Cisco: Actualizaciones de Seguridad
El día 26 de marzo Cisco dio a conocer su primer boletín de actualizaciones programadas de sus productos.
En este Boletín se publicaron cinco actualizaciones de seguridad para su sistema operativo IOS.
Los problemas resueltos por las actualizaciones de seguridad han sido calificados como moderadamente críticos ("moderately critical"). Las vulnerabilidades corregidas afectaban la disponibilidad de los dispositivos a través de ataques de D.o.S y en un caso permitía acceder a información sensible de los equipos.
A continuación se detallan los distintos problemas corregidos por las actualizaciones de seguridad publicadas:
♠ Dos problemas de denegación de servicio a través de virtual private dial-up network (VPDN). Afecta a los dispositivos Cisco IOS con versiones anteriores a la 12.3 y con VPDN habilitado.
♠ Múltiples vulnerabilidades en la característica Data-link Switching (DLSw) en Cisco IOS que podrían causar el reinicio del dispositivo o provocar fugas de memoria cuando se procesan paquetes UDP especialmente manipulados o paquetes IP Protocol 91 (denegación de servicio).
♠ Denegación de servicio en el software Cisco IOS que tenga Internet Protocol version 6 (IPv6) habilitado cuando ciertos servicios Internet Protocol versión 4 (IPv4) User Datagram Protocol (UDP) se estén ejecutando al mismo tiempo.
♠ Denegación de servicio en los dispositivos Cisco Catalyst 6500 Series y Cisco 7600 Router que ejecuten Cisco IOS basado en la versión 12.2. La vulnerabilidad podría ser aprovechada por un atacante remoto para evitar que entre tráfico a la interfaz afectada.
♠ Fuga de datos a través de MVPN en Cisco IOS: existe una vulnerabilidad en la implementación Cisco de Multicast Virtual Private Network (MVPN) que podría ser aprovechada por un atacante para crear estados multicast extra en los routers o recibir tráfico multicast desde otras VPN basadas en Multiprotocol Label Switching (MPLS).
Se encuentran disponible las soluciones para remediar los diferentes problemas en su Web Site: http://www.cisco.com/en/US/products/products_security_advisory09186a0080969887.shtml
Boletines de Seguridad de Microsoft de Abril
Microsoft publico ocho boletines de seguridad. Según la propia clasificación de Microsoft, cinco de los boletines presentan un nivel de gravedad "crítico", mientras que los tres restantes reciben una calificación de "importante".
A continuación mencionaremos las actualizaciones calificadas como críticas:
♠ MS08-018: Actualización para Microsoft Project que soluciona una vulnerabilidad que podría ser aprovechada por un atacante remoto para ejecutar código arbitrario.
♠ MS08-021: Actualización para el motor GDI de Windows que soluciona dos problemas de seguridad que podrían permitir la ejecución remota de código a través de a través de archivos de imagen EMF o WMF.
♠ MS08-022: Solucionar una vulnerabilidad que afecta a Windows 2000, Windows Server 2003 y Windows XP. La actualización soluciona la ejecución remota de código, la cual es causada por la forma en la que los motores VBScript y JScript decodifican los scripts en las páginas web y que podría permitir la ejecución remota de código arbitrario.
♠ MS08-023: Actualización de seguridad de los kill bits de ActiveX en productos Microsoft, aunque también incluye el kill bit para Yahoo! Music Jukebox. La vulnerabilidad puede permitir la ejecución remota de código si el usuario visualiza una página especialmente creada con Internet Explorer.
♠ MS08-024: Actualización acumulativa para Microsoft Internet Explorer que además soluciona una nueva vulnerabilidad que podría permitir la ejecución remota de código arbitrario. Afecta a Internet Explorer 5.01, 6 y 7.
Dada la gravedad de las vulnerabilidades se recomienda la actualización de los sistemas con la mayor brevedad posible.
Oracle publicó 41 actualizaciones de seguridad
El 15 de abril Oracle publicó 41 actualizaciones de seguridad detectadas en sus productos.
La distribución de las actualizaciones es la siguiente:
♠ 17 destinadas a corregir fallos en Oracle Database
♠ 3 para Oracle Application Server
♠ 11 para Oracle E-Business Suite
♠ 1 para Oracle Enterprise Manager
♠ 3 para Oracle PeopleSoft Enterprise
♠ 6 para Oracle Siebel SimBuilder.
Se recomienda acceder al Web Site de Oracle y analizar la implementación de las actualizaciones publicadas.
http://www.oracle.com/technology/deploy/security/critical-patchupdates/cpuapr2008.html
Actualización para SuSE Linux
SuSE ha publicado varias actualizaciones para diferentes paquetes de OpenSUSE Linux 10.x y SuSE Linux 9.x y 10.x, los cuales solucionan diversos problemas de seguridad.
Las vulnerabilidades y productos actualizados son:
♠ Un atacante podría causar que unzip hiciera uso de memoria no inicializada por medio de archivos especialmente manipulados.
♠ Se ha actualizado Tomcat para mejorar la lista de cifrados SSL soportados y para solventar una vulnerabilidad de cross-site scipting.
♠ Se ha arreglado un fallo en la versión de smarty contenida en moodle que podría ser aprovechado por atacante para ejecutar código php de manera arbitraria.
♠ Se ha resuelto un fallo en la función sdpplin_parse de xine que podría ser aprovechado por un atacante remoto para acceder a memoria, lo cual podría ser aprovechado para ejecutar código arbitrario.
Se recomienda actualizar a través de las herramientas automáticas YoU (Yast Online Update).
AIX 5.x y 6.x
IBM ha publicado una actualización de seguridad para sistemas AIX 5.x y 6.x que soluciona múltiples problemas de seguridad en nddstat que podrían permitir a un atacante local elevar sus privilegios.
Un atacante podría llegar a ejecutar código con privilegios de root debido a que los comandos tienen el setuid activo como root.
Los comandos vulnerables son:
♠ usr/sbin/atmstat
♠ usr/sbin/entstat
♠ usr/sbin/fddistat
♠ usr/sbin/hdlcstat
♠ usr/sbin/tokstat
La actualización publicada por IBM se encuentra disponible desde:
ftp://aix.software.ibm.com/aix/efixes/security/nddstat_fix.tar |
