Según la empresa de seguridad Rapid7, los medidores automatizados ATG utilizados para monitorizar el nivel de gasolina o alertar de fugas en los tanques de más de 5800 gasolineras, 5300 de ellas en Estados Unidos, podrían ser vulnerables a ataques cibernéticos al tener expuestos los puertos de conexión y no tener activadas las protecciones por contraseña de sus conexiones TCP/IP.

Se ha encontrado un bug de desboradmiento de búfer en las llamadas gethostbyname y gethostbyname2 de la glibc. Un atacante remoto capaz de hacer que la aplicación llame a alguna de estas funciones podría utilizar esta vulnerabilidad para ejecutar código arbitrario. Afecta tanto a sistemas RedHat como Debian y variantes. Al igual que el reciente bug Heartbleed de OpenSSL, éste será complicado de arreglar.

Después de la revelación de extremadamente crítica vulnerabilidad Ghost en la biblioteca GNU C (glibc) - un componente ampliamente utilizado de la mayoría de las distribuciones de Linux, los investigadores de seguridad han descubierto que las aplicaciones PHP, incluyendo el Sistema de Gestión de Contenidos (CMS) WordPress, también podría verse afectados por el bug.

La vulnerabilidad CVE-2015-0240 afecta al daemon smbd que corresponde con el servicio Samba. Esta vulnerabilidad puede ser aprovechada por un cliente Samba malicioso, mediante el envío de paquetes especialmente diseñados al servidor. No se requiere autenticación para aprovecharse de este problema. La explotación puede dar lugar a la ejecución remota de código con privilegios de usuario root.

De acuerdo con un informe de la firma de seguridad GFI, Apple Mac OS X es el sistema operativo más vulnerable, con la plataforma iOS en segundo lugar. Durante 2014, se registraron un total de 147 vulnerabilidades para OS X, de los cuales 64 se calificaron como graves.

El fallo, bautizado como "Rowhammer" es extremadamente curioso. Según la descripción ofrecida es un problema con algunas memorias DRAM modernas por el cual el acceso repetido a una fila de memoria puede provocar cambios de bits (que pasen de 0 a 1 y viceversa) en las filas adyacentes (un proceso llamado "bit flipping"). Sí, como suena, acceder a determinadas direcciones de memoria, puede provocar cambios en las direcciones contiguas.

Secunia ha lanzado su prestigioso Resources Vulnerability Review correspondiente al año 2014 y lo ha hecho con algunas sorpresas. Si en 2013 sorprendió revelando a Windows como el sistema operativo con menos vulnerabilidades, en 2014 Chrome ha sido el programa con el mayor número de vulnerabilidades. 1. Google Chrome: 504 vulnerabilidades,2. Internet Explorer: 289 vulnerabilidades, 3. Firefox: 171 vulnerabilidades, 4. Total navegadores: 1035 (frente a 728 en 2013).

Una vulnerabilidad de ejecución remota de código existe en la pila del protocolo HTTP (HTTP.sys), causada debido a que HTTP.sys procesa de forma inapropiada determinadas peticiones HTTP especialmente modificadas. Un atacante que explote dicha vulnerabilidad puede ejecutar código arbitrariamente en el contexto del usuario System. CVE-2015-1635 (www.cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2015-1635)

Ha sido publicada una vulnerabilidad en Minecraft que permite echar abajo el servidor sin excesivas complicaciones gracias a un fallo en el procesamiento de paquetes.

Un error en una librería provoca una vulnerabilidad HTTPS a más de 1.000 aplicaciones iOS, deshabilitando la validación de certificados digitales de los servidores, al establecer la conexión. Entre las aplicaciones se encontrarían aplicaciones de empresas como Yahoo, Microsoft, Uber, Citrix, etcétera

La Fundación Apache acaba de comunicar un bug de seguridad (CVE-2015-1774) que permitiría ejecutar código arbitrario y causar el cierre de la aplicación en todas las versiones de OpenOffice hasta la 4.1.1 El problema de seguridad se produce a través del filtro que permite leer el formato propietario de "Hangul Word Processor"

Continuando con la tendencia iniciada durante el año 2014, se siguen publicando con relativa frecuencia nuevas vulnerabilidades asociadas al protocolo SSL/TLS, utilizado de forma habitual como mecanismo para garantizar la confidencialidad de las comunicaciones en Internet. Una de las últimas vulnerabilidades que se ha dado a conocer a principios del pasado mes de marzo es la denominada "FREAK" (Factoring attack on RSA-EXPORT Keys).

