La versión web del popular servicio de alojamiento de fotos y vídeos de Google, Google Fotos, ha contado con una vulnerabilidad, ahora parcheada, que habría posibilitado a los atacantes conocer las ubicaciones donde hayan estado los usuarios afectados.
La vulnerabilidad se aprovechada de la función de búsquedas que, gracias a los metadatos que se generan y se guardan automáticamente con las fotos en el propio servicio, facilita las búsquedas de fotos que tengan alojados en base a aspectos como localizaciones, horas, fechas u objetos detectados en las propias fotos, entre otros aspectos. Continúa leyendo «Una vulnerabilidad en Google Fotos habría posibilitado conocer el historial de ubicaciones»
La plataforma de publicación Tumblr, en aras de la transparencia, ha querido compartir públicamente la vulnerabilidad detectada en su versión web de escritorio y corregida a las pocas horas, sin que haya habido constancia de que haya afectado a ningún usuario.
Esta vulnerabilidad fue detectada por un investigador participante en el programa de recompensas de errores, notificando el descubrimiento a la propia plataforma semanas atrás, la cual tardó tan sólo 12 horas en ponerle solución y en mejorar los sistemas de monitorización y análisis al objeto de facilitar la detección de posibles vulnerabilidades en el futuro. Continúa leyendo «Tumblr corrige una vulnerabilidad detectada sin que haya que lamentar usuarios afectados»
Esta semana, Facebook ha sido objeto de un nuevo ataque que ha afectado a casi 50 millones de usuarios, según acaba de compartir hoy la compañía a través de un comunicado.
El ataque se ha producido en la tarde del pasado martes, donde los atacantes han aprovechado una vulnerabilidad existente desde hace más de un año en el código de la función «Ver cómo», una función que permite a los usuarios conocer como sus perfiles son vistos por los demás. Continúa leyendo «Nueva vulnerabilidad en Facebook afecta a casi 50 millones de usuarios»
Investigadores de Trend Micro han descubierto recientemente que miles de altavoces inteligentes de varios modelos de Sonos y Bose están expuestos a recibir posibles ataques de piratas informáticos, los cuales podrían desde gastar simples bromas de audio o llegar incluso más lejos, controlar por completo los altavoces para establecer comandos que van desde reproducir canciones específicas que se les exijan de forma remota o incluso hablar consigo mismo, o peor, obtener datos de la IP, de la red WiFi, del ID del dispositivo, de las cuentas de usuario de Spotify y otros servicios configurados, entre otros datos, o incluso controlar otros dispositivos conectados.
Un grupo de científicos chinos han descubierto que asistentes digitales con control por voz de las principales compañías son vulnerables ante la técnica de DolphinAttack, en la cual se pueden establecer comandos de voz en frecuencias inaudibles por el ser humano, pudiendo dar lugar a la activación de dispositivos sin desearlo, por ejemplo, abrir la puerta trasera que disponga de cerradura inteligente en una casa hasta incluso cargar contenido malicioso en ordenadores y dispositivos móviles, entre otras posibilidades.
Resulta que tanto los micrófonos como el software de reconocimiento si detecta los comandos de voz establecidos por rangos de frecuencias inaudibles para el ser humano por encima de los 20 kHz. Los resultados de la investigación han sido recogidos en un documento que fue recientemente aceptado por ACM Conference on Computer and Communications Security. Los investigadores han usado en sus pruebas teléfonos inteligentes con un dispositivo de unos tres dólares compuesto por un altavoz y un amplificador. Continúa leyendo «Los principales asistentes por voz cuentan con importante vulnerabilidad, según investigadores»
De acuerdo a un reciente informe de la compañía de seguridad Detectify, el hecho de que desarrolladores de bots para Slack hayan mantenido los tokens dentro del código de los mismos han hecho que estos se conviertan en vulnerables, y por tanto, que conversaciones, datos sensibles, además de otras informaciones, hayan podido ser accesibles por personas ajenas a las propias organizaciones.
Ya hemos hablado en más de una ocasión del Blackphone, uno de los teléfonos móviles bajo Android existentes en el mercado pensados para la privacidad y la seguridad en las comunicaciones. Como ya sabemos, la seguridad al 100% no existe, y como prueba de ello, Blackphone ha tenido hasta hace bien poco una vulnerabilidad cuya explotación permitiría al atacante el envío y recepción de mensajes de textos, además de conocer el estado de las llamadas y el desvío de las mismas hacia un número concreto.
