Noticias

Vulnerabilidad en el motor antivirus de productos Symantec

Hispasec - Wed, 18/05/2016 - 22:30
Symantec ha confirmado una grave vulnerabilidad en el motor antivirus (Anti-Virus Engine, AVE) que podría permitir a un atacante ejecutar código arbitrario en la mayoría de productos Norton y Symantec.
La vulnerabilidad, con CVE-2016-2208, reside en un desbordamiento de búfer en el núcleo del motor antivirus empleado por la mayoría de productos Symantec y Norton, debido al tratamiento de cabeceras PE (Portable Executable) específicamente construidas. El problema afecta a todos los sistemas: Windows, Linux, Mac y otras plataformas UNIX.
El problema fue descubierto y anunciado por el ya conocido Tavis Ormandy de Project Zero de Google, en cuyo informe confirma la posibilidad de ejecutar código arbitrario de forma remota a pesar de que en el aviso de seguridad de Symantec solo informa de una vulnerabilidad de denegación de servicio.
Como la vulnerabilidad reside en el núcleo del motor de análisis, la mayoría de productos Symantec son vulnerables, esto incluye:
  • Symantec Endpoint Antivirus (Todas las plataformas)
  • Norton Antivirus (Todas las plataformas)
  • Symantec Scan Engine (Todas las plataformas)
  • Symantec Email Security (Todas las plataformas)
  • etc.

Symantec ha corregido esta vulnerabilidad en la última actualización de su motor, versión 20151.1.1.4 distribuida a través de LiveUpdate. Se recomienda confirmar que se han recibido todas las actualizaciones de LiveUpdate de forma manual.Kernel memory corruption in Symantec/Norton antivirus, CVE-2016-2208 (more patches soon). https://t.co/Sqhm0a48Fp pic.twitter.com/F22xDIelSU— Tavis Ormandy (@taviso) 17 de mayo de 2016
Más información:
Security Advisories Relating to Symantec Products - Symantec Antivirus Engine Malformed PE Header Parser Memory Access Violationhttps://www.symantec.com/security_response/securityupdates/detail.jsp?fid=security_advisory&pvid=security_advisory&year=&suid=20160516_00
Symantec/Norton Antivirus ASPack Remote Heap/Pool memory corruption Vulnerability CVE-2016-2208https://bugs.chromium.org/p/project-zero/issues/detail?id=820

Antonio Roperoantonior@hispasec.comTwitter: @aropero
Categories: Seguridad

I/O: Construyendo la próxima evolución de Google

Canal PDA - Wed, 18/05/2016 - 21:09
Esta mañana en nuestro campus en Mountain View inauguramos Google I/O, nuestra conferencia anual de desarrolladores. Mucho ha cambiado desde aquella primera conferencia 10 años atrás, y mucho más aún desde que Google naciera hace 17 años. Por aquel entonces, había 300 millones de personas conectadas a través de ordenadores. Hoy ese número asciende a […]
Categories: PDA / PPC

En directo: Google presenta novedades en #io16

Canal PDA - Wed, 18/05/2016 - 17:19
Sobre el papel, Google convoca su convención anual I/O para reunir y formar a los desarrolladores de aplicaciones y servicios basados en sus diversas plataformas. Pero también es el momento del año en el que el gigante de internet da a conocer públicamente sus novedades para los próximos meses. La edición de este año tendrá […]
Categories: PDA / PPC

Plantronics aporta realismo a los mundos de realidad virtual con sus innovadores auriculares para la PlayStation VR

Canal PDA - Wed, 18/05/2016 - 13:27
El sonido es un elemento fundamental para vivir la realidad virtual y, por ello, Plantronics (NYSE: PLT), compañía pionera en tecnología ponible, acaba de presentar los nuevos RIG 4VR, unos auriculares creados especificamente para la PlayStation VR que ofrecen un audio totalmente envolvente en la experiencia de juego. Estarán disponibles en todo el mundo de […]
Categories: PDA / PPC

Los nuevos smartphones Nokia con Android no serán los primeros

Canal PDA - Wed, 18/05/2016 - 13:15
Nokia ha anunciado hoy lo que parece un complicado acuerdo a cuatro bandas en virtud del cual Microsoft venderá a FIH Mobile su negocio de teléfonos móviles básicos y Nokia Technologies cederá durante 10 años el uso de la marca Nokia en dispositivos móviles a HMD Global, una nueva empresa creada por antiguos directivos de […]
Categories: PDA / PPC