La compañía, eso sí, no dejará que nadie haga pruebas en los aviones ni en los sistemas computacionales de los mismos.

Los equipos Mac de más de un año son vulnerables a ataques que permiten sobrescribir remotamente el firmware con el que arranca la máquina, un exploit que permite controlar dispositivos vulnerables desde la primera instrucción. El ataque, de acuerdo con una entrada de blog publicada el viernes por el conocido investigador de seguridad de OS X Pedro Vilaca, afecta a Macs enviados antes de mediados del 2014 que pueden entrar en modo de suspensión.

El proyecto OpenSSL ha confirmado una nueva vulnerabilidad cuyo impacto no ha desvelado.

App Bugs, una firma de seguridad enfocada en el análisis de vulnerabilidades en aplicaciones móviles, ha encontrado importantes problemas en, hasta ahora, 16 populares apps para Android que podrían estar poniendo en riesgo la información de alrededor de 80 millones de usuarios de todo el mundo. Texto/vía: wwwhatsnew.com/2015/06/28/firma-de-seguridad-encuentra-vulnerabilidades-en-16-populares-apps-android/

En esta entrada vamos a ver un ejemplo práctico de cómo subir una shell a un servidor web vulnerable. En el escenario de las pruebas explotaremos una vulnerabilidad que permite subir ficheros remotamente incluso en las últimas versiones de CuteNews, un sistema de gestión de noticias/blog escrito en PHP que usa una “base de datos en archivos planos” u, opcionalmente, MySQL. Y como estamos trabajando con PHP, la web shell que hemos elegido es Weevely, que nos facilitará una consola de comandos remota contra el servidor.

Análisis realizado por el equipo de Hispasec Sistemas acerca de algunas de las herramientas y técnicas desarrolladas por Hacking Team aprovechando vulnerabilidades y exploits 0day, que afectan a sistemas de escritorio, dispositivos móviles, etc.

Cisco ha publicado tres avisos de seguridad para informar sobre vulnerabilidades de denegación de servicio remota en dispositivos con Cisco IOS y Cisco IOS XE, de cambio de contraseña sin autorización en Cisco Unified MeetingPlace y en el control de acceso en Application Policy Infrastructure Controllers y siwtches Cisco Nexus serie 9000.

Zero Day Initiative (ZDI) de TippingPoint es una compañía que comunica a los fabricantes ciertas vulnerabilidades, las cuales mantiene como 0-day hasta pasado un plazo de 120 días, tras el cual publica abiertamente dichos fallos de seguridad si el fabricante todavía no ha desarrollado un parche. En este caso, se han publicado 4 vulnerabilidades en Microsoft Internet Explorer para las que todavía se espera un parche por parte de Microsoft.

Google es conocedora de la vulnerabilidad de Android, ya que fue reportada en mayo. Pese a ello, la compañía de Mountain View aún no ha enviado un parche al Android Open Source Project We have discovered a new vulnerability in Android that functions as a local denial-of-service attack, rendering your device silent. Vïa hipertextual.com/2015/07/vulnerabilidad-de-android

Las recientes vulnerabilidades de Flash han permitido a un grupo de hackers realizar uno de los mayores ataques que se recuerdan.

Finalmente, Google ha sacado un parche que arregla la vulnerabilidad de los terminales Android producida por el bug denominado como Stagefright, que daba la posibilidad de controlar el terminal infectado de forma remota a través de un sencillo MMS.,El parche ha llegado primero para los Nexus, por ser los teléfonos propios de la compañía, pero el resto de modelos Android irán recibiendo la actualización próximamente, llegando este mes a móviles ya asegurados como el HTC One M7, One M8, One M9; el LG Electronics G2, G3, G4, y el Sony Xperia Z2,