Noticias

Elevación de privilegios en productos ESET y Panda

Hispasec - Jue, 21/08/2014 - 21:50
Se han anunciado dos vulnerabilidades de elevación de privilegios en los productos de seguridad ESET Smart Security y ESET Endpoint Security para Windows XP (versiones 5 a 7) y en Panda Security 2014.
El primero de los problemas, con CVE-2014-4973, afecta a los productos ESET Smart Security y ESET Endpoint Security para Windows XP (versiones 5 a 7) y concretamente reside en el controlador modo kernel EpFwNdis.sys (ESET Personal Firewall NDIS) Build 1183 (20140214) y anteriores. Puede permitir a un usuario sin privilegios ejecutar código como SYSTEM mediante una llamada IOCTL específicamente creada. Se ha solucionado en las versiones 6 y 7 (Firewall Module Build 1212 (20140609)).
Por otra parte, los productos Panda 2014 también se ven afectados por una escalada de privilegios en el controlador modo kernel PavTPK.sys. Una vulnerabilidad (CVE-2014-5307) de desbordamiento de búfer puede permitir a un atacante ejecutar código como system a través de una petición IOCTL. Se ha publicado el Hotfix hft131306s24_r1 que soluciona la vulnerabilidad.
Más información:
Privilege Escalation In ESET Products For Windowshttps://www.portcullis-security.com/security-research-and-downloads/security-advisories/cve-2014-4973/
Privilege Escalation in Panda Securityhttps://www.portcullis-security.com/security-research-and-downloads/security-advisories/cve-2014-5307/



Antonio Roperoantonior@hispasec.com
Twitter: @aropero
Categorías: Seguridad

El consejero delegado de mapas de Nokia dimite a los dos meses de asumir el cargo

Canal PDA - Jue, 21/08/2014 - 15:14
Michael Halbherr (en la fotografía), consejero delegado de Here –la división de Nokia dedicada a los mapas digitales– ha dimitido. Se trata de una marcha repentina, ya que asumió el cargo el dia 1 de julio. En un comunicado, Nokia ha informado de que Halbherr lo deja “para dedicarse a sus propios intereses empresariales fuera […]
Categorías: PDA / PPC

LG adoptará en toda su gama el interfaz de usuario del G3

Canal PDA - Jue, 21/08/2014 - 15:03
LG ha informado que comenzará a adoptar las funciones de experiencia de usuario que presentó con su smartphone emblemático más reciente, el G3, en “la mayoría” de los smartphones y tabletas de gama media y baja que lance durante la segunda mitad de este año. La empresa asegura que “ha trabajado activamente en proporcionar una […]
Categorías: PDA / PPC

BlackBerry agrupa QNX y la Internet de las cosas en la nueva división ‘Tech Solutions’

Canal PDA - Jue, 21/08/2014 - 14:54
BlackBerry está formando una unidad de negocio que acogerá sus “activos de tecnología innovadora” más allá de los smartphones y de la informática empresarial, y estará a cargo de un antiguo directivo de Ericsson. La nueva división, denominada BlackBerry Technology Solutions (BTS) asumirá activos tecnológicos como QNX (software embebido), Project Ion (plataforma de aplicaciones para […]
Categorías: PDA / PPC

SingTel ofrecerá desde esta semana servicio LTE-A comercial a 300 Mbps

Canal PDA - Jue, 21/08/2014 - 14:31
SingTel ha anunciado que tiene a punto de lanzamiento la primera red comercial LTE-Advanced (LTE-A) del mundo, que permite unas velocidades máximas de descarga teóricas de 300 megabits por segundo. La mayor operadora móvil de Singapur pondrá en marcha el servicio este sábado 23 de agosto, coincidiendo con la presentación del Samsung Galaxy S5 4G+, […]
Categorías: PDA / PPC

HTC confirma una versión del One (M8) con Windows Phone

Canal PDA - Jue, 21/08/2014 - 14:21
HTC ha presentado la esperada versión de su teléfono emblemático One (M8) que utiliza la plataforma Windows Phone de Microsoft. Por el momento lo comercializará en exclusiva la operadora de los EEUU Verizon Wireless. Se trata del primer lanzamiento de altura de un Windows Phone ajeno a Nokia que se produce desde hace tiempo, y […]
Categorías: PDA / PPC