Strava presenta los segmentos en vivo para iPhone y Android

Canal PDA - Wed, 18/05/2016 - 13:14
Strava, la red social para deportistas, introduce segmentos en vivo (Strava Live Segments) para dispositivos móviles. Esta es la última función de Premium para inspirar a los atletas a mejorar su rendimiento, ideal para los millones de ciclistas y corredores que utilizan un teléfono móvil como dispositivo para grabar sus entrenamientos. Live Segments ofrece indicaciones […]
Categories: PDA / PPC

Apple anuncia una aceleradora de diseño y desarrollo de apps para iOS en Bangalore

Canal PDA - Wed, 18/05/2016 - 12:27
Apple ha anunciado hoy una nueva iniciativa para apoyar el talento en ingeniería y acelerar el crecimiento de la comunidad de desarrolladores de apps para iOS en la India.Apple abrirá una aceleradora de diseño y desarrollo en Bangalore, la ciudad india de las empresas emergentes. En el país hay miles de desarrolladores de apps para […]
Categories: PDA / PPC

Samsung Home en Casa Decor 2016

Canal PDA - Wed, 18/05/2016 - 12:07
La apuesta de Samsung por el mundo de la decoración, abanderando el vínculo entre el diseño y la tecnología, se materializa con su participación por tercera edición consecutiva en Casa Decor, el mayor escaparate de diseño, arquitectura y decoración a nivel nacional.Samsung colabora con los interioristas Diego Rodríguez y Guille García-Hoz para presentar Samsung Home, […]
Categories: PDA / PPC

Más cerca de Kamailio 5.0 (Kemi)

Sinologic - Wed, 18/05/2016 - 10:03

Además de estrenar nueva web, Kamailio se da cita hoy en el KamailioWorld 2016 en el que celebra sus 15 años de desarrollo continuado tras el proyecto que lo vio nacer, con un despliegue de medios, talleres y conferencias como nunca antes, y además, preparando la versión 5.0 de Kamailio con muchas novedades.

Una de las novedades de la nueva versión de Kamailio (5.0), entre otras, permitirá escribir la configuración de routeado utilizando lenguajes externos  (además del típico formato de configuración de Kamailio).

Concretamente, se podrá configurar Kamailio, además de en su propia gramática habitual, utilizando el lenguaje de programación LUA  o Python  lo que permitirá que muchos usuarios se sientan mucho más confortables, además de poder interactuar con librerías propias y ajenas.

Hay muchas otras novedades que iremos descubriendo poco a poco en su web, pero esta ha sido especialmente interesante.

Ahora tocará esperar las novedades de lo que acontezca en el KamailioWorld 2016.

Categories: Asterisk

Apple publica actualizaciones para múltiples productos: OS X El Capitan, Safari, iOS, watchOS, iTunes y tvOS

