Riesgo Semanal III

El Domingo es un excelente día para dedicar unas horitas de nuestro tiempo para actualizar, configurar y mejorar un poco la seguridad de nuestros equipos....

Ejecución de código en Opera

Opera Software ha publicado dos boletines de seguridad referentes a sendas vulnerabilidades que afectan a su navegador Opera.

Éstas podrían ser explotadas de forma remota para revelar información sensible y ejecutar código arbitrario. Ambas afectan a las versiones de Opera inferiores a la 12.11, que ha sido lanzada para corregir estas vulnerabilidades. Se puede descargar desde la página oficial.

Más información:
http://www.opera.com/support/kb/view/1036/
http://www.opera.com/support/kb/view/1037/

http://unaaldia.hispasec.com/2012/11/ejecucion-de-codigo-arbitrario-en-opera.html

WPA2-PSK débil en routers BelkinSe ha conocido el algoritmo de cifrado débil de las contraseñas WPA-PSK por defecto que implementan algunos routers Belkin. Un atacante podría conocer la contraseña WPA2-PSK si el dueño no ha modificado la que viene por defecto. Solución modificar datos de acceso por defecto.
 

Más información:
http://unaaldia.hispasec.com/2012/11/clave-wpa2-psk-debil-en-routers-belkin.html

http://www.jakoblell.com/blog/2012/11/19/cve-2012-4366-insecure-default-wpa2-passphrase-in-multiple-belkin-wireless-routers/

Vulnerabilidad en Instagram para iOS
Se ha descubierto una vulnerabilidad en Instagram que podría permitir a un atacante el acceso no autorizado al contenido y descargar o eliminar las fotos sin el consentimiento de la víctima. Se ha comprobado que la última versión de Instagram 3.1.2 para iOS es vulnerable, aunque también podrían estar afectadas otras versiones y plataformas. No existe solución oficial.

Más información:

http://unaaldia.hispasec.com/2012/11/vulnerabilidad-en-instagram-para-ios.html
http://reventlov.com/advisories/instagram-plaintext-media-disclosure-issue

Espía WhatsApp

La suplantación de usuarios te la dan "gratis", puedes empezar a mandar mensajes suplantando a la víctima siempre que tengas su número de teléfono móvil y su IMEI o MAC address.

• "El flood y el spam ya se habían comentado, pero si además le sumamos la suplantación se abren nuevos escenarios que pueden dar lugar a Phishing o envío de URLs que traten de ejecutar exploits contra el navegador de la víctima.Con un poco de maldad y buscando los puntos adecuados en python-whatsapi se consigue espiar a otros usuarios sin que ellos se den cuenta".

Excelente artículo en Security by Default.

Comprometidos servidores FreeBSD
Dos servidores utilizados por el Proyecto FreeBSD para crear paquetes de software de terceros ha sido pirateado en los últimos días y cualquier usuario que haya descargado estos paquetes, desde el pasado 19 de septiembre, debería volver a instalar ahora completamente sus máquinas, según alerta el equipo de seguridad de esta web.

• "Desafortunadamente, no podemos garantizar la integridad de todos los paquetes disponibles entre el 19 de septiembre y el 11 de noviembre, o de todos los puertos compilados con cualquier medio que no sea a través de svn.freebsd.org, o uno de sus espejos"

Seguridad a lo Jabalí para Todos!!