Seguridad y Open Source

Múltiples vulnerabilidades en Sun Java

Sun ha publicado varios documentos de seguridad, describiendo múltiples vulnerabilidades que afectan a sus productos, y que han sido corregidas en sus versiones más recientes, las cuáles deberían ser instaladas a la brevedad por los usuarios que utilicen Java en sus navegadores. Algunas de los fallos, no requieren un código específico para ser explotados exitosamente.
| Fuente: VS ANTIVIRUS

Dos vulnerabilidades en la máquina virtual de Java Runtime Environment (JRE), pueden permitir a aplicaciones o applets no confiables descargados de un sitio web, elevar sus propios privilegios. De ese modo, un applet (código para ejecutar pequeñas funcionalidades en las páginas Web), podría obtener los permisos para leer o escribir en archivos locales, o ejecutar aplicaciones que sean accesibles para el usuario actual.

Otra de las vulnerabilidades se produce al procesar documentos XML mediante XSLT, y puede provocar una denegación de servicio, o incluso la ejecución de código mediante una aplicación o applet descargados de Internet. XSLT (Extensible Stylesheet Language Transformations), o Transformaciones del Lenguaje Extensible de Hojas de Estilo, es un lenguaje que permite convertir documentos XML.

Cuatro vulnerabilidades, tres de ellas del tipo desbordamiento de búfer que afectan a Java Web Start, pueden permitir elevar los privilegios de una aplicación descargada de Internet, o incluso leer o escribir en archivos locales, o ejecutar código no solicitado. Java Web Start es un componente del entorno de ejecución de Java (JRE o Java Runtime Environment), que permite descargar y ejecutar aplicaciones Java desde la Web.

Un fallo en la seguridad de Java Plug-in, puede permitir a un applet descargado de Internet, eludir la seguridad que le impide la ejecución de código local. Java Plug-in se utiliza para conectar la tecnología Java a los navegadores de Internet mediante JavaScript (Java y JavaScript son cosas diferentes), permitiendo el uso de applets de Java.

Una vulnerabilidad en el intérprete de imágenes de Java Runtime, puede permitir que una aplicación o applet descargados de un sitio web malicioso, pueda ejecutar código a nivel local. Otras dos vulnerabilidades relacionadas con la administración del color, pueden ocasionar una denegación de servicio, haciendo que el programa deje de responder.

Otra vulnerabilidad en JRE, puede permitir que código en JavaScript descargado por el navegador, pueda conectarse a los servicios de red del sistema a través de las APIs de Java. Esto permite que se pueda acceder a archivos o a la explotación de vulnerabilidades en estos servicios.

No son vulnerables las siguientes versiones:
- Sun JRE (Windows Production Release) 1.4.2_17
- Sun JRE (Windows Production Release) 1.3.1_22
- Sun JRE (Solaris Production Release) 1.4.2_17
- Sun JRE (Solaris Production Release) 1.3.1_22
- Sun JRE (Linux Production Release) 1.4.2_17
- Sun JRE (Linux Production Release) 1.3.1_22
- Sun JRE 6.0 Update 5
- Sun JRE 5.0 Update 15
- Sun JDK 6.0 Update 5
- Sun JDK 5.0 Update 15
- Sun Java 2 Standard Edition SDK 1.4.2
- Sun Java 2 Standard Edition SDK 1.3.1_22
Para determinar la versión de Java instalada en su sistema Windows, abra una ventana de línea de comandos o símbolo de sistema y escriba la siguiente orden:
java -version

Solución:

Actualizarse a la versión más reciente de Sun Java desde el siguiente enlace:

www.java.com/es/download/manual.jsp

Para la mayoría de los usuarios domésticos, se instalará la versión 6 Update 5. Muchos usuarios de Windows, tienen alguna versión de Java instalada en su equipo. Debido a la gran cantidad de malware existente que intenta aprovecharse de agujeros de seguridad en este lenguaje, es aconsejable actualizarse a la misma a la brevedad.

Es importante recordar que luego de instalar esta versión, se deben desinstalar desde Agregar o quitar programas, todas las versiones anteriores de Java, ya que las mismas no son desinstaladas por defecto.

Sun Java pone en riesgo la seguridad de nuestro PC
www.vsantivirus.com/java-sun-030905.htm

Hay actualizaciones para Windows, Linux y Solaris.

Detienen a los responsables de una banda dedicada al phishing

La Policía Nacional ha detenido en Barcelona a los cinco responsables de una organización de ciudadanos brasileños dedicada a la fabricación y distribución de documentos falsos, a la comisión de estafas bancarias a través de internet y al blanqueo de dinero.
| Fuente: AFP

Los arrestos se produjeron gracias a una operación desarrollada en octubre, en la que fueron detenidos varios brasileños que portaban documentos de identidad falsos, con los que "se hacían pasar por ciudadanos portugueses y habían conseguido trabajo", indica la Policía en un comunicado de prensa emitido este lunes.
El dinero era obtenido de forma fraudulenta mediante estafas bancarias en internet por el método 'phising', que "consiste en imitar mensajes de correo electrónico y sitios web de empresas conocidas y acreditadas a fin de inducir a la gente a que revele números de cuenta, contraseñas, PINs de tarjetas de crédito y débito, y otros datos confidenciales", explica la nota.
Un miembro de la organización, residente en Brasil, conocido con el sobrenombre de 'HACKER', accedía a cuentas bancarias online de residentes en España para desviar dinero a otras abiertas con documentación portuguesa falsa. Para abrir esas cuentas, eran captados inmigrantes ilegales brasileños, que se beneficiaban de un porcentaje del capital obtenido ilícitamente.
El dinero también era empleado para comprar potentes equipos informáticos, necesarios para las falsificaciones y equipos audiovisuales de alta gama.
Entre el material decomisado por la policía en los cuatros registros realizados en la Ciudad Condal, se encuentra gran cantidad de material informático y útiles necesarios para confeccionar documentos falsos, como permisos de residencia, cartas de identidad, pasaportes o permisos de conducir.


Mozilla lanza la Beta 4 de Firefox 3

La Fundación Mozilla anuncia que acaba de lanzar la cuarta Beta de navegador de código libre Firefox 3.

Fuente: REDACCIÓN,AP

Firefox 3 Beta 4 incluye más de 900 mejoras en comparación con la beta 3, incluyendo mejoras importantes en el desempeño y en la utilización de memoria, así como también arreglos en la estabilidad y en la interfaz visual.

El principal propósito de las versiones Beta es el de testear el producto, encontrar fallos graves y mejorar la estabilidad y rendimiento del navegador.

Existen dos formas de reportar fallos en el navegador, a través de un formulario ( www.feedback.mozilla.org ) o utilizando Bugzilla ( www.bugzilla.mozilla.org )

Para más información y descarga de la Beta 4 aquí: developer.mozilla.org/devnews/index.php/2008/03/10/firefox-3-beta-4-now-available-for-download/


OpenLiberty.org lanza un software de código abierto para mejora la seguridad y la privacidad en la red