Parece ser que se ha descubierto una vulnerabilidad crítica en el núcleo del sistema operativo libreNo es muy común hablar de vulnerabilidades críticas en el kernel Linux ya que no es habitual, por eso cuando sucede tiene tanta repercusión en la red. Parece ser que se ha descubierto una vulnerabilidad crítica en el núcleo del sistema operativo libre que cualquier atacante que sepa explotarla de forma correcta puede llegar a hacerse root o generar un kernel panic a través de un ataque DoS.

Un nuevo fallo de seguridad crítico afecta al popular reproductor multimedia VLC, con una puntuación alta, la vulnerabilidad ha sido categorizada como crítica, y aunque se está trabajando en una solución de momento no hay parches disponibles.

La firma Exodus Intelligence ha informado de una vulnerabilidad crítica en el sistema operativo Tails.

Una nueva vulnerabilidad afecta al gestor de contenidos Drupal, permitiendo que un atacante ejecute código arbitrario en el sistema de destinación. Esta está relacionada con la vulnerabilidad publicada el pasado mes de marzo. El impacto es crítico porque afecta el núcleo de Drupal de las versiones 7.x y 8.x. Además, el equipo de seguridad de la empresa ha constatado ataques para explotar esta vulnerabilidad, cinco horas después de liberar el parche.

Como el fallo reside en tu CPU, afecta a cualquier sistema operativo, aunque aparentemente versiones modernas de Windows y Linux son la excepción. La buena noticias aquí es que a diferencia de Meltdown y Spectre, esta vulnerabilidad no reside en el hardware, así que puede se solucionada enviando parches a los diferentes sistemas operativos. Según Intel, dado que Lazy FP State Restore es similar a la variante 3A de Spectre, muchos sistemas operativos ya la han solucionado. Las versiones de Linux con el kernel 4.9 en adelante no están afectadas.

Un total de cuatro fallos de seguridad críticos en la versión para ordenadores PC y Mac de la aplicación de mensajería WhatsApp expusieron los dispositivos de los usuarios, a los que un atacante podía acceder a través del envío de un mensaje malicioso. Las vulnerabilidades, que han sido descubiertas por los investigadores de la compañía de ciberseguridad Perimeter X, se basan en el cross-site scripting, un agujero de seguridad que permite a un tercero inyectar código Javascript o similar en una aplicación web.

Una vulnerabilidad crítica de tipo bypass de autenticación en libssh, una librería que implementa el protocolo de autenticación de SHH, permite el acceso en remoto sin credenciales en la consola, incluso llegando al compromiso completo de los servidores afectados. Las versiones afectadas de libssh llegan hasta la 0.6.0, publicada hace más de 4 años.

Esta nueva vulnerabilidad afecta a las versiones de Windows 7, 8, 10, Server 2008 y Server 2012, y permitie al atacante tomar control total de la máquina sin que el usuario lo perciba. Aún no existe actualización de seguridad que lo solucione.

El equipo del proyecto OpenSSL avisa en su lista de correo de una vulnerabilidad crítica en las versiones 3.X para la que publicará actualización a 3.0.7 el 1 de noviembre. En la página de SANS hay mas información sobre las versiones de los sistemas operativos afectados. isc.sans.edu/forums/diary/Upcoming+Critical+OpenSSL+Vulnerability+What

Secunia ha lanzado su prestigioso Resources Vulnerability Review correspondiente al año 2014 y lo ha hecho con algunas sorpresas. Si en 2013 sorprendió revelando a Windows como el sistema operativo con menos vulnerabilidades, en 2014 Chrome ha sido el programa con el mayor número de vulnerabilidades. 1. Google Chrome: 504 vulnerabilidades,2. Internet Explorer: 289 vulnerabilidades, 3. Firefox: 171 vulnerabilidades, 4. Total navegadores: 1035 (frente a 728 en 2013).

Una vulnerabilidad zero-day es aquella vulnerabilidad que se reporta nada más ser detectada. Las primeras horas entre el reporte y el parche correspondiente son críticas ya que, al igual que los desarrolladores no tienen conocimiento de esta vulnerabilidad, los piratas informáticos tampoco y ambos compiten por ser los primeros en desarrollar un parche de seguridad o un exploit que ataque a dicho software.

Millones de redes Wi-Fi en todo el mundo podrían ser vulnerables a ataques. Esto es debido a una vulnerabilidad que han encontrado en los navegadores basados en Chromium. Aquí debemos de mencionar a Google Chrome o a Opera, ya que son los más conocidos, pero hay otros muchos. Esto afecta a las redes incluso aunque estén protegidas por contraseñas seguras. El motivo es una vulnerabilidad encontrada en estos navegadores, en la manera en la que manejan las contraseñas guardadas.