Motorola prepara una avalancha de novedades

Canal PDA - Jue, 21/08/2014 - 14:05
Motorola ha convocado un acto para prensa a principios de septiembre, lo que ha dado lugar a especulaciones sobre lo que la empresa tiene intención de presentar. Dado que viene promocionando desde el Mobile World Congress los dispositivos electrónicos para llevar puestos, es muy probable que haga su aparición el reloj inteligente Moto 360. De […]
Categorías: PDA / PPC

Orange estudia vender sus antenas en España

Canal PDA - Jue, 21/08/2014 - 13:50
El grupo francés Orange está estudiando la venta de unos 9.400 emplazamientos de telefonía móvil en España en respuesta a la presión sobre su negocio en el país. Así lo asegura un artículo en el diario madrileño Expansión. Una fuente de Reuters ‘conocedora de la situación’ afirma que “se está sondeando a varias firmas de […]
Categorías: PDA / PPC

Sony presenta un smartphone impermeable de gama media

Canal PDA - Jue, 21/08/2014 - 13:40
Sony ha anunciado el Xperia M2 Aqua, una versión impermeable de su smartphone M2, asegurando que se trata de “el primero que ofrece la popular tecnología impermeable de Sony a un precio de gama media”. El fabricante afirma que la homologación IP65/68 es la más estricta que se puede encontrar en cualquier smartphone. “La popularidad […]
Categorías: PDA / PPC

Samsung se introduce en la internet de las cosas comprando SmartThings por 150 millones

Canal PDA - Jue, 21/08/2014 - 13:40
Samsung Electronics se introduce en el creciente mercado del ‘hogar conectado’ con la compra de SmartThings, desarrollador de una plataforma de domótica, por unos 200 millones de dólares (150 millones de euros). Mediante una sola aplicación para Android/iOS, el controlador para hogares conectados de la empresa permite al usuario monitorizar, controlar y personalizar sus dispositivos […]
Categorías: PDA / PPC

Samsung presenta el Galaxy Alpha para rivalizar con el iPhone

Canal PDA - Jue, 21/08/2014 - 13:00
Samsung ha anunciado otra incorporación a su gama Galaxy de smartphones. Se trata del Galaxy Alpha, un terminal con marco metálico que parece tomar modelo del iPhone de Apple en algunos aspectos. De hecho, el teléfono con pantalla de 4,7 pulgadas parece destinado a rivalizar directamente con la próxima generación del iPhone, que según algunas […]
Categorías: PDA / PPC

Múltiples vulnerabilidades en IBM WebSphere Application Server e IBM HTTP Server

Hispasec - Mié, 20/08/2014 - 23:40
Se han anunciado múltiples vulnerabilidades en IBM WebSphere Application Server(versiones 7, 8, 8.5 y 8.5.5) y en IBM http Server que podrían permitir a un atacante remoto obtener información sensible, evitar restricciones de seguridad o provocar condiciones de denegación de servicio.
IBM WebSphere Application Server (WAS) es el servidor de aplicaciones de software de la familia WebSphere de IBM. WAS puede funcionar con diferentes servidores web y sistemas operativos incluyendo Apache HTTP Server, Netscape Enterprise Server, Microsoft Internet Information Services (IIS), IBM HTTP Server en sistemas operativos AIX, Linux, Microsoft, Windows y Solaris.
Existen tres vulnerabilidades de fuga de información en WebSphere Application Server por páginas de error al cargar URLs específicamente construidas (CVE-2014-3022), por el tratamiento inadecuado de respuestas SOAP (CVE-2014-0965) y por fallos al restringir el acceso a recursos localizados dentro de la aplicación web (CVE-2014-3083).
Por otra parte el servidor de aplicaciones de IBM también se ve afectado por un problema de evasión de restricciones de seguridad (CVE-2014-3070) por una creación de cuenta inadecuada con el Virtual Member Manager SPI Admin Task addFileRegistryAccount. Y una denegación de servicio en WebSphere Application Server en Windows con Load Balancer para IPv4 Dispatcher (CVE-2014-4764).
Otras dos vulnerabilidades afectan a IBM HTTP Server, una denegación de servicio al registrar determinadas cookies en el registro (CVE-2014-0098) y otro problema en el tratamiento de determinados mensajes SSL que podrían provocar un incremento del consumo de CPU (CVE-2014-0963).  
Dada la diversidad de versiones y productos afectados se recomienda consultar el boletín de IBM en:https://www-304.ibm.com/support/docview.wss?uid=swg21681249
Más información:
Security Bulletin: Potential Security Vulnerabilities fixed in IBM WebSphere Application Server 8.5.5.3https://www-304.ibm.com/support/docview.wss?uid=swg21681249  

