabilidad zero-day ha sido descubierta en todas las versiones actuales de Oracle Java. Esta vulnerabilidad potencialmente permitiría a los atacantes instalar malware en más de 1.000 millones de PCs y Macs en todo el mundo. Anunciada en una lista de correo del investigador en seguridad Adam Gowdiak, el bug está presente en Java 5, Java 6 y Java 7.

Los detalles técnicos de la vulnerabilidad no se han hecho públicos, aunque Gowdiak insiste en que él los conoce, incluido el código fuente para hacer pruebas del exploit que aprovecha la vulnerabilidad. Lo que sí se sabe es que Oracle ha confirmado que está trabajando para parchear este bug, aunque no está claro que esté disponible antes del próximo 16 de octubre, que es cuando se produce la actualización regular de Java.

Se ha descubierto una vulnerabilidad crítica que afecta a la versión 7 de Java (update 1-6) y que permite a un atacante infectar el ordenador atacado.

Se revela que la vulnerabilidad ya está siendo utilizada en ataques dirigidos con un exploit 0-day desde China que instala un dropper (Dropper.MsPMs), alterado para ejecutar el virus sin ser detectado por las soluciones de seguridad.

La vulnerabilidad está calificada con el grado máximo ‘crítica’ y el exploit funciona en todas las versiones de Internet Explorer, Firefox y Opera en Windows 7, Vista y XP. También en Chrome aunque sólo en XP y en Firefox sobre Ubuntu Linux 10.04.

Como sabes, el ataque zero day es uno de los más peligrosos que existen ya que aprovecha vulnerabilidades aún desconocidas en software. Por ello se recomienda deshabilitar Java hasta que exista una actualización para este fallo de seguridad. Las actualizaciones de seguridad de Oracle para Java son trimestrales por lo que de no emitir un parche de emergencia los atacantes tendrán un camino fácil hasta el mes de octubre.

Para desactivar Java en Windows, ir a Inicio -> Panel de Control -> Java, lo que abrirá una ventana con las preferencias de este componente. En esa ventana vamos a la pestaña “Java” y pinchamos en “Ver”, lo que hará que veamos las versiones de Java instaladas. Habrá que desactivar la casilla de Java 1.7 y aceptamos los cambios.

En OS X podemos buscar con Spotlight por “Java”, lo que debería hacer que aparezca un elemento llamado “Preferencias de Java” si tenemos instalado este componente. Al ir a ese panel podremos desactivar Java si la versión que tenemos instalada es la 1.7.

En cuanto a los navegadores, estas son las formas de desactivar Java en ellos:

Internet Explorer

1. Acceder al menú Herramientas > Opciones de Internet
2. Pestaña Programas > Administrar complementos
3. Seleccionar la opción de mostrar Todos los complementos > Seleccionar Java Plug-in 1.7
4. Pulsar sobre el botón Deshabilitar y cerrar la ventana

Mozilla Firefox

1. Acceder al menú Herramientas > Complementos
2. Acceder al apartado de Plugins
3. Seleccionar todos aquellos elementos que pertenezcan a Java (pueden tener varios nombres)
4. Pulsar sobre el botón Desactivar

Google Chrome

1. Escribir “chrome://plugins/” en la barra de direcciones del navegador para acceder al menú de plugins.
2. Buscamos el plugin de Java y pulsamos sobre Inhabilitar

Safari

1. Accedemos al menú Preferencias > Apartado “Seguridad”
2. Desmarcamos la opción “Permitir Java”

Por si no teníamos suficiente con seguir dependientes de un software como Flash Player, toda una mina en lo que a agujeros de seguridad se refiere, Adobe dispone de otra perla en su arsenal de aplicaciones que invita a tenerla cuanto más lejos mejor, especialmente si se utiliza en un sistema operativo GNU/Linux.

Hablamos de Reader, veterano lector de PDF, que hace tan solo unos días recibía numerosas correcciones de seguridad en una actualización que solo atendió a Windows y Mac OS X, olvidándose de Linux. De hecho, la versión actual de Linux todavía tiene 16 vulnerabilidades abiertas, más las que ha cerrado la actualización en los otros dos sistemas.

A todo esto, dos empleados de Google, Mateusz Jurczyk y Gynvael Coldwind, examinando el motor PDF del navegador Chrome en busca de errores, se encontraron con unos cuantos, que se correspondían a otros tantos que continúan abiertos en el cliente de Adobe -a quienes avisaron. Así, mientras que los primeros solucionarán esos agujeros de seguridad en Chrome, los segundos no parecen tener prisa por ofrecer una solución.

Teniendo en cuenta la situación los empleados de Google recomiendan no utilizar Adobe Reader para abrir documentos de fuentes no confiables, en ningún caso. Y es que hablamos de agujeros que pueden ser explotados con entrar a una página web.