WPA2 fue hackeado el año pasado, y el pasado mes de agosto fue descubierta una nueva vulnerabilidad en el protocolo que se basaba en el método anterior, y lo hacía bastante más fácil. Cuando parecía que esas dos iban a ser las únicas vulnerabilidades del WiFi y que iban a ser solucionadas con WPA3, ahora unos investigadores de la Universidad de California en Riverside, han descubierto una nueva vulnerabilidad presente en todos los routers WiFi.

Microsoft lanza un parche incompleto para la vulnerabilidad CVE-2018-8423 de JET (es motor de base de datos creado por Microsoft). Al estar JET en todas las versiones de Windows, esta vulnerabilidad permite realizar un compromiso completo y remoto del sistema de un usuario. Hasta el momento ni Microsoft ni 0Patch han visto intentos de aprovechar esta vulnerabilidad, pero eso no quiere decir que podamos ver alguno en los próximos días

Hay casi un millón de sistemas Windows que aún no se han parcheado y se encuentran vulnerables a la vulnerabilidad crítica y "wormeable" en RDP, dos semanas después de que Microsoft lanzara el parche de seguridad. Apodado como BlueKeep e identificado como CVE-2019-0708, la vulnerabilidad afecta a las ediciones Windows 2003, XP, Windows 7, Windows Server 2008 y 2008 R2 y podría propagarse automáticamente en sistemas no parcheados.

Una nueva vulnerabilidad descubierta permite a los atacantes secuestrar conexiones VPN en Linux, FreeBSD, OpenBSD, MacOS, iOS y Android William J. Tolley conjunto con Beau Kujath y Jedidiah R. Crandall reportó en SecLists la vulnerabilidad catalogada como [CVE-2019-14899] – Inferir y secuestrar conexiones TCP tunelizadas VPN. A fecha de hoy no se ha publicado ningún parche. Esta vulnerabilidad funciona contra OpenVPN, WireGuard e IKEv2/IPSec, pero no ha sido probada a fondo contra Tor.

Un análisis de TheBestVPN basado en información de la base de datos nacional de vulnerabilidades estadounidense muestra cuáles son los sistemas operativos, navegadores y tecnologías que más vulnerabilidades han presentando en las dos últimas décadas, entre 1999 y 2019. El caso de Android parece el más problemático, pues es el segundo producto con más vulnerabilidades desde 1999, habiendo nacido hace 11.

Arrancamos el día conociendo que los procesadores AMD EPYC han sido afectados por dos nuevas vulnerabilidades. Fue la propia AMD la que reveló que tenía conocimiento de dos vulnerabilidades tras la publicación de unos trabajos de investigación relacionados con la virtualización cifrada segura (SEV). Aunque no conocemos los detalles exactos de estas vulnerabilidades hasta que se presenten los pertinentes documentos, sabemos esto afecta a toda la familia de CPUs AMD EPYC (1ª Gen, 2ª Gen y 3ª Gen).

El investigador de seguridad español José Rodríguez ha descubierto una vulnerabilidad de bloqueo de pantalla que afecta a las versiones 14.8 y 15 de iOS. Esta vulnerabilidad aún no ha sido totalmente corregida. Un atacante con acceso físico al dispositivo vulnerable podría acceder a la aplicación de Notas a través de Siri y VoiceOver. Tras esto, podría lanzar aplicaciones de mensajería instantánea como WhatsApp o Telegram.

Se han descubierto tres vulnerabilidades que afectan a varios modelos de portátiles de Lenovo y que pueden poner en jaque la información de los usuarios. Dos de las vulnerabilidades que han sido descubiertas por ESET afectan directamente a los drivers de firmware para UEFI y suelen utilizarse durante el proceso de fabricación de estos dispositivos. La tercera vulnerabilidad llega bajo el nombre de CVE-2021-3970 y afecta a la lectura y escritura arbitraria desde y hacia SMRAM.

Hace pocas horas se ha dado a conocer una nueva vulnerabilidad en el núcleo del sistema operativo libre presente en este sistema desde el año 2009 que puede permitir a un atacante que la explote correctamente ganar permisos hasta considerarse “root” o generar un “kernel panic” en el sistema mediante un ataque DoS desbordando los límites asignados de la memoria. Esta nueva vulnerabilidad descubierta afecta a todas las versiones del kernel de Linux desde la versión 2.6.31 (una versión de 2009) hasta la actual 3.14.3 y la 3.15, aún en desarrollo.

Se han anunciado dos nuevas vulnerabilidades en sistemas Android (anteriores a la versión 4.4.4) que podría permitir a una aplicación maliciosa realizar llamadas a números de tarificación especial sin que el usuario se percate de ello y aun sin permisos para ello. Curesec ha publicado una aplicación como prueba de concepto que puede permitir a un usuario comprobar si su dispositivo es vulnerable.