ChulloHack

Si has respondido a las preguntas del titular de manera automática, es decir, con lo que la mentalidad colectiva nos lleva enseñando los últimos años, seguramente has errado en tus conclusiones.

Sin ir más lejos, iPhone es el rey de los agujeros de seguridad en el panorama móvil, muy por encima de Android, BlackBerry o Windows Phone. Tanto, que el pasado año el 85% de todas las vulnerabilidades detectadas le pertenecían.

¿Y si te decimos que Google Chrome también se llevó la palma el año pasado, triplicando en errores relativos a su seguridad a Firefox, segundo de la lista, y que el mejor parado fue Internet Explorer, por encima incluso de Safari o Opera?

Todo es cierto, según el primer Informe de Vulnerabilidades que ha presentado la empresa de seguridad S21sec. Eso sí, no hay que confundir vulnerabilidades o agujeros de seguridad con amenazas o ataques, no es lo mismo.

La vulnerabilidad, que afectaba a la sandbox de Chrome 17.0.963.78 fue desvelada la semana pasada durante el concurso Pwnium que Google lanzó en el CanSecWest.

Google ha parcheado una vulnerabilidad crítica, desvelada la semana pasada durante la conferencia de seguridad CanSecWest, que permite superar la sandbox del navegador. Fue el investigador ruso de Sergey Glazunov quien demostró un exploit de ejecución remota de código contra una versión completamente parcheada de Chrome en Windows 7 como parte el concurso Pwnium de Google celebrado en el marco de la conferencia de seguridad de Vancouver.

El exploit de Glazunov desveló dos vulnerabilidades en Chrome, una que permite la ejecución arbitraria de código y otra que es capaz de superar la sandbox del navegador, que es precisamente la encargada de restringir ese tipo de exploits.

Las vulnerabilidades de ejecución remota de código, aunque son muy serias, son relativamente comunes en todos los productos de software. Sin embargo, no ocurre así con las que superan las sandbox. Glazunov ganó un total de 60.000 dólares con su exploit.

La opción de actualizaciones automáticas de Chrome hace que sólo sea necesario que los usuarios reinicien el navegador para que se haga efectiva la actualización, mientras que en los entornos empresariales, se puede utilizar Google Update.

Glazunov, por cierto, no ha sido el único investigador en crear un exploit que supera la sandbox de Chrome. Un equipo de investigadores de la francesa Vupen presentó ataques similares como parte del concurso Pwn2Own dentro de la CanSecWest. Las reglas de este último concurso no requiere que los investigadores ofrezcan los detalles del ataque a las compañías, normalmente porque el valor del premio no lo justifica, y esto significa quesigue habiendo una vulnerabilidad crítica en Chrome que no ha sido parcheada.

Chrome es el primero en caer en el concurso hacker Pwn2Own.

Google Chrome ha sido el primero en ser hackeado en el concurso hacker Pwn2Own de este año, y es la primera vez que los investigadores consiguen romper la seguridad de Google Chrome en los seis años de concurso.

Lo han conseguido ‘en cinco minutos’ según explican (aunque llevó seis semanas en preparar el ataque) un grupo de investigadores de la empresa de seguridad francesa VUPEN que el año pasado fue el primer equipo en hackear Safari.

“Queríamos mostrar que Chrome no es irrompible. El año pasado, vimos una gran cantidad de titulares de que Chrome no se podía hackear. Queríamos asegurarnos de que era el primero en caer este año”, explican en una noticia, que cuenta todos los detalles del logro.

Pretenden ofrecer lo último en navegación, sin que los usuarios deban preocuparse por ello. Por eso el desafío a los que logren ingresar al navegador del buscador.

Aunque no lo parezca, desde su lanzamiento hace ya más de 3 años, Google Chrome ha cambiado mucho. Seguramente no te hayas dado cuenta, pero Chrome alcanzó la versión 17, 18 y 19 dependiendo del canal de lanzamiento elegido, y sus actualizaciones automáticas pretenden precisamente esto: mantenernos al día y darnos lo último en navegación web sin que siquiera tengamos que preocuparnos por ello.

