Security updates available for Adobe Reader and Acrobat

Adobe ha publicado un boletín de actualización para las nuevas vulnerabilidades, consideradas como críticas, que se han encontrado el día 5 de octubre y que afectan a usuarios con Adobe Reader 9.3.4 y versiones anteriores. Este boletín ha sido liberado de forma anticipada para cubrir dichas vulnerabilidades ya que tenían previsto anunciarlo el día 12 de octubre; con este adelantamiento de fechas Adobe no publicará mejoras adicionales para Adobe Reader y Adobe Acrobat el dia 12 de octubre, tal como lo tenian planeado inicialmente.

El proximo boletein de actualizacions para Adobe Reader y Adobe Acrobat esta programado para el 8 de febrero del 2011.

BOLETIN DE ACTUALIZACIONES

Fuente vulnerabilityteam

Actualización de seguridad para Adobe Flash Player

Adobe ha publicado una actualización de seguridad destinada a corregir una vulnerabilidad crítica, (que habiamos publicado el dia 13 de septiembre) en Adobe Flash Player versión 10.1.82.76 (y anteriores) para Windows, Macintosh, Linux y Solaris y en Adobe Flash Player 10.1.92.10 para Android. La vulnerabilidad también afecta a Adobe Reader 9.3.4 (y anteriores) para Windows, Macintosh y UNIX; y a Adobe Acrobat 9.3.4 (y anteriores) para Windows y Macintosh.

La vulnerabilidad podría provocar la caída del sistema y potencialmente permitir a un atacante tomar el control de los sistemas afectados. El problema, del que no se han facilitado detalles, puede llegar a permitir la ejecución remota de código arbitrario al tratar contenido Flash o contenido Multimedia dentro de documentos PDF.

Actualizacion de Seguridad:
http://www.adobe.com/support/security/advisories/apsa10-03.html

fuente: adobe.com

Google parchea Chrome por segunda vez en este mes

Google ha resuelto diez vulnerabilidades de Chrome esta semana, incluida una crítica sobre Mac. Se trata de la segunda actualización de seguridad emitida por la compañía para su navegador en lo que va de mes.

De los diez fallos de seguridad parcheados, uno ha sido clasificado como “crítico”, el máximo nivel de peligrosidad dentro de la escala de cuatro niveles de Google. Seis han sido valoradas como de nivel “alto”, el segundo grado de riesgo, y tres como de nivel “bajo”.

La compañía no ha facilitado detalles sobre ninguna de las vulnerabilidades, aunque se sabe que ha pagado 4.000 dólares a cuatro investigadores independientes en recompensa por haberla informado de seis de ellas.

La única vulnerabilidad crítica sólo afecta a Chrome sobre Mac y dos de las de bajo nivel lo hacen únicamente al navegador cuando funciona sobre plataformas Linux. Otras brechas parcheadas en esta actualización incluyen un par de problemas relacionados con el análisis de elementos SVG (Scalable Vector Graphics) embebidos en los sitios Web, así como una vulnerabilidad de corrupción de memoria en el API de geolocalización.

Fuente Partnerzone.com

La brecha del API de geolocalización permitía a las aplicaciones web y a los desarrolladores de sitios identificaran la localización de un usuario, por ejemplo, sobre un servicio de mapas como Google Maps.

Microsoft parcha una vulnerabilidad explotada por Stuxnet

Este martes Microsoft ha lanzado una serie de actualizaciones para sus sistemas operativos, incluyendo una para parchar una vulnerabilidad antes desconocida que el gusano Stuxnet ya había comenzado a explotar para atacar a los internautas.

En total, Microsoft publicó nueve boletines de seguridad para solucionar 13 vulnerabilidades, cuatro de ellas críticas, que ponían en riesgo a sus usuarios.

Uno de los boletines de seguridad más importantes de esta serie es el denominado MS10-061, descubierto por expertos de Kaspersky Lab mientras investigaban el gusano Stuxnet. El gusano estaba explotando esta vulnerabilidad en Print Spooler, aprovechando que los expertos en seguridad todavía no la habían descubierto.

“Es muy difícil saber con exactitud lo que un programa malicioso va a hacer en una plataforma específica porque el comportamiento en cada plataforma es muy diferente, así que tuvimos que analizar el código byte por byte. (…) Pudimos lograrlo mucho más rápido trabajando en equipo, y el boletín es en esencia fruto de ello [del trabajo en equipo]”, dijo Maarten Van Horenbeeck, del Centro de Respuesta de Seguridad de Microsoft (MSRC).

Microsoft ha clasificado esta vulnerabilidad como “crítica” para Windows XP e “importante” para Windows Server 2003, Windows Vista, Windows Server 2008, Windows 7 y Windows Server 2008 R2. La vulnerabilidad permite que los atacantes tomen control del ordenador infectado, pero en XP la amenaza es mayor porque crea una cuenta para visitantes de forma automática cuando detecta a un usuario anónimo, a diferencia de los otros sistemas que piden que el usuario lo haga manualmente.