Hispasec - Tue, 17/05/2016 - 22:30
Apple ha publicado actualizaciones para sus productos más destacados: una nueva versión de OS X (OS X El Capitan 10.11.5) y Security Update 2016-003, iOS 9.3.2, Safari 9.1.1, iOS 9.3.2, tvOS 9.2.1, iTunes 12.4 y watchOS 2.2.1. En total se solucionan 77 nuevas vulnerabilidades (aunque muchas de ellas se presentan en múltiples sistemas).
Dada la gran cantidad de novedades y productos actualizados, vamos a realizar un breve repaso de las actualizaciones publicadas y problemas solucionados.
Se ha publicado OS X El Capitan v10.11.5 y Security Update 2016-003 para OS X Mavericks v10.9.5, OS X Yosemite v10.10.5 y OS X El Capitan v10.11 y posteriores; destinado a corregir 67 vulnerabilidades, la mayoría de ellas podrían llegar a permitir la ejecución de código arbitrario. Afectan a componentes importantes como AppleGraphicsControl, Audio, CoreCapture, CoreStorage, Disk Utility, Graphics Drivers, ImageIO, IOAudioFamily, Kernel, libc, libxml2, libxslt, Messages, OpenGL o QuickTime.
Las actualizaciones también han llegado a Safari, el popular navegador web de Apple, que se actualiza a la versión 9.1.1 para OS X Mavericks v10.9.5, OS X Yosemite v10.10.5 y OS X El Capitan v10.11.5. Se solucionan 7 vulnerabilidadesrelacionadas principalmente con problemas en WebKit (el motor de navegador de código abierto que es la base de Safari). Con identificadores CVE-2016-1849 y CVE-2016-1854 al CVE-2016-1859.
Por otra parte, iOS se actualiza a la versión 9.3.2 que incluye mejoras no relacionadas directamente con la seguridad y soluciona 39 nuevas vulnerabilidades. Gran parte de los fallos podrían permitir la ejecución de código arbitrario. Se ven afectados los componentes Accessibility, CFNetwork Proxies, CommonCrypto, CoreCapture, Disk Images, ImageIO, IOAcceleratorFamily, IOHIDFamily, Kernel, libc, libxml2, libxslt, MapKit, OpenGL, Safari, Siri, WebKit y WebKit Canvas.
De forma similar, Apple publica WatchOS 2.2.1, destinada a su reloj inteligente (smartwatch) conocido como Apple Watch, con la que se solucionan hasta 26 vulnerabilidades, la mayoría de ellas podrían permitir la ejecución remota de código arbitrario.
Apple también ha publicado iTunes 12.4 para Windows 7 (y posteriores) que corrige una vulnerabilidad (con CVE-2016-1742) que podría permitir la ejecución de código arbitrario a través del instalador.
Por último, también ha publicado tvOS 9.2.1, el sistema operativo para Apple TV (de cuarta generación), que soluciona un total de 33 vulnerabilidades, la mayoría de ellas podrían permitir la ejecución de código arbitrario.
Más información:
About the security content of OS X El Capitan v10.11.5 and Security Update 2016-003https://support.apple.com/en-us/HT206567
About the security content of Safari 9.1.1https://support.apple.com/en-us/HT206565
About the security content of iOS 9.3.2https://support.apple.com/en-us/HT206568
About the security content of watchOS 2.2.1https://support.apple.com/en-us/HT206566
About the security content of iTunes 12.4https://support.apple.com/en-us/HT206379
About the security content of tvOS 9.2.1https://support.apple.com/en-us/HT206564

                                                                                                   Antonio Roperoantonior@hispasec.comTwitter: @aropero

Categories: Seguridad

Apple dedica una actualización de GarageBand a la música de China

Canal PDA - Tue, 17/05/2016 - 12:49
Apple ha anunciado hoy una actualización de GarageBand que homenajea la rica historia musical de China con nuevos instrumentos y la traducción de distintos elementos de la app al chino. La colección de sonidos de GarageBand se amplía con instrumentos tradicionales (la pipa, el erhu y percusión) y 300 nuevos loops musicales que permiten a […]
Categories: PDA / PPC

La Oportunidad Digital, a debate en Cisco Connect

Canal PDA - Tue, 17/05/2016 - 11:48
Cerca de 2.200 profesionales -incluyendo CIOs, responsables de negocio, financieros, de marketing y comerciales- analizaron el pasado jueves 12 de mayo en Cisco Connect 2016 las claves tecnológicas y de negocio necesarias para digitalizar sus procesos, reinventar su modelo de negocio y liderar las actuales y futuras transiciones de mercado.Con el lema “La Oportunidad Digital”, […]
Categories: PDA / PPC

Sólo una de cada tres empresas españolas está ya preparada para afrontar la transformación digital hacia la España 4.0

Canal PDA - Tue, 17/05/2016 - 11:48
Hoy ha sido presentado el primer estudio sobre la Digitalización de la Actividad Económica en España 4.0, elaborado por la consultora Roland Berger impulsado y patrocinado por Siemens. Este informe, pionero hasta ahora en nuestro país, analiza el estado de la transformación digital en los sectores económicos más relevantes, como las Telecomunicaciones e Internet, Turismo, […]
Categories: PDA / PPC

Los españoles nos conectamos a internet 3 horas al día en nuestro tiempo libre

Canal PDA - Tue, 17/05/2016 - 11:09
Hoy se celebra el Día de Internet y Nominalia, la empresa de dominios, hosting, protección de marca online y otros servicios de presencia en la red, ha realizado un estudio para comprobar cuánto tiempo pasamos los españoles online y para qué nos conectamos en nuestro tiempo libre.Según revela el sondeo, la media para la población […]
Categories: PDA / PPC