A los usuarios de Reader 9 en Windows les urge actualizar a Adobe Reader X, ya que utiliza tecnología de sandboxing que dificulta la ejecución de exploits. A los usuarios de Linux, aunque pueden bloquear al menos dos errores de forma manual, se les recomienda no utilizar el cliente de Adobe… si es que alguien lo hace, contando las alternativas existentes.

La compañía tras el juego aseguró que los datos de los usuarios no estuvieron comprometidos durante el ataque.

El videojuego de construcción Minecraft sufrió un ataque informático en sus servidores durante el fin de semana debido a un fallo de seguridad, que provocó la caída del servicio. La reactivación se produjo nada más detectarse el ataque y el exploit fue corregido.

Desde Mojang, la empresa encargada del desarrollo del videojuego, aseguraron que los datos de los usuarios no se han visto comprometidos y por lo tanto, el ataque no ha tenido grandes consecuencias de seguridad.

Los responsables de Minecraft anunciaron en su página web que conocían el problema y estaban trabajando para repararlo. El mismo domingo, Mojang confirmaba la solución del error y pedía disculpas a los usuarios por el inconveniente.

Minecraft es uno de los juegos independientes para PC y Xbox 360 más populares a nivel mundial que combina mundo abierto y aventuras tanto en modo para un solo jugador como en multijugador, que permite obtener recursos en el mundo del juego y construir con ellos casas y otras estructuras.

No es la primera vez que el juego sufre un ataque de estas características. Ya en 2010 su creador, Markus Persson, anunciaba un ataque de denegación de servicio (DDOS) por parte de un grupo de usuarios descontentos por la falta de actualizaciones del videojuego.

Varios exploits para un fallo de autenticación en MySQL se están extendiendo en diversos canales en Internet, en parte porque este error es especialmente sencillo de aprovechar para ganar acceso root a la base de datos.

El único factor que disminuye su peligrosidad es el hecho de que depende de la librería C con la que se implementó MySQL. Este “bypass” del sistema de contraseñas tiene ya asignada un código de vulnerabilidad, la CVE-2012-2122, y permite que un atacante logre acceso root a la base de datos repitiendo varias veces el intento de acceder a dicha cuenta con una contraseña incorrecta.

La vulnerabilidad ha sido detallada por el coordinador de seguridad de MariaDB -un fork de MySQL, y se debe a un error en el llamado error de casting al comparar la contraseña esperada con la contraseña introducida.

Hay un buen montón de distribuciones afectadas por el problema -Ubuntu, openSUSE y Fedora entre ellas- y tenéis más detalles sobre este problema en la noticia original.

Una excelente noticia para los fanáticos y usuarios de los dispositivos móviles de la manzana blanca, y es que el reconocido hacker Pod2g, responsable de lograr el Jailbreak Untethered para el iPhone 4S con el programa Absinthe, lo ha logrado nuevamente, ya que asegura contar con “todos los exploits necesarios” para lograr un nuevo Jailbreak Untethered en el iPhone 4S, el iPad 2 y el nuevo iPad con versión de iOS 5.1.

Y es que ha publicado el anterior vídeo como muestra en su trabajo en conjunto con otro reconocido hacker y desarrollador de la comunidad Jailbreak, conocido como Chpwn, y explican que han tardado en lograr el Jailbreak al nuevo iPad ya que este cuenta con un procesador totalmente nuevo, el A5X, por lo que hay que conocerlo y estudiarlo desde cero.

Eso sí, esto no quiere decir que estén a punto de dar disponibilidad a este nuevo Jailbreak Untethered, pero si supone un enorme paso en el camino para que todos los usuarios puedan liberarse e esas molestas ataduras y así contar con Cydia y todas las ventajas del Jailbreak, además, quién sabe que maravillas preparen para aprovechar la pantalla Retina Display del nuevo iPad en Cydia.

Microsoft ha dado detalles de los boletines de seguridad que desplegará mañana durante el tradicional ‘Patch Tuesday’ mensual.

En esta ocasión serán seis actualizaciones principales, de las que cuatro están consideradas por la propia compañía como ‘críticas’ y las dos restantes como ‘importantes’. En general, buscan cubrir agujeros de seguridad en las plataformas Windows, Internet Explorer, Office, SQL Server y el servicio de red privada virtual, VPN.

Aunque no se trata de una actualización voluminosa, las propios responsables de Microsoft señalan que es importante actualizar los sistemas, ya que todas las vulnerabilidades que se cubren permiten ejecutar código de forma remota.

Uno de los boletines es especialmente crítico ya que toca multitud de productos, algo que no suele ser habitual: Office, SQL Server, Windows Server y Microsoft Developer Tools, todos ellos en distintas versiones. Los de Redmond recomiendan encarecidamente que los administradores de sistemas y usuarios pongan estas actualizaciones entre sus prioridades de trabajo.

La vulnerabilidad, que afectaba a la sandbox de Chrome 17.0.963.78 fue desvelada la semana pasada durante el concurso Pwnium que Google lanzó en el CanSecWest.