Mientras tanto, Microsoft está desarrollando un parche para otras dos vulnerabilidades que los expertos en seguridad también descubrieron mientras analizaban a Stuxnet. El gusano ya está explotando estas otras dos vulnerabilidades.

Fuente Viruslist.com

Boletin de Septiembre de Seguridad Publicado por Microsoft

El Boletin de Seguridad de Microsoft publicado ayer, coincidiendo con su programa de actualizaciones de seguridad los segundos martes de cada mes, esta compuesto por 9 boletines, 4 de ellos catalogados como criticos y 5 catalogados como importantes. Este boletin corrige muchas vulnerabilidades reportadas en los ultimos dias.

Los boletines criticos son los siguientes:

MS10-061
Vulnerability in Print Spooler Service Could Allow Remote Code Execution (2347290)

MS10-062
Vulnerability in MPEG-4 Codec Could Allow Remote Code Execution (975558)

MS10-063
Vulnerability in Unicode Scripts Processor Could Allow Remote Code Execution (2320113)

MS10-064
Vulnerability in Microsoft Outlook Could Allow Remote Code Execution (2315011)

Los boletines importantes son:

MS10-065
Vulnerabilities in Microsoft Internet Information Services (IIS) Could Allow Remote Code Execution (2267960)

MS10-066
Vulnerability in Remote Procedure Call Could Allow Remote Code Execution (982802)

MS10-067
Vulnerability in WordPad Text Converters Could Allow Remote Code Execution (2259922)

MS10-068
Vulnerability in Local Security Authority Subsystem Service Could Allow Elevation of Privilege (983539)

MS10-69
Vulnerability in Windows Client/Server Runtime Subsystem Could Allow Elevation of Privilege (2121546)

Disponible Mozilla Firefox 3.6.9

La nueva versión de Firefox 3.6.9 soluciona 10 vulnerabilidades clasificadas como críticas e incluyen la solución al problema de inyección DLL tal y como indican en esecurityplanet.

* Agrega soporte para el manejo de X-FRAME-OPTIONS HTTP en el header. Los webmasters pueden utilizar esta opción para mitigar ataques de Clickjacking y asegurarse que su contenido no es embebido en otros sitios.
* Varios problemas de seguridad.
* Diversos problemas de estabilidad.

Fuente Segu-info.com.ar

Nuevas variantes de vulnerabildiades para Wireshark

Wireshark 0.8.20 through 1.2.8 Multiple Vulnerabilities

Wireshark DOCSIS Dissector Denial of Service Vulnerability

Wireshark 0.10.8 to 1.0.14 and 1.2.0 to 1.2.9 Multiple Vulnerabilities

Exortamos a los usuarios y administradores revisar las notificaciones y aplicar las actualizaciones necesarias, para ayudar a mitigar los riesgos.

fuente: securityfocus.com

Microsoft solucionará 13 fallos en Windows, IIS y Office

La próxima semana, coincidiendo con la actualización periódica de Microsoft los segundos martes de cada mes, la compañía publicará nueve boletines que solucionan 13 vulnerabilidades que afectan a Windows, Internet Information Services y Microsoft Office.

Cuatro de los boletines están calificados de “críticos” y es resto se consideran “importantes”, según han informado desde el Microsoft Security Response Center.

Los programas afectados por las vulnerabilidades incluyen a Windows XP, Vista y Windows 7; Windows Server 2003 y 2008; y Office XP, 2003 y 2007.

Microsoft asegura que las organizaciones que están ejecutando Windows 7 y Server 2008 R2 están trabajando con plataformas mucho más seguras, y que las que todavía trabajan con Windows XP y Server 2003 “tienen que valorara el coste y los riesgos asociados con permanecer en estas plataformas”.

Es posible que alguno de los boletines soluciones el fallo en la manera en que Windows gestione los archivos DLL (dynamic-link library), aprovechado por los creadores de malware en sus araques. A este respecto recordar que Microsoft ha lanzado una herramienta que permite a los administradores de sistemas reducir el riesgo de la vulnerabilidad.

Fuente itespresso.es

Nuevas Variantes de vulnerabilidades que afectan a Oracle

Se han publicado nuevas varientes de vulnerabilidades que afectan a Oracle MySQL.


