Vulnerabilidad en Safari permite robo de archivos mediante la API Web Share
Se ha descubierto una nueva vulnerabilidad que afecta al navegador Safari, la cual permitiría a un atacante robar archivos de usuario. El fallo de seguridad se debe en cómo Apple implementa la nueva API «Web Share» de Safari, a través de la cual los usuarios pueden compartir archivos desde su computadora. La vulnerabilidad se aprovecha del uso de enlaces con el esquema «file://» para añadir un fichero en el mensaje que se va a compartir. Los investigadores del grupo REDTEAM descubrieron que la API es capaz de compartir archivos almacenados en el disco duro de un usuario cambiando el esquema…
Popular SDK de iOS es acusado de espiar a miles de millones de usuarios y cometer fraude publicitario
Un popular kit de desarrollo de software (SDK) de iOS utilizado por más de 1200 aplicaciones, con un total de más de mil millones de usuarios móviles, contiene código malicioso con el objetivo de perpetrar fraudes de clics en anuncios móviles y capturar información confidencial. Según un informe publicado por la empresa de ciberseguridad Snyk, Mintegral, use detalla un componente SDK que permite recopilar URL, identificadores de dispositivo, dirección IP, versión del sistema operativo y otros datos confidenciales de los usuarios, para ser enviados. El SDK de iOS malicioso ha sido llamado «SourMint» por los investigadores de Snyk. «El código…
CISA, Treasury, FBI y USCYBERCOM publican una alerta cibernética sobre el último plan de robo bancario de Corea del Norte
La Agencia de Seguridad de Infraestructura y Ciberseguridad (CISA), Treasury, la Oficina Federal de Investigaciones FBI y el Comando Cibernético de Estados Unidos (USCYBERCOM) están emitiendo una alerta técnica conjunta sobre cajero automático (ATM), el esquema de retiro de efectivo por parte de los actores cibernéticos del gobierno de Corea del Norte, el gobierno de Estados Unidos se refiere a ellos como «FASTCash 2.0: BeagleBoyz Robando Bancos de Corea del Norte». La alerta conjunta proporciona nuevos detalles importantes sobre la reanudación de un esquema de robo de bancos cibernético de Corea del Norte dirigido a bancos en varios países para…
Cisco solventa fallos de severidad alta que afectan a equipos switches y de storage
Cisco Systems reveló ocho errores de alta gravedad que afectan a una variedad de su equipo de red, incluidos sus conmutadores y soluciones de almacenamiento de fibra. El NX-OS de Cisco fue el más afectado, con seis alertas de seguridad vinculadas al sistema operativo de red que sustenta los conmutadores Ethernet de la serie Nexus y los conmutadores de red de área de almacenamiento Fibre Channel de la serie MDS. Los parches están disponibles para todas las vulnerabilidades, según un aviso de seguridad de Cisco publicado el miércoles. Además de los ocho errores de alta gravedad parcheados, Cisco también corrigió…
Google Chrome 85 corrige vulnerabilidad de ejecución de código
Google Chrome corrige una vulnerabilidad de severidad alta que podría permitir la ejecución de código arbitrario. La vulnerabilidad, registrada bajo el ID CVE-2020-6492, se debe a que el componente WebGL del navegador Chrome no maneja correctamente los objetos en la memoria. Este componente es una API de JavaScript que permite a los usuarios representar gráficos 2D y 3D dentro de su navegador. Según el ataque de prueba de concepto (PoC) descrito por los investigadores de Cisco Talos, el problema existe en función de ANGLE, llamado «State :: syncTextures». Esta función es responsable de verificar si la textura tiene «DirtyBits». Estos…
Vulnerabilidad en Google Drive podría permitir ataques de malware
Se ha hecho público una falla de seguridad en Google Drive, el popular servicio colaborativo de almacenamiento en la nube, la cual podría permitir a los atacantes engañar a los usuarios para distribuir archivos maliciosos disfrazados de documentos o imágenes legítimos. La vulnerabilidad reside en la función «manage versions» de Google Drive, la cual permite a los usuarios cargar y administrar diferentes versiones de un archivo. Según el reporte realizado por A. Nikoci, la herramienta permite realizar el cambio de versiones sin verificar que la nueva versión del archivo tenga la misma extensión que la versión anterior, lo que permite…
Actualizaciones de Seguridad Urgentes en Adobe
Adobe emite soluciones de emergencia para vulnerabilidades críticas en Photoshop, Bridge, Prelude, Reader Mobile. Los avisos de seguridad revelaron un total de 13 vulnerabilidades, 12 de las cuales se consideran críticas, ya que si se explotan, pueden conducir a la ejecución de código arbitrario. Los productos afectados de estas vulnerabilidades críticas son los siguientes: Photoshop CC 2019 versiones 20.0.9 y anteriores. Photoshop 2020 versiones 21.2 y anteriores en máquinas con Windows. (CVE-2020-9683, CVE-2020-9686, CVE-2020-9684, CVE-2020-9685 y CVE-2020-9687) Adobe Bridge versiones 10.1.1 y anteriores tanto en Windows como en macOS. (CVE-2020-9675, CVE-2020-9674 y CVE-2020 -9676) Adobe Prelude en las versiones 9.0…
Samsung corrigió fallas críticas en teléfonos Galaxy
Se ha hecho público cuatro (4) vulnerabilidades de severidad crítica detectadas en «Find My Mobile», una función precargada en los smartphones de Samsung Galaxy que ayuda a los usuarios a encontrar sus dispositivos extraviados, las cuales al ser explotadas podrían permitir a los atacantes forzar un restablecimiento de fábrica en los teléfonos o espiar a los usuarios. Los investigadores de la firma Char49, indicaron que las vulnerabilidades fueron notificadas por primera vez a Samsung el 21 de febrero de 2019 y que la compañía de teléfonos inteligentes las solucionó en silencio el 7 de abril de 2019. Sin embargo, las…
Actualizaciones de seguridad de Microsoft – Agosto 2020
El 11 de agosto, Microsoft lanzó parches de seguridad para remediar alrededor de 120 vulnerabilidades en Microsoft Windows, Edge (EdgeHTML-based y Chromium-based), ChakraCore, Internet Explorer (IE), Microsoft Scripting Engine, SQL Server, .NET Framework, ASP.NET Core, Office and Office Services and Web Apps, Windows Codecs Library y Microsoft Dynamics. En lo que va del año Microsoft ha lanzado parches para 862 vulnerabilidades, 11 más de lo registrado en todo 2019. Este volumen ejerce presión sobre el equipo de administración de parches, dado que de continuar al mismo ritmo hasta finalizar el año 2020 se habrán lanzado alrededor de 1300 parches de…
Fallo en navegadores basados en Chromium exponen a millones de usuarios a robo de datos
Una vulnerabilidad presente en los navegadores basados en Chromium de Google permitiría a los atacantes eludir la política de seguridad de contenido (CSP) en los sitios web, para así robar datos y ejecutar código malicioso. El fallo, identificado como CVE-2020-6519, se encuentra en Chrome, Opera y Edge, en Windows, Mac y Android, lo que podría afectar a miles de millones de usuarios web, según el investigador de ciberseguridad de PerimeterX, Gal Weizman. Para explotar la vulnerabilidad, un atacante primero necesita obtener acceso al servidor web (mediante fuerza bruta de contraseñas u otro método), para poder modificar el código JavaScript que…