Google ha parcheado una vulnerabilidad crítica, desvelada la semana pasada durante la conferencia de seguridad CanSecWest, que permite superar la sandbox del navegador. Fue el investigador ruso de Sergey Glazunov quien demostró un exploit de ejecución remota de código contra una versión completamente parcheada de Chrome en Windows 7 como parte el concurso Pwnium de Google celebrado en el marco de la conferencia de seguridad de Vancouver.

El exploit de Glazunov desveló dos vulnerabilidades en Chrome, una que permite la ejecución arbitraria de código y otra que es capaz de superar la sandbox del navegador, que es precisamente la encargada de restringir ese tipo de exploits.

Las vulnerabilidades de ejecución remota de código, aunque son muy serias, son relativamente comunes en todos los productos de software. Sin embargo, no ocurre así con las que superan las sandbox. Glazunov ganó un total de 60.000 dólares con su exploit.

La opción de actualizaciones automáticas de Chrome hace que sólo sea necesario que los usuarios reinicien el navegador para que se haga efectiva la actualización, mientras que en los entornos empresariales, se puede utilizar Google Update.

Glazunov, por cierto, no ha sido el único investigador en crear un exploit que supera la sandbox de Chrome. Un equipo de investigadores de la francesa Vupen presentó ataques similares como parte del concurso Pwn2Own dentro de la CanSecWest. Las reglas de este último concurso no requiere que los investigadores ofrezcan los detalles del ataque a las compañías, normalmente porque el valor del premio no lo justifica, y esto significa quesigue habiendo una vulnerabilidad crítica en Chrome que no ha sido parcheada.

Pretenden ofrecer lo último en navegación, sin que los usuarios deban preocuparse por ello. Por eso el desafío a los que logren ingresar al navegador del buscador.

Aunque no lo parezca, desde su lanzamiento hace ya más de 3 años, Google Chrome ha cambiado mucho. Seguramente no te hayas dado cuenta, pero Chrome alcanzó la versión 17, 18 y 19 dependiendo del canal de lanzamiento elegido, y sus actualizaciones automáticas pretenden precisamente esto: mantenernos al día y darnos lo último en navegación web sin que siquiera tengamos que preocuparnos por ello.

Google está tan seguro de su trabajo que ha ofrecido 1 millón de dólares a quien pueda hackear el que ya es uno de sus productos estrella.

La recompensa viene ofrecida en un evento anual que muchos conoceréis, el Pwn2Own, una conferencia centrada en el hacking informático en la que los participantes deben explotar aplicaciones específicas, con una sección exclusiva dedicada a navegadores web. En la última edición, en 2011, tanto Firefox como Chrome salieron airosos, sin que ningún contendiente pudiera hackearlos.

Este año las cosas podrían cambiar, aunque Google parece segura de sí misma. Y digo que podrían cambiar porque 2012 está llamado a ser el año en el que Chrome ponga definitivamente contra las cuerdas a Microsoft, superándoles en uso global y cuota de mercado, como ya pasara hace unos meses con Firefox.

El anuncio y la recompensa son muy reales, y de hecho los detalles vienen recogidos en el blog de desarrollo de Google Chrome, The Chromium Blog, donde también dicen que además del millón de dólares, quienes consigan ganar recibirán uno de los nuevos modelos de Chromebook.

Todos los que quieran participar en este pwn2own 2012, ya pueden apuntarse a través de la página de CanSecWest 2012, el evento padre del anteriormente citado, que se celebra en la ciudad de Vancouver los días 7, 8 y 9 de marzo.

El pasado 14 de Junio, Adobe ha publicado el boletín de seguridad APSB11-16, en el que notifica que ha solucionado 13 fallos de seguridad en sus productos Adobe Acrobat y Acrobat Reader, algunos de los cuales han recibido la categoría de críticos. El expediente de seguridad confirma que algunas de estas vulnerabilidades eran compartidas con Flash, las cuales ya habían sido solucionadas anteriormente.

Los expedientes de seguridad solucionados en esta actualización del software son: CVE-2011-2094, CVE-2011-2095, CVE-2011-2096, CVE-2011-2097, CVE-2011-2098, CVE-2011-2099, CVE-2011-2100, CVE-2011-2101, CVE-2011-2102, CVE-2011-2103, CVE-2011-2104, CVE-2011-2105, CVE-2011-2106.

Todos ellos han sido solventados con las últimas actualizaciones de seguridad. Si eres usuario de Acrobat Reader rama 8, debes actualizar a la versión Acrobat Reader 8.3. Para los usuarios de la rama 9, se debe pasar a la versión Acrobat Reader 9.4.5, y para los usuarios de Adobe Acrobat X, la versión que solventa estos fallos de seguridad es la 10.1. Todas ellas pueden ser descargadas desde la página de descargas para usuarios de Macintosh.