lunes 03 de noviembre de 2014, 18:20h
El mes de octubre es considerado en muchos países como el mes de la seguridad informática por la cantidad de eventos y acciones que se realizan a todos los niveles. Casualmente, las noticias relacionadas con la seguridad que se analizaron desde el Laboratorio de ESET durante el pasado mes han sido de las más importantes del año, ya que han afectado a sistemas y protocolos ampliamente utilizados.
Poodle es como se denominó a una vulnerabilidad descubierta a mediados de mes y que fue la gota que colmó el vaso del protocolo de comunicación SSL v3.0, el cual, a pesar de contar con quince años de antigüedad sigue siendo bastante utilizado. Por suerte, en esta ocasión, el agujero de seguridad se encuentra en la parte del cliente, principalmente en los navegadores, por lo que su solución es relativamente fácil conforme éstos se vayan actualizando.
La vulnerabilidad aprovecha una característica que hace que cuando un intento de conexión segura falla, se proceda a intentar realizar de nuevo esa conexión pero con un protocolo de comunicación más antiguo. De esa forma, un atacante podría ocasionar intencionadamente errores de conexión en protocolos seguros como TLS 1.2, 1.1 y 1.0 y forzar así el uso de SSL v3.0 para aprovechar la nueva vulnerabilidad.
En octubre también conocimos dos vulnerabilidades en Microsoft Office, una de las cuales estaba siendo usada en ataques dirigidos contra ciudadanos e instituciones de Ucrania y Polonia. La vulnerabilidad aprovechaba la posibilidad de insertar documentos o archivos mediante la característica OLE (Object Linking and Embedding). Este tipo de vulnerabilidad permitiría la ejecución de código de forma remota. De esta forma, un atacante podría tener los mismos privilegios que un administrador e instalar todo tipo de programas en un ordenador infectado, sin que el usuario tuviera conocimiento de ello.
Estos fallos de seguridad afectan a buena parte de los sistemas operativos de Windows usados hoy en día, lo que obligó a Microsoft a publicar un boletín de seguridad de forma urgente. Paradójicamente, Bugzilla, una herramienta indispensable para el seguimiento de errores, tanto en software libre como propietario, también sufrió una vulnerabilidad que permitía a un atacante realizar una escalada de privilegios y obtener así permisos para acceder a información sobre vulnerabilidades en programas que hubieran sido reportadas usando este software.
Joomla!, la conocida plataforma de gestión de contenidos, publicó, por su parte, el mes pasado una nueva versión para solucionar dos importantes agujeros de seguridad. Estas vulnerabilidades posibilitarían a un atacante, bajo ciertas circunstancias, subir remotamente un fichero malicioso a un servidor y ejecutarlo, aunque el usuario no dispusiera de los permisos necesarios. También permitiría ataques de denegación de servicio mediante el envío de peticiones ilegítimas al servidor.
Si (
No(