Google está tan seguro de su trabajo que ha ofrecido 1 millón de dólares a quien pueda hackear el que ya es uno de sus productos estrella.

La recompensa viene ofrecida en un evento anual que muchos conoceréis, el Pwn2Own, una conferencia centrada en el hacking informático en la que los participantes deben explotar aplicaciones específicas, con una sección exclusiva dedicada a navegadores web. En la última edición, en 2011, tanto Firefox como Chrome salieron airosos, sin que ningún contendiente pudiera hackearlos.

Este año las cosas podrían cambiar, aunque Google parece segura de sí misma. Y digo que podrían cambiar porque 2012 está llamado a ser el año en el que Chrome ponga definitivamente contra las cuerdas a Microsoft, superándoles en uso global y cuota de mercado, como ya pasara hace unos meses con Firefox.

El anuncio y la recompensa son muy reales, y de hecho los detalles vienen recogidos en el blog de desarrollo de Google Chrome, The Chromium Blog, donde también dicen que además del millón de dólares, quienes consigan ganar recibirán uno de los nuevos modelos de Chromebook.

Todos los que quieran participar en este pwn2own 2012, ya pueden apuntarse a través de la página de CanSecWest 2012, el evento padre del anteriormente citado, que se celebra en la ciudad de Vancouver los días 7, 8 y 9 de marzo.

Luego de haber recibido una gran cantidad de críticas por sus cambios en la política de privacidad, Google tenía que hacer algo si no quería que los usuarios y las otras compañías desconfíen de sus servicios. Por eso, ahora se sabe que Google agregará en su navegador Chrome un botón que les permitirá a los usuarios tener mayor control sobre su propia privacidad.

El botón que agregará Google en Chrome es el llamado Do Not Track. Este nuevo sistema en Google Chrome les dará la opción a los usuarios de ese navegador para escoger si quieren que su comportamiento en la web sea rastreado por Google, a fin de proveerles anuncios publicitarios de acuerdo con las páginas que frecuentemente visitan.

“Estamos encantados de unirnos a un acuerdo de la industria para respetar la línea Do Not Track de una manera consistente y significativa, que les ofrezca a los usuarios la opción de los controles del navegador claramente explicados”, señaló la vicepresidente senior de Publicidad de Google, Susan Wojcicki.

Ahora, si ustedes se preguntan qué de distinto tendrá la funcionalidad del botón Do Not Track, con respecto a la opción de Window Incognito que ya ofrece Google Chrome, y que los usuarios eligen para que su navegación no deje rastro, la verdad es que no se sabe, porque más detalles sobre el nuevo botón no han sido revelados.

En fin, de todos modos, considero que Google está haciendo bien en decir que agregará un botón en Chrome para no rastrear la navegación de los usuarios. Sobre todo después de haber estado en el ojo de la tormenta, al ser acusado de espiar a los usuarios de Safari y a hasta de irrumpir en los sistemas de seguridad de Internet Explorer.

Recordemos también que esta decisión de Google se da luego de que la administración del presidente de Estados Unidos, Barack Obama, revelara la Consumer Privacy Bill of Rights, o Ley de derechos de la privacidad del consumidor.

Un rápido aviso para los usuarios de Avast, si tienes problemas abriendo Steam tal vez la culpa es de tu protección contra el malware. Por más de una hora en la mañana del domingo, el antivirus gratuito accidentalmente etiquetó a Steam como un troyano ejecutable y lo movió a cuarentena. Para ser más específicos, SteamService.exe fue reconocido falsamente como Win32:Trojan.gen, evitando que el cliente del distribuidor corra.

La compañía de seguridad Checa corrigió el problema en menos de 90 minutos, eliminado la definición de virus responsable por el error. No esta claro como la definición fue lanzada en el primer lugar. Aunque el problema fue solucionado rápidamente, tal vez tengas que restaurar el archivo de la cuarenta de Avast que hacer que las cosas regresen a la normalidad (debes encontrar la opción “Virus Chest” en la pestaña de “Maintenance”).