Oracle MySQL Prior to 5.1.49 'JOIN' Statement Denial Of Service Vulnerability


Oracle MySQL 'HANDLER' interface Denial Of Service Vulnerability


Oracle MySQL Prior to 5.1.49 'DDL' Statements Denial Of Service Vulnerability


Oracle MySQL 'TEMPORARY InnoDB' Tables Denial Of Service Vulnerability


Oracle MySQL Prior to 5.1.49 'WITH ROLLUP' Denial Of Service Vulnerability


Oracle MySQL Prior to 5.1.49 Malformed 'BINLOG' Arguments Denial Of Service Vulnerability


Oracle MySQL 'EXPLAIN' Denial Of Service Vulnerability


Oracle MySQL 'LOAD DATA INFILE' Denial Of Service Vulnerability

Exortamos a los usuarios y administradores revisar las notificaciones y aplicar las actualizaciones necesarias, para ayudar a mitigar los riesgos.

fuente: securityfocus.com

Cisco publica dos Security Advisories

Cisco ha publicado dos nuevos security advisories con referencia a multiples vulnerabilidades que afectan a los servicios Unified Communications Manager y Unified Presence.

Dichas vulnerabilidades afectan el procesamiento del Session Initiation Protocol (SIP). Explotanndo estos agujeros podria permitir a un atacante causar un DoS (denial-of-service) el cual podria causar una interrupcion de los servicios de voz.

Cisco Unified Communications Manager Denial of Service Vulnerabilities

Cisco Unified Presence Denial of Service Vulnerabilities

Mac OS X Security Update Fixes Over A Dozen Flaws

Apple has issued Security Update 2010-005, an 84 MB update that fixes a baker’s dozen flaws in Mac OS X 10.5 and 10.6, both client and server versions. One of the vulnerabilities that is corrected is described as follows:

A stack buffer overlow exists in Apple Type Services’ handling of embedded fonts. Viewing or downloading a document containing a maliciously crafted embedded font may lead to arbitrary code execution.

This flaw is similar to the “jailbreak vulnerability” that Apple fixed on its iOS. (We discussed the iOS update two weeks ago.)

Other fixes in this update cover networking, CoreGraphics, and update PHP to version 5.3.2.

Full information about the update is available here. You can get the update, as usual, through Software Update, or by download from Apple’s Downloads page.

Fuente intego.com

Adode soluciona 20 vulnerabilidades en Shockwave

Adobe ha lanzado una actualización de seguridad que afecta a su reproductor Shockwave Player 11.5.7.609 tanto para Windows como para Mac OS.

Adobe ha lanzado un parche de seguridad que soluciona un total de 20 vulnerabilidades encontradas en su reproductor multimedia Shockwave. La actualización de seguridad, que la compañía califica de crítica, afecta a la versión 11.5.7.609 de Adobe Shockwave tanto para Mac OS como para Windows.

Desde Adobe explican que las vulnerabilidades podrían permitir, a un atacante que consiguiera explotarlas, la ejecución remota de código que afectara al sistema.

De las 20 vulnerabilidades 18 cubren los problemas que permitirían la ejecución remota de código de los sistemas afectados. Otra de las vulnerabilidades permite ejecutar ataques de denegación de servicio.

Adobe ha estado asediado por una serie de ataques contra su software, ya que los cibercriminales buscan programas populares que utilicen millones de personas. Para limitar en lo posible los problemas generados por las vulnerabilidades Adobe imitó a Microsoft estableciendo boletines de seguridad periódicos que solucionaran los problemas y además permitieran compartir la información con terceros.

Fuente Itespresso.es

Critical security holes in Adobe Shockwave

Adobe has shipped a Shockwave Player update to fix 20 security holes, some serious enough to lead to system takeover attacks.

The vulnerabilities, rated “critical,” affect Shockwave Player 11.5.7.609 and earlier versions for Windows and Macintosh.

From Adobe’s advisory:

Critical vulnerabilities have been identified in Adobe Shockwave Player 11.5.7.609 and earlier versions on the Windows and Macintosh operating systems. The vulnerabilities could allow an attacker, who successfully exploits these vulnerabilities, to run malicious code on the affected system.
Users of Adobe Shockwave Player 11.5.7.609 and earlier versions should immediately upgrade to version 11.5.8.612 using this link: http://get.adobe.com/shockwave/.

Actualización crítica para Adobe

Adobe ha lanzado una actualización de emergencia para la vulnerabilidad crítica en su Flash Player, Acrobat y Acrobat Reader que cubren los agujeros divulgados por el investigador Charlie Miller en la conferencia Black Hat y que afecta a todos los sistemas operativos.

Adobe ha aclarado que de todos lanzará la versión 9.3.4 el próximo 31 de agosto y que estas liberaciones no afectan la fecha de la próxima actualización trimestral normal programada para el 12 de octubre

Para ver la actualización http://www.adobe.com/support/security/bulletins/apsb10-17.html

Apple: Actualización de seguridad para Quicktime

Apple ha publicado una nueva versión de QuickTime (la 7.6.7), que solventa un problema de seguridad crítico en sus versiones para Windows.

