Vulnerability Team

Microsoft decidió no parchear Internet Explorer y enfrentarse “con lo que tenia a los hackers del concurso Pwn2Own, ¿Resultado? tumbado el primer día, al igual que Safari a pesar de que Apple sí lanzó una actualización de última hora.

Pero de poco le ha valido a los de Cupertino parchear su navegador, ya que los participantes en el concurso Pwn2Own han logrado explotar una vulnerabilidad den Webkit para tumbar Safari 5.0.3 a la primera de cambio.

Algunos de los asistentes han asegurado en Twitter que “Safari ha caído en 5 segundos”, no sabemos si exageran pero lo que es seguro es que el navegador de Apple ha sido primero en ser tumbado en esta competición anual cuyo objetivo es hacer caer los principales navegadores en el menor tiempo posible.

El segundo en caer ha sido Internet Explorer después de que uno de los concursantes consiguiera tumbar IE8 en un equipo gobernado por Windows 7 SP1 aprovechando tres vulnerabilidades diferentes.

Por su parte Chrome ha sobrevivido al primer día de concurso gracias a las actualizaciones de última hora.

Recordemos que el navegador de Google fue el único que salió ileso de este concurso el año pasado.

Los hackers aún no lo han intentado con Firefox, que entra hoy en el concurso junto con varios dispositivos como Dell Venue Pro (Windows 7), el iPhone 4, Nexus S y la Blackberry Torch 9800 que también serán objeto de ataques.

fuente: theinquirer.es

La compañía Bit9 ha dado a conocer su cuarto informe anual sobre las aplicaciones más vulnerables, un ranking que ya ha sido ampliamente criticado por varias compañías, y que se conoce como “Dirty Dozen” o la “docena sucia”. De la lista podemos sacar como conclusion que uno de los objetivos mas buscados por los atacantes, debido a las muchas vulnerabilidades existentes, son los navegadores web (ver Navegador del usuario final: el eslabon mas debil) y que el incremento de vulnerabilidades a Software de Terceros es cada vez mayor.

Este año, el navegador de Google, Chrome, ha obtenido el dudoso mérito de colocarse en el primer puesto de la lista, siendo el que más problemas de seguridad ha sufrido (un total de 76), según Bit9.

Bit9 recalca que las aplicaciones de Apple no son las más seguras en contra de la creencia general, ya que aparece tres veces en la lista con Safari, WebKit y Quicktime

En el segundo puesto de este ranking se encuentra el navegador de Apple, Safari, con 60 vulnerabilidades, seguido por Microsoft Office que ha tenido un total de 57 agujeros de seguridad.

Tampoco ha sido un buen año para Adobe, ya que Reader y Acrobat figuran en cuarto puesto con nada menos que 54 vulnerabilidades, mientras que Shockwave Player está en el séptimo y Flash en el undécimo.

También se encuentran en la lista el navegador de Mozilla, Firefox, que cierra el `top five´ de las aplicaciones sucias e Internet Explorer, que este año se sitúa en el octavo puesto.

Los Dirty Dozen son:

1. Google Chrome (76 reported vulnerabilities)
2. Apple Safari (60)
3. Microsoft Office (57)
4. Adobe Reader and Acrobat (54)
5. Mozilla Firefox (51)
6. Sun Java Development Kit (36)
7. Adobe Shockwave Player (35)
8. Microsoft Internet Explorer (32)
9. RealNetworks RealPlayer (14)
10. Apple WebKit (9)
11. Adobe Flash Player (8)
12. Apple QuickTime (6) and Opera (6) - TIE

Todos los navegadores más comúnmente utilizados son vulnerables a exploits que les hagan facilitar información personal de sus usuarios; una información que después puede ser utilizada para entrar en cuentas bancarias o abrir la entrada a otros ataques, según los expertos que participaron en la conferencia de seguridad Black Hat 2010.

“Ninguna de las herramientas con las que lo hemos demostrado resulta realmente difícil de desarrollar y utilizar”, aseguró Jeremiah Grossman, CTO de WhiteHat Security, quien impartió una sesión sobre el tema con el título de “Breaking browsers: Hacking Auto-Complete”.

Grossman explicó que sus exploits pueden forzar a los navegadores a proporcionar automáticamente la información almacenada en ellos; en concreto, en una funcionalidad conocida como “autorellenado” (auto-complete) y que está diseñada para facilitar la cumplimentación de cuestionarios sobre los sitios webs a los que los usuarios intentan acceder. Tal información incluye nombre, dirección, correo electrónico, términos frecuentes utilizados en las búsquedas y, en algunos casos, contraseñas empleadas para el acceso a diferentes tipos de sitios, como los de banca online.

La manera más segura de protegerse frente a este peligro es, según Grossman, desactivar la funcionalidad de autorellenado, aunque reconoció que algunas personas preferirán asumir el riesgo a cambio de la comodidad que tal capacidad ofrece.

Grossman realizó demostraciones de diferentes exploits desarrollados para distintos browsers y afirmó haber encontrado la manera de comprometer la funcionalidad de autorellenado en diferentes versiones de Internet Explorer (Incluidas IE 6 y 7), Safari, Chrome y Firefox.


fuente: csospain.es