Antonio Roperoantonior@hispasec.com
Twitter: @aropero
Categorías: Seguridad

Pretende Apple patentar algo ya patentado?

Todo Pocket PC - Mié, 20/08/2014 - 13:47


Hace unos días apareció en varias webs, la noticia sobre la nueva patente que Apple quería realizar, el cable USB reversible. Por supuesto en una parte USB y en la otra Lightning, aquí os dejo uno de esos reportajes desde la web de 9to5mac.

Categorías: PDA / PPC

HTC One M8 bajo Windows

Todo Pocket PC - Mié, 20/08/2014 - 13:00


El equipo premium de HTC, el HTC One M8, trabajará bajo el sistema de Windows para móviles. Después de la filtración accidental de Verizon, ahora ya se hace oficial.

El ampliar la gama de marcas es necesario para un relanzamiento de Windows Phone 8.1, por eso Microsoft quiere involucrar a más fabricantes que produzcan terminales para su sistema y no cerrarse solo con una oferta de terminales Nokia.
Categorías: PDA / PPC

Denegación de servicio en Monkey Web Server

Hispasec - Mar, 19/08/2014 - 12:58
Se ha anunciado una vulnerabilidad de denegación de servicio en el servidor web Monkey Web Server versiones anteriores a 1.5.3.
Monkey Web Server es, como su nombre indica, un servidor web muy ligero y rápido y que además es software libre. Es muy útil y usado en pequeños sistemas como RaspberryPi o incluso móviles con software modificado, ya soporta procesadores ARM, x86 y x64.
Monkey Web Server cuenta con una tabla de descriptores de fichero (FDT) que es utilizada para compartir descriptores de fichero abiertos entre varios hilos y diferentes virtual hosts. Esto hace que la memoria usada para estos descriptores, en promedio, sea menor. En la configuración por defecto esta característica está activada.
Al realizar una petición que genere algún error personalizado, se abre el correspondiente archivo de disco para dicho error. Si un atacante solicita muchas páginas de error distintas, se abrirán un gran número de descriptores de fichero en la tabla FDT, hasta que el proceso alcance el límite de descriptores de fichero impuesto por el sistema operativo (que viene definido por el parámetro del sistema 'ulimit'). A partir de entonces, cualquier petición que requiera la apertura de un archivo quedará bloqueada y generará un error 403 hasta que el servidor web se reinicie.
La vulnerabilidad tiene asignado el CVE-2014-5336 y queda solucionada en la versión 1.5.3.
Más información:
Monkey HTTP Server v1.5.3 - Release notes:http://monkey-project.com/Announcements/v1.5.3
GitHub - Request: new request session flag to mark those files openedby FDT:https://github.com/monkey/monkey/commit/b2d0e6f92310bb14a15aa2f8e96e1fb5379776dd


