Vulnerability Team

BrowserCheck, servicio de Qualys para comprobar la seguridad de los navegadores web (incluyendo plugins comúnmente utilizados) en equipos con Windows, Mac y Linux, ha servido como fuente para realizar un análisis de vulnerabilidades en navegadores web.

Basado en los datos de uso de BrowserCheck, Qualys ha lanzado la inquietante estadística de que en enero de 2011, por cada 10 navegadores 8 siguen siendo vulnerables a los ataques dirigidos a bugs ya parcheados. Esta cifra ha oscilado entre el 65% y 90% desde julio de 2010, según una presentación a cargo de Wolfgang Kandek, CTO de Qualys.

Java es el plugin del que más problemas se derivan (40 por ciento de los casos), seguido por Adobe Reader (32%), QuickTime (25%), Flash (24%), y Shockwave (22%). La presentación se puede descargar desde el sitio web de Qualys.

Desde Vulnerability Team exortamos a los usuarios y administradores mantener aplicaciones que tengan que ver con Flash, Adobe Reader, Quicktime, Java, etc siempre actualizadas para evitar agujeros de seguridad en los navegadores web.

fuente: muyseguridad.net

Ayer publicamos como el Software de Tercero (third party software) debilita la seguridad de los equipos con Windows debido a la gran cantidad de vulnerabilidades que se van descubriendo y la incapacidad de los desarrolladores y fabricantes de ir sacando "fixes" o parches lo antes posible para mantener las aplicaciones actualizadas.

Investigando un poco he encontrado a Daniel Compton, Consultor de Seguridad de 7Safe, que ocupa a la audiencia a través de una demostración de los riesgos comunes que se encuentra mientras realiza pruebas de penetracion a sus clientes. La presentacion cubre dos áreas principales, “client side attacks” and “pivot attacks”. Las demostraciones se realizan en un equipo con sistema operativo Windows totalmente parcehado, con protección anti-virus (con todas las firmas), firewall y protección de los últimos parches para todo el software de terceros (third party software). Una vez que el ordenador del usuario final fue explotado a través de Internet, Daniel demostró cómo es posible sumergirse profundamente en la red corporativa interna ademas de la extracción de contraseñas y datos de tarjetas de crédito.

real pentest

Microsoft sigue arrastrando una mala reputación entre muchos usuarios por la seguridad de sus productos. Sin embargo, los datos demuestran que su tecnología es más segura que la mayoría de la del resto de suministradores cuando trabaja sobre ordenadores personales, según el suministrador danés de seguridad Secunia.

La cantidad de vulnerabilidades encontradas en el software utilizado comúnmente sobre los PC ha experimentado un espectacular aumento del 71% entre 2009 y 2010, principalmente debido a problemas en las aplicaciones desarrolladas por terceros ("El software de tercero o como lo denomina Microsoft "third party software" es todo aquel software o programa que no pertenece a Microsoft...") más que en el sistema operativo Windows y en las aplicaciones de Microsoft. Así lo mantiene Stefan Frei, analista de investigación de Secunia.

“Cuando se profundiza en el análisis de los datos, encontramos que los elementos que más contribuyen al aumento de las vulnerabilidades no son los fallos en los productos mismos de Microsoft, sino en los desarrollados por terceros para su plataforma”, explica Frei.

Según un reciente estudio de Secunia –basado en los datos recopilados por su aplicación Personal Software Inspector (PSI), instalado en más de tres millones de ordenadores y que analiza los PC de los usuarios para detectar si tienen instalados los parches más recientes en sus programas- de los 50 productos software más comunes, 26 han sido desarrollados por Microsoft y 24 por un total de 14 terceras compañías.

Además, el estudio revela que durante 2010, los equipos han tenido cuatro veces más vulnerabilidades por el uso de los productos de terceros que por el de las propias aplicaciones y plataformas operativas de Microsoft.

El principal motivo reside, en opinión de Frei, en que el mecanismo de parcheo de Microsoft resulta muy sencillo para los usuarios, mientras que otros suministradores utilizan diferentes sistemas para la actualización de su software. Pocos aplican mecanismos de autoactualización similares a los de Microsoft, en los que los usuarios pueden elegir la instalación automática de los parches.

Secunia advierte que la falta de un programa de actualización común entre todos los suministradores genera una enorme oportunidad para los ciberdelincuentes interesados en explotar las aplicaciones no parcheadas.

fuente: csospain.es

La compañía Bit9 ha dado a conocer su cuarto informe anual sobre las aplicaciones más vulnerables, un ranking que ya ha sido ampliamente criticado por varias compañías, y que se conoce como “Dirty Dozen” o la “docena sucia”. De la lista podemos sacar como conclusion que uno de los objetivos mas buscados por los atacantes, debido a las muchas vulnerabilidades existentes, son los navegadores web (ver Navegador del usuario final: el eslabon mas debil) y que el incremento de vulnerabilidades a Software de Terceros es cada vez mayor.

Este año, el navegador de Google, Chrome, ha obtenido el dudoso mérito de colocarse en el primer puesto de la lista, siendo el que más problemas de seguridad ha sufrido (un total de 76), según Bit9.

Bit9 recalca que las aplicaciones de Apple no son las más seguras en contra de la creencia general, ya que aparece tres veces en la lista con Safari, WebKit y Quicktime

En el segundo puesto de este ranking se encuentra el navegador de Apple, Safari, con 60 vulnerabilidades, seguido por Microsoft Office que ha tenido un total de 57 agujeros de seguridad.

Tampoco ha sido un buen año para Adobe, ya que Reader y Acrobat figuran en cuarto puesto con nada menos que 54 vulnerabilidades, mientras que Shockwave Player está en el séptimo y Flash en el undécimo.

También se encuentran en la lista el navegador de Mozilla, Firefox, que cierra el `top five´ de las aplicaciones sucias e Internet Explorer, que este año se sitúa en el octavo puesto.

Los Dirty Dozen son:

1. Google Chrome (76 reported vulnerabilities)
2. Apple Safari (60)
3. Microsoft Office (57)
4. Adobe Reader and Acrobat (54)
5. Mozilla Firefox (51)
6. Sun Java Development Kit (36)
7. Adobe Shockwave Player (35)
8. Microsoft Internet Explorer (32)
9. RealNetworks RealPlayer (14)
10. Apple WebKit (9)
11. Adobe Flash Player (8)
12. Apple QuickTime (6) and Opera (6) - TIE