Actualizar las definiciones de Avast y/o restaurar los archivos afectados debería funcionar para la mayoría de las personas, pero algunos usuarios se han quejado ya que el proceso ha sido un poco más complicado para ellos – requiriendo una reinstalación completa de Steam. Eso parece extremo pero si tienes que tomar ese camino, asegúrate de respaldar tu carpeta Steamapps (Steam\steamapps) para que no tengas que volver a descargar todos tus juegos.

Los falsos positivos para programas populares no son una rareza. Hace unos meses, el antivirus gratuito de Microsoft identifico al navegador Google Chrome como Zeus, un troyano banquero. Miles de usuarios se vieron afectados por ese malentendido, incluyendo algunas empresas y colegios. En abril del 2010, una actualización de McAfee dio un falso positivo para svchost.exe, bloqueando a XP en miles de computadoras corporativas.

Google Chrome  16.0.912.75 final es la última versión estable recién lanzada y ya lista para descargar del rápido y cada vez más utilizado navegador de Google con diseño minimalista. En esta nueva versión final se solucionan tres vulnerabilidades de seguridad de severidad alta. El navegador multiplataforma Google Chrome está disponible para los sistemas operativos Windows XP, Vista y Windows 7, además de Mac OS y Linux.

Google Chrome es un navegador que está en continuo crecimiento desde su aparición allá por finales de 2008, y que mes a mes está captando cada vez más usuarios descontentos con Internet Explorer.

En Google Chrome 16.0.912.75 final, tal y como se indica en su blog oficial de versiones, se han corregido tres vulnerabilidades de seguridad de severidad alta,que podrían provocar desbordamientos de buffer. Además, se han incluido otros pequeños cambios y mejoras.

Desde ChulloHack recomendamos actualizar Google Chrome a esta nueva versión en cuanto sea posible, en caso de que ya lo tengamos instalado.

Podemos bajar Google Chrome en su versión estable más reciente desde el siguiente enlace oficial, o bien actualizar Google Chrome desde el propio navegador (opción recomendada):

–> Descarga Google Chrome

Google, ha retocado la versión de Chrome para Mac OS X Lion y ha pagado más de 14.000 dólares en recompensas.

Google ha parcheado 32 vulnerabilidades en Chrome, pagando más de 14.000 dólares en recompensas y actualizando la edición estable del navegador a la versión 14.

La compañía también ha anunciado un par de extensiones orientadas a los desarrolladores y ha destacado novedades en la versión para Mac OS X 10.7, Lion, en la que ahora se incluye un modo a pantalla completa y barras de desplazamiento que se desvanecen.

La última versión estable de Chrome se lanzó a primeros de agosto. Google lanza una actualización cada seis semanas, una práctica que Mozilla ha tenido que adoptar para no quedarse atrás y que empezó a aplicar con Firefox 5 el pasado mes de junio.

Quince de las 32 vulnerabilidades parcheadas han sido calificadas como ‘altas’, el segundo grado más serio del sistema de calificación de Google, diez se consideran ‘medias’ y las siete restantes están calificadas como ‘bajas’.

Ninguno de los fallos se han considerado ‘críticos’, la categoría normalmente reservada para aquellas vulnerabilidades que podrían permitir que un atacante escapara a la ‘sandbox’ antiexploit de Chrome.

Esta actualización de seguridad le ha costado a Google un total de 14.337 dólares en recompensas pagadas a nueve investigadores, incluidos 3.500 dólares a “miaubiz” y 2.337 a Sergey Glazunov, ambos habituales en los listados de investigadores de seguridad de Google.

Además de actualizar la seguridad del navegador, Google ha añadido un par de características a Chrome 14 pensadas para los desarrolladores, como es la incorporación de soporte para  Web Audio API y para “native client”, una tecnología de código abierto que ejecuta software escrito en C y C++ dentro de la caja de arena de seguridad de Chrome.

Chrome 14 ya se puede descargar para Windows, Mac OS X y Linux desde la página de Google. Aquellos usuarios que estén utilizando este navegador, serán actualizados automáticamente.

Es muy probable que, aunque seamos seguidores de todo lo que hace la empresa de Cupertino, también nos haya llamado la atención un proyecto de sistema operativo en ciernes que está auspiciando Google desde hace unos años, se trata de Chrome OS, un sistema operativo de escritorio algo diferente al resto pues se basa íntegramente en la red utilizando todos los servicios que la empresa del buscador posee.