Por suerte, esta vulnerabilidad ha sido parcheada fruto de la colaboración de la empresa fabricante, Silent Circle, con el grupo de investigadores de la firma de seguridad digital SentinelOne, quienes fueron los descubridores de esta vulnerabilidad e hicieron uso del programa oficial de recompensas de errores de Silent Circle. La investigación y desarrollo del parche correspondiente ha tomado un total de cuatro meses.
Lo que más llama la atención de este episodio es que Silent Circle no ha actuado como suelen hacer otras compañías, o sea, no ha ocultado la existencia de la vulnerabilidad, pasando más bien a la acción buscando la manera de ponerle fin a la mayor brevedad posible sin poner en riesgo a sus propios usuarios. Las conclusiones de la firma de seguridad han sido expuestas en una publicación en su blog oficial.
Mozilla ha tomado cartas en el asunto con nuevas medidas de seguridad para reducir todo lo posible las probabilidades de que Bugzilla vuelva a recibir nuevos ataques. Bugzilla es una herramienta de seguimiento y análisis de errores bajo código abierto que usa tanto Mozilla como otras organizaciones tecnológicas. En este sentido, desde Mozilla se indica que la información en Bugzilla es pública, aunque se restringe el acceso a la información confidencial, teniendo acceso al mismo un pequeño grupo de usuarios con privilegios para ello.
Mozilla ha visto como Bugzilla ha obtenido un acceso no autorizado, accediendo a información de seguridad confidencial, existiendo la posibilidad de que se use esa información para realizar ataques a los usuarios de Firefox explotando una vulnerabilidad. En este aspecto, desde Mozilla se ha llevado a cabo una actualización de Firefox el pasado 27 de agosto cerrando todas aquellas vulnerabilidades que el atacante ha podido tener conocimiento. También ha cerrado la cuenta de usuario que ha usado el atacante poco después de tener conocimiento de que la misma ha sido comprometida.
Ya con estas medidas llevadas a cabo, Mozilla se dirige a Bugzilla actualizando sus prácticas de seguridad para reducir riesgos futuros, instando a todos los usuarios a cambiar las contraseñas y usar la autenticación en dos pasos. Además se reducirá más los usuarios que tienen privilegios de acceso a la información confidencial, y además, limitará la cantidad de información que se pueda obtener.
Queda claro que nadie queda a salvo de recibir ataques, pero tomar medidas rápidamente es un valor a tener en cuenta, como bien saben desde Mozilla.
Un nuevo bug en iOS 8 permitiría a atacantes valerse de una simple red WiFi para dejar inservibles temporalmente a iPhones y iPads conectados a ella.
La vulnerabilidad la señala la compañía de seguridad Skycure y el diario The Guardian, y ambos coinciden en que la amenaza es bastante grave siendo la única defensa hasta ahora disponible el alejarse lo más pronto posible del lugar que cobija la red y evitar futuras conexiones de forma indiscriminada.
Atención usuarios de PowerPoint y/o quienes suelen recibir presentaciones en su correo y las abren incluso siendo su remitente un desconocido: Dan aviso en el centro de seguridad de Microsoft y en TechCrunch de una nueva vulnerabilidad encontrada en Microsoft PowerPoint (con la referencia 3010060) que habilita la ejecución de código de forma remota, lo que significa que alguien con el suficiente conocimiento podría explotarla inyectando algún malware en una presentación convencional que le brindaría acceso completo al Windows de quien la visualice.
Hablan en el aviso de seguridad que la vulnerabilidad afecta a todas las versiones de Windows -excepto Windows Server 2003-, eso sí, sólo se habla de las versiones que aún mantienen soporte oficial (Vista/7/8/8.1/RT/Server/) pero se infiere que versiones como Windows XP también estarían expuestas. Se menciona igualmente que hasta ahora no se han recibido informes de ataques generalizados, apenas si se ha conocido de ataques dirigidos a públicos limitados.
Pero bueno, hay varias cosas que se pueden hacer de inmediato para mantenerse protegido mientras aparece una solución completa. Son tres las ideas específicas recomendadas: Llevar al máximo los permisos en la «Configuración de control de cuentas de usuario» (User Account Control) de tal manera que sea más difícil la ejecución sin permisos administrativos y la haga visible si llega a suceder, descargar e instalar el parche temporal publicado por Microsoft (pulsando en el primer icono de Microsoft FixIt) y, como en el primer párrafo, actuar sabiamente frente a nuevas presentaciones recibidas y próximas a visualizar, en particular, si vienen de extraños.
Lo restante es mantener siempre un antivirus confiable y el sistema actualizado. En fin, un pequeño bache que opaca -aunque data del 21 de octubre- la «buena vibra» en el ambiente luego de la presentación de los resultados financieros de la compañía.
