HispaSec

Se han publicado varias vulnerabilidades que afectan a SAP NetWeaver 7 y que podrían permitir a un atacante remoto revelar información sensible, elevar privilegios y llevar a cabo ataques de Cross-Site Scripting (XSS).

Oracle Corporation hizo públicas nuevas versiones de Java Platform Standard Edition (Java SE) que solucionaban un total de catorce vulnerabilidades, relacionadas con la posibilidad de ejecutar código de manera remota o de provocar denegaciones de servicio.

La fundación Mozilla ha publicado una nueva versión de sus productos para corregir un problema de ejecución de código descubierto por Jueri Aedla en la librería libpng. Puesto que este componente se encuentra en los productos Firefox, Thunderbird y Seamonkey, todos se ven afectados por este grave problema.

La firma Red Hat ha publicado cuatro boletines de seguridad que corrigen problemas de seguridad en glibc para las versiones 4 y 5, vulnerabilidades del paquete mysql para la versión 5 y actualizaciones de httpd para la versión 6.

Google ha publicado una nueva versión (17.0.963.56) destinada a corregir trece vulnerabilidades para las plataformas Microsoft Windows, Macintosh y Linux de su navegador web Chrome.

Adobe ha publicado una actualización de seguridad (con identificación es APSB12-03) destinada a corregir siete vulnerabilidades críticas en Adobe Flash Player versión 11.1.102.55 (y anteriores) para Windows, Macintosh, Linux y Solaris; Adobe Flash Player 11.1.112.61 (y anteriores) para Android 4.x; y Adobe Flash Player 11.1.111.5 (y versiones anteriores) para Android 3.x y 2.x.

No es un secreto que el malware contra entidades latinoamericanas se fundamente en el "pharming". O sea, la modificación de la resolución de dominios a través del archivo hosts del sistema. Con sus distintas variantes, los atacantes se han centrado principalmente en esta técnica en los últimos años. Sin embargo hace poco, hemos observado una pequeña progresión que nos ha parecido curiosa.

Tal y como adelantamos, este martes Microsoft ha publicado nueve boletines de seguridad (del MS12-008 al MS12-016) correspondientes a su ciclo habitual de actualizaciones. Según la propia clasificación de Microsoft cuatro de los boletines presentan un nivel de gravedad "crítico" y los cinco restantes son "importantes". En total se han resuelto 21 vulnerabilidades.

Dos desarrolladores de Mozilla, Andrew McCreight y Pettay Olli, han descubierto un error en la función 'nsXBLDocumentInfo::ReadPrototypeBindings', que ha obligado a Mozilla a publicar un boletín de seguridad de emergencia.

Se ha publicado un fallo en PHP que podría permitir a un atacante remoto eludir el filtrado de las variables de entorno.

El 29 de febrero de 2012 comienza el Octavo Ciclo de Conferencias de la asignatura Temas Avanzados en Seguridad y Sociedad de la Información TASSI que organizan el Departamento de Lenguajes, Proyectos y Sistemas Informáticos LPSI de la EUI y el Departamento de Ingeniería y Arquitecturas Telemáticas DIATEL de la EUITT, en el campus sur de la Universidad Politécnica de Madrid.

Este próximo martes, Microsoft publicará nueve boletines de seguridad (del MS12-008 al MS12-016) correspondientes a su ciclo habitual de actualizaciones. Según la propia clasificación de Microsoft, cinco son de gravedad "importante" y otros cuatro de nivel "crítico".

SuSE ha publicado la actualización del kernel para SuSE Linux Enterprise Server y Desktop en su versión 11 SP1 en la que se corrigen 10 vulnerabilidades de diverso alcance.

Se ha publicado un fallo en el sistema de actualización de caché en servidores BIND 9.x. Un atacante podría tener acceso a los datos de un dominio cuyos datos han sido borrados.

RealNetworks ha anunciado una actualización para corregir 7 vulnerabilidades en RealPlayer, que podrían permitir a un atacante comprometer los sistemas afectados.

Es un hecho que en el Market de Android se cuela malware y Google reacciona. Han presentado Bouncer, un sistema automático que analiza las aplicaciones subidas al Market para detectar (y eliminar) el potencial malware detectado. ¿Será efectivo?

IBM ha publicado una actualización para solucionar una vulnerabilidad en la implementación TCP de su sistema operativo AIX en las versiones 5, 6 y 7 El fallo permitiría a un atacante provocar un "kernel panic" con solo enviar un paquete a la interfaz de red. Una especie de "ping de la muerte" con protocolo TCP.

Breve resumen de las novedades producidas durante el mes de enero de 2012 en CriptoRed, la Red Temática Iberoamericana de Criptografía y Seguridad de la Información.

La nueva versión de PHP 5.3.10 resuelve una vulnerabilidad que permite la ejecución de código remoto, y que fue introducida al intentar arreglar la anterior actualización.

Según afirma el programador Chris Hessing (que participa en el Open1X Group), y el investigador Bret Jordan, existiría una vulnerabilidad crítica (CVE-2011-4872) en los terminales móviles de HTC con Android. El fallo facilitaría la revelación de información sensible tal como datos de configuración y credenciales de las redes WIFIs (802.1X) guardadas en el móvil.