Antonio Sánchez
asanchez@hispasec.com
Categorías: Seguridad

Vulnerabilidad en Ruby on Rails

Hispasec - Lun, 18/08/2014 - 16:46
Se han publicado las versiones 4.0.9 y 4.1.5 de Ruby on Rails, que corrigen una vulnerabilidad que podría permitir a atacantes remotos asignar atributos arbitrarios en modelos.
Ruby on Rails, también conocido simplemente como Rails, es un framework de aplicaciones web de código abierto escrito en el lenguaje de programación Ruby, que sigue la arquitectura Modelo-Vista-Controlador (MVC).
La vulnerabilidad reside en la funcionalidad create_with de Active Record, implementada incorrectamente evita completamente la protección de parámetros. Las aplicaciones que pasen valores controlados por el usuario a create_with podrían permitir a un atacante asignar atributos arbitrarios en modelos.
Más información:
Rails 4.0.9 and 4.1.5 have been released! http://weblog.rubyonrails.org/2014/8/18/Rails_4_0_9_and_4_1_5_have_been_released/


Antonio Roperoantonior@hispasec.comTwitter: @aropero
Categorías: Seguridad

Google compra Jetpac

Todo Pocket PC - Lun, 18/08/2014 - 16:38


Google ha comprado Jetpac durante este mes de agosto. Parece que aparte de las rebajas y los fichajes de fútbol, agosto se convierte en
Categorías: PDA / PPC

Posibles características del Samsung Galaxy Note 4

Todo Pocket PC - Lun, 18/08/2014 - 16:03


A pocos días de la presentación del buque insignia de Samsung, el Galaxy Note 4, se filtran posibles características del emblemático modelo que conoceremos el próximo 3 de septiembre.

Tal como ocurre en el Samsung Alpha, el nuevo Note 4 tendría unos laterales metálicos, la parte trasera estaría formada por una carcasa de plástico micro perforado y la parte frontal sería muy parecida
Categorías: PDA / PPC

Samsung adquiere SmartThings

Todo Pocket PC - Lun, 18/08/2014 - 13:32



Samsung ha adquirido la empresa SmartThings, una empresa que se dedica a la fabricación de diversos productos domóticos inteligentes, y que funcionan bajo iOS y Android.

SmartThings funcionará como una empresa independiente dentro del centro de innovación creado por Samsung. Por lo que en teoría seguirá con el suministro de dispositivos bajo iOS.

SmartThings siempre ha tenido
Categorías: PDA / PPC

Microsoft recomienda desinstalar la actualización MS14-045

Hispasec - Dom, 17/08/2014 - 20:57
Microsoft ha eliminado uno de los últimos parches publicados dentro del conjunto de boletines de seguridad de agosto publicado el pasado martes (del que ya efectuamos un resumen). En concreto parece ser que muchos usuarios han sufrido la "pantalla azul de la muerte" tras la instalación de la actualización MS14-045.
Microsoft ha retirado la actualización MS14-045 del "Download Center" y recomienda a todos los usuarios desinstalar este parche. Este boletín estaba calificado como "importante" y solucionaba tres vulnerabilidades en los controladores modo kernel que podrían permitir a un usuario elevar sus privilegios en el sistema. Afectaba a sistemas Windows Server 2003, Windows Vista, Windows Server 2008, Windows 7, Windows 8 (y 8.1) y Windows Server 2012.
Todo indica que la "pantalla azul de la muerte" se debe a un tratamiento incorrecto de las fuentes de Windows, y como el problema se produce durante el arranque se puede entrar en un bucle de reinicios. El código de error que ofrece es:
"0x50 PAGE_FAULT_IN_NONPAGED_AREA".
El error solo se presenta en circunstancias muy específicas, es necesario tener una o más fuentes OTF (OpenType Font) instaladas en directorios no estándar, que se graban en el registro.
Microsoft ha publicado una contramedida disponible enhttp://support.microsoft.com/kb/2982791/en-us
Más información:
MS14-045: Description of the security update for kernel-mode drivers: August 12, 2014http://support.microsoft.com/kb/2982791/en-us
Microsoft Security Bulletin MS14-045 - Important Vulnerabilities in Kernel-Mode Drivers Could Allow Elevation of Privilege (2984615)https://technet.microsoft.com/library/security/MS14-045
una-al-dia (12/08/2014) Boletines de seguridad de Microsoft de agostohttp://unaaldia.hispasec.com/2014/08/boletines-de-seguridad-de-microsoft-de.html


Antonio Roperoantonior@hispasec.comTwitter: @aropero
Categorías: Seguridad
Distribuir contenido