Si bien Google ha establecido ciertos acuerdos con fabricantes de portátiles para que ofrezcan equipos adaptados para ser usados con Chrome OS, a los que han dado en llamar Chromebooks (qué causalidad), estos equipos parecen pequeños netbooks bastante limitados y con poca capacidad. Es por eso que un conocido hacker conocido como Hexxeh ha intentado instalar y ejecutar la versión de desarrollo de Chrome OS, llamada Chromium OS, en un MacBook Air de 11 pulgadas de la última generación con excelentes resultados.

El proceso ha sido realizado utilizando Boot Camp y sobreescribiendo OS X de modo que es recomendable hacer una copia de seguridad de nuestro equipo si quisiéramos emular a este individuo en su hazaña. Al finalizar todo el proceso, detallado en su página web, el resultado es un ChromeBook de Apple totalmente funcional salvo en tres aspectos:

• El Bluetooth no funciona, porque esta tecnología no tiene soporte aún en el desarrollo de Google.
• El arranque es algo más lento de lo habitual, hasta 22 segundos.
• El scroll del touchpad funciona algo más lento de lo habitual.

Por lo demás, como os decíamos, tendremos todas las “ventajas” de Chrome OS en un MacBook Air. Aunque en lo personal, no le veo ningún beneficio a este hack, tan solo la satisfacción de la curiosidad o el orgullo de haber conseguido una hazaña digital. Como decíamos al principio, todas las posibilidades con Chrome OS se circunscriben a las funciones que otorgan los servicios de Google, y hay mucha vida más allá de estos. ¿No es mejor esperar a Lion y disfrutarlo?.

Todos excepto una de los fallas resueltas en Chrome 12.0.742.112 han sido clasificadas como “altas”, el segundo nivel más severo de amenaza en el sistema de cuatro pasos de Google. Varios componentes del navegador se han beneficiado de estos parches, incluyendo su motor JavaScript V8, así como los analizadores CSS y HTML. Antes de esto, el pasado 8 de junio, Google “parcheó” Chrome, acabando con 15 errores.

Tres de las siete vulnerabilidades se identificaron como fallas“use-after-free”, es decir, un tipo de falla de gestión de la memoria que puede ser explotada para inyectar código de ataque.

De acuerdo con su práctica habitual, Google bloqueó la base de datos de seguimiento de fallas para evitar que personas externas a la compañía pudieran leer las discusiones de los ingenieros sobre las citadas vulnerabilidades. La compañía no permite que el público entre en la base de datos para dar a los usuarios tiempo para actualizarse. Tan es así, que algunas veces tienen que esperar meses antes de que eliminen esos bloqueos. Por ejemplo, actualmente solamente se puede acceder a las descripciones de dos de las 15 fallas que Google resolvió a principios de mes.

Google pagó seis mil dólares en recompensas a tres investigadores que fueron los que le informaron de la existencia de siete vulnerabilidades, recompensando con 4.500 dólares a un único investigador, “miaubiz”, quien encontró cinco de los siete problemas.

Uno de los colaboradores más frecuentes de Google en este sentido, Sergey Glazunov, que recibe bastante dinero de la mayoría de las actualizaciones de seguridad de Chrome, no aparecía en la última lista de la compañía. Glazunov es el único investigador que ha recibido la mayor recompensa por parte de Google, 3.133 dólares, algo que ha logrado en dos ocasiones.

Solamente Google y Mozilla pagan este tipo de recompensas a los investigadores de seguridad privados que les informan de problemas en sus navegadores. Ambas compañías han explicado que ese dinero mejora la seguridad de sus aplicaciones. Eso sí, reconocen que las cantidades no son comparables a las que recibirían en el mercado negro por esa información.

“Si lanzas un programa de recompensas, recibirás más informes de vulnerabilidades por parte de una mayor cantidad de investigadores”, explica Chris Evans, ingeniero de seguridad de Google, en un post de su blog personal. En lo que va de año, Google ha pagado más de 94 mil dólares en este sentido.