Aumentan las ciberamenazas de “diseño”, según revela el estudio de SophosLabs

Canal PDA - Tue, 17/05/2016 - 11:00
Hoy celebramos el #DíaDeInternet, que tiene como objetivo reconocer la importancia de las Tecnologías de la Información y la Comunicación (TIC) en el desarrollo y mejora del nivel de vida de los ciudadanos así como facilitar el acceso a ellas. Y sin duda, la seguridad y el conocimiento de los riesgos que pueden conllevar juegan […]
Categories: PDA / PPC

Alfabetización Web por todo el mundo, de la mano de Mozilla

Canal PDA - Tue, 17/05/2016 - 10:21
¿Imagináis vuestro día a día sin acceso a Internet? Hoy incluso imaginarse nuestra realidad sin la posibilidad constante de acceder a la red resulta complicado, casi imposible. Internet nos ha invadido de forma total y absoluta, convirtiéndonos en seres totalmente dependientes pero al mismo tiempo proporcionándonos facilidades que hace unos años resultaban inconcebibles.Hoy es el […]
Categories: PDA / PPC

Desbordamiento de búfer en IBM SPSS Statistics

Hispasec - Mon, 16/05/2016 - 21:30
IBM ha confirmado una vulnerabilidad en un control Active X de IBM SPSS Statistics que podría permitir la ejecución de código arbitrario.
IBM SPSS Statistics es un paquete que pertenece a la familia SPSS, un conjunto de productos de software estadístico y de análisis muy usado en las ciencias sociales y en investigación de mercado. Se centra en el completo proceso analítico, desde la planificación a la colección de datos y al análisis, "reporting" y despliegue.
La vulnerabilidad, con CVE-2015-8530, reside en que un Control ActiveX de IBM SPSS Statistics es vulnerable a un desbordamiento de buffer basado en stack. Un atacante debe convencer a la víctima para que visite una página web específicamente creada que pase un argumento muy largo a la función Initialize, lo que podría permitir ejecutar código arbitrario en el sistema. 
Se ven afectadas las versiones IBM SPSS Statistics 20 a 24. IBM ha publicado las siguientes actualizaciones:IBM SPSS Statistics 20.0.0.2:  20.0.0.2-IF0008IBM SPSS Statistics 21.0.0.2:  21.0.0.2-IF0010IBM SPSS Statistics 22.0.0.2:  22.0.0.2-IF0011IBM SPSS Statistics 23.0.0.3:  23.0.0.3-IF0001IBM SPSS Statistics 24.0.0.0:  24.0.0.0-IF0003
Para IBM SPSS Statistics 19, IBM recomienda actualizar a una versión soportada y actualizada del producto.
Más información:
Security Bulletin: IBM SPSS Statistics ActiveX Control Buffer Overflow (CVE-2015-8530)http://www-01.ibm.com/support/docview.wss?uid=swg21982035


Antonio Roperoantonior@hispasec.comTwitter: @aropero



Categories: Seguridad

Graves vulnerabilidades en 7-zip

Hispasec - Sun, 15/05/2016 - 20:00
Se han anunciado dos vulnerabilidades graves en el compresor y descompresor de archivos 7-zip que podrían permitir a un atacante remoto ejecutar código arbitrario en los sistemas afectados.
7-zip es una popular aplicación libre de código abierto para comprimir y descomprimir archivos desarrollada por Igor Pavlov. Además de usar el formato de archivo 7z, también libre, también soporta los formatos de archivos comprimidos más conocidos (como zip, arj, tar, rar…)
El primer problema, con CVE-2016-2335, reside en una lectura fuera de límites en la forma en que 7-zip trata archivos UDF (Universal Disk Format). Este sistema de archivos estaba destinado a reemplazar el formato de archivo ISO-9660, y finalmente fue adoptado como el sistema oficial de archivos para DVD-Vídeo y DVD-Audio. Concretamente el problema se encuentra en el método CInArchive::ReadFileItem.
Por otra parte, con CVE-2016-2334, un desbordamiento de búfer basado en heap en el método NArchive::NHfs::CHandler::ExtractZlibFile de 7-Zip en el tratamiento de imágenes del sistema de archivos HFS+.
Ambos problemas, descubiertos y reportados de forma responsable por el grupo de investigación de amenazas online Talos de Cisco, podrían permitir la ejecución remota de código arbitrario si el usuario abre un archivo específicamente creado.
Se ha publicadola versión 16.00 de 7-zip que corrige estos problemas, disponible desde:http://www.7-zip.org/
Como problema adicional, también hay que destacar el gran número de fabricantes y desarrolladores que pueden estar utilizando las bibliotecas afectadas. Como 7-zip es de código abierto, compatible con todas las plataformas, y una de las utilidades de almacenamiento más populares actualmente, son muchos los desarrolladores que hacen uso de sus librerías para el tratamiento de archivos. Por lo que también pueden ser muchas las aplicaciones afectadas por estos problemas.
Más información:
7-ziphttp://www.7-zip.org/
7-Zip 16.00 was released.https://sourceforge.net/p/sevenzip/discussion/45797/thread/a8fd6078/
Multiple 7-Zip Vulnerabilities Discovered by Taloshttp://blog.talosintel.com/2016/05/multiple-7-zip-vulnerabilities.html
7zip HFS+ NArchive::NHfs::CHandler::ExtractZlibFile Code Execution Vulnerabilityhttp://www.talosintel.com/reports/TALOS-2016-0093/
7zip UDF CInArchive::ReadFileItem Code Execution Vulnerabilityhttp://www.talosintel.com/reports/TALOS-2016-0094/