El problema reside en un desbordamiento de búfer (basado en pila) en el sistema de registro de errores de QuickTime. Visualizar un archivo de vídeo específicamente credo podría dar lugar a la ejecución remota de código arbitrario. Como contramedida se puede desactivar el registro de errores. Este problema no afecta a los usuarios de sistemas Mac OS X.

La actualización puede instalarse a través de las funcionalidades de actualización automática (Software Update) de Apple, o descargándolas directamente desde:
http://www.apple.com/quicktime/download/

Más Información:

APPLE-SA-2010-08-12-1 QuickTime 7.6.7
http://lists.apple.com/archives/security-announce/2010/Aug/msg00002.html

Symantec Threatcon en nivel 2 (ELEVADO)

El 10 de agosto 2010 Microsoft emitió 14 boletines de seguridad. Algunas de las vulnerabilidades descritas en las actualizaciones son la calificación de "crítico" por Microsoft.

Actualizaciones para Adobe Flash Player, ColdFusion y Flash Media Server

En su ciclo habitual de boletines de seguridad Adobe ha publicado tres actualizaciones; una corrige seis vulnerabilidades en Flash Player, otra para evitar un fallo en ColdFusion y una última para solucionar cuatro vulnerabilidades en Flash Media Server.

El boletín APSB10-16 resuelve seis vulnerabilidades en Adobe Flash Player version 10.1.53.64 y versiones anteriores, en sistemas Windows, Macintosh, Linux y Solaris. También se ve afectado Adobe AIR 2.0.2.12610 y anteriores para Windows, Macintosh y Linux. Cinco de las vulnerabilidades podrían permitir la ejecución remota de código arbitrario.

Adobe recomienda a los usuarios de Adobe Flash Player la actualización a Adobe Flash Player 10.1.82.76 y a los usuarios de Adobe AIR actualizar a Adobe AIR 2.0.3.

El boletín APSB10-18, de carácter importante, resuelve una vulnerabilidad de escalada de directorios en ColdFusion 8.0, 8.0.1, 9.0 y 9.0.1 para Windows, Macintosh y UNIX. Este problema podría permitir la obtención de información sensible.

Se recomienda a los usuarios de ColdFusion actualicen las instalaciones mediante las instrucciones ofrecidas en:
http://kb2.adobe.com/cps/857/cpsid_85766.html

Por último, el boletín APSB10-19, clasificado como crítico, resuelve cuatro vulnerabilidades en Flash Media Server 3.5.3 y 3.0.5 y versiones anteriores para Windows y Linux. Tres de los problemas permitirían la realización de ataques de denegación de servicio y otro la ejecución remota de código arbitrario.

Adobe recomienda a los usuarios de Flash Media Server (FMS) instalar Flash Media Server versión 3.5.4 o Flash Media Server 3.0.6 disponibles desde: http://www.adobe.com/support/flashmediaserver/downloads_updaters.html.

También se ha realizado un adelanto, en forma de aviso de seguridad, para informar de diversas vulnerabilidades críticas en Adobe Reader y Acrobat para Windows y Macintosh. Adobe planea publicar las actualizaciones para estos productos la semana que viene.

Más Información:

Security update available for Adobe Flash Player
http://www.adobe.com/support/security/bulletins/apsb10-16.html

Security update: Hotfix available for ColdFusion
http://www.adobe.com/support/security/bulletins/apsb10-18.html

Security update available for Adobe Flash Media Server
http://www.adobe.com/support/security/bulletins/apsb10-19.html

Microsoft publicará 14 boletines de actualización el próximo martes

En su ciclo habitual de actualizaciones los segundos martes de cada mes, Microsoft ha anunciado que en esta ocasión se esperan catorce boletines de seguridad. Afectan a toda la gama del sistema operativo Windows, Office y Silverlight. En principio, hablan de 34 vulnerabilidades.

Si en julio se publicaron cuatro boletines de seguridad, este mes ya se ha publicado uno fuera del ciclo habitual, además Microsoft prevé publicar catorce el próximo 10 de agosto. Ocho se consideran críticos (ejecución remota de código) y el resto importantes (elevación de privilegios o falsificación).

Adicionalmente, y como viene siendo habitual, Microsoft publicará una actualización para Microsoft Windows Malicious Software Removal Tool. Además, se publicarán actualizaciones de alta prioridad no relacionadas con la seguridad.

Uno de los boletines críticos está dedicado a Microsoft Silverlight 2 y 3. No se corregía ningún fallo de seguridad en Silverlight desde octubre de 2009.

Los parches anunciados están sujetos a cambios, por tanto, no se garantiza que no se produzcan cambios de última hora.

Más información

Microsoft Security Bulletin Advance Notification for August 2010
http://www.microsoft.com/technet/security/bulletin/ms10-aug.mspx