Antonio Roperoantonior@hispasec.comTwitter: @aropero

Categories: Seguridad

Actualización de seguridad para Google Chrome

Hispasec - Sat, 14/05/2016 - 21:30
Google ha publicado una actualización de seguridad para su navegador Google Chrome (versión 50.0.2661.102) para todas las plataformas (Windows, Mac y Linux) para corregir cinco nuevas vulnerabilidades (tres de gravedad alta y dos de importancia media).
Los problemas de gravedad alta corregidos residen en un salto de las políticas de mismo origen en DOM y bindings V8 de Blink, así como un desbordamiento de búfer en V8. Por otra parte, de importancia media una condición de carrera en loader y una escalada de directiorios mediante el esquema de archivos de Android. Según la política de la compañía las vulnerabilidades anunciadas han supuesto un total de 20.337 dólares en recompensas a los descubridores de los problemas.
Los CVE asociados a las vulnerabilidades van del CVE-2016-1667 al CVE-2016-1671.
Como es habitual, esta actualización está disponible a través de Chrome Update automáticamente en los equipos así configurados o a través de "Información sobre Google Chrome" (chrome://chrome/).
Más información:
Stable Channel Updatehttp://googlechromereleases.blogspot.com.es/2016/05/stable-channel-update.html


Antonio Roperoantonior@hispasec.comTwitter: @aropero

Categories: Seguridad

Debian sigue a Ubuntu e incorpora ZFS

Debian Barrapunto - Sat, 14/05/2016 - 17:40
Cuentan en MuyLinux:Todo empezó cuando Canonical anunció el soporte total de ZFS por parte de Ubuntu. Desde entonces han surgido muchas voces diciendo que la forma en que Canonical ha incluido ZFS en Ubuntu viola los términos de uso de la GPLv2 utilizada por el kernel Linux. Entre dichas voces críticas destacó la del mismísimo Richard Stallman, quien fue tajante a la hora de decir que "incluir ZFS en Linux es imposible", a la vez que proponía su propia solución para resolver el conflicto iniciado por Canonical. Pese a todo, la compañía dirigida por Mark Shuttleworth se ha mantenido en sus trece y dice que la inclusión de ZFS en Linux se ajusta las licencias, a la vez que afirma haber estudiado el asunto con detenimiento con sus asesores jurídicos.[...] En este contexto, Debian, la distribución con más solera del mundo Linux, ha decidido seguir a Ubuntu e incluir ZFS en la rama inestable de la distribución. [...] Habrá que ver cómo es recibida esta decisión por parte de la comunidad de Debian, ya que no se puede olvidar el agrio debate interno que hubo en torno a systemd, el polémico init propiedad de facto de Red Hat y de iure por parte de freedesktop.Más comentarios en Slashdot y Hacker News, por ejemplo. Actualización, por mig21: Como aclara ekaia en el primer comentario, debian ha incluido ZFS en contrib con lo que, al contrario que ubuntu, deja fuera de la distribución los elementos binarios problemáticos, haciendo necesaria la compilación del módulo dmks por parte del usuario.
Categories: Debian GNU/Linux

Pages