edición general
1259 meneos
2413 clics
Anonymous revela graves fallos de seguridad en Capio Sanidad

Anonymous revela graves fallos de seguridad en Capio Sanidad

Anonymous ha conseguido entrar en los servidores de Capio, empresa de Sanidad Privada que en breve gestionará los hospitales públicos de Castilla La Mancha y Valencia. Afirman poder apagar remotamente el servidor de aplicaciones y algo aún mas grave, acceder a su identidad online: Capio Sanidad, Capio Enfermería y a las webs de los Hospitales que gestiona, incluyendo citas online, analíticas, etc. "Es revelador y grave que una empresa con 1.200 millones de euros anuales en beneficios no sea capaz de procurarse ni una seguridad online decente".

| etiquetas: capio , anonymous , sanidad , privatización , confidencial
397 862 6 K 472 mnm
46 comentarios
397 862 6 K 472 mnm
Comentarios destacados:            
  1. #1 --344254-- *
    El sistema del nuevo sistema tributario de Madrid, Mastil, corre en dos PCs con Windows en vez de un mainframe. ¿Lo veis seguro? Pues dentro van a estar, si nadie lo remedia, todos ls dtos tributarios de los madrileños. :-)

    Relacionada, para hacerse una idea del asunto: www.meneame.net/story/madrid-entierra-10-millones-programa-informatico
    45 K 424
  2. jaz1 #2 jaz1
    cuantos y de que cantidad habran hecho los sobres con esos 1.200 millones de euros ???
    14 K 130
  3. albertiño12 #3 albertiño12 *
    ¿Dónde está el vídeo al que hacen referencia?
    1 K 28
  4. Segador #4 Segador *
    #3 el video debieron subirlo a pastebay.com pero a saber que post era cada poco suben algo
    2 K 30
  5. capitan__nemo #5 capitan__nemo
    Podian haber aprovechado para buscar los datos de los accionistas secretos de Capio.

    Los dueños del gigante de la sanidad privatizada se ocultan en las Islas Caimán
    www.meneame.net/story/duenos-gigante-sanidad-privatizada-ocultan-islas
    El Gobierno de Madrid veta el debate sobre Capio y las Islas Caimán
    www.meneame.net/story/gobierno-madrid-veta-debate-sobre-capio-islas-ca
    25 K 257
  8. #8 --51656--
    #1 No me parece inseguro si estan en cluster. Windows server es un producto estable, yo lo uso a diario desde hace años y no he tenido ningú problema. Los fallos serán de mala administración o diseño en aplicaciones propia.
    4 K 48
  9. unaqueviene #9 unaqueviene
    Bravo una vez más, anonymous!
    0 K 9
  10. Pr177781 #10 Pr177781
    #6 que raro, creía que en la noticia ponía esto y que estaba claro que ha sido un fallo humano y no técnico:

    Como se puede observar en el vídeo, la web utilizaba un servidor de aplicaciones Jboss desactualizado (4.2.3 GA) y la consola JMX era accesible publicamente (www.capiosanidad.es/jmx-console/).

    Ah, se me olvidaba que eres tú y tu única intención es intoxicar y desinformar sobre Linux.
    11 K 99
  11. #11 andressis2k
    "La 9º compañía de Anonymous a conseguido entrar"

    Mis hogos!!
    4 K 33
  12. Pepepaco #12 Pepepaco
    Muy bién Anonymous.
    "Somos el 99%, estamos ahí fuera y seguimos muy cabreados"
    Chapeau
    5 K 54
  13. miguelpedregosa #13 miguelpedregosa
    Tirón de orejas para el administrador y ya está, nada mas va a cambiar.
    1 K 2
  14. Ultimatum #14 Ultimatum
    #0 En la noticia dice que factura 1.200 millones, no que tiene un beneficio de 1.200 millones. Convendría corregir la entradilla.
    1 K 12
  15. #15 --34696--
    #14 En el vídeo que manda #7 se dicen las dos cosas: que factura 1200 millones y después que tiene unos beneficios de 1200 millones de euros. Supongo que el segundo dato es un error.
    1 K 21
  16. lordgault #16 lordgault
    Pero ¿esto no ha ocurrido ya, o es que lo han vuelto a hacer...? No se por que tengo una noticia en la cabeza que o es la misma, o es parecida.
    0 K 6
  18. #18 Desmond
    #10 Y en que corre ese servidor desactualizado de Jboss?

    Ah, en Linux. Pues eso.

    Linux no es más seguro que Windows, y eso se va demostrando día a día con noticias como esta.
    4 K -8
  19. lupi_dan #19 lupi_dan
    #18 Linux es seguro siempre que se configure como es debido

    No es seguro si lo configura el sobrino del jefe que lo hace por 2 duros
    3 K 35
  20. #20 Desmond
    #19 Ya. Cuando se cuelan en un sistema Windows por la vulnerabilidad de algún programa, entonces la culpa es de Windows.
    Cuando se cuelan en un sistema Linux por la vulnerabilidad de algún programa, entonces la culpa es del programa.

    Sois vosotros los que tenéis dos varas de medir, no yo. Yo me he limitado a comentar que no se está más seguro por estar en Linux, cosa que llevo comprobada de sobra en estos últimos años.
    1 K 3
  22. OviOne #22 OviOne
    Por otra parte, ruego encarecidamente que las discusiones sobre seguridad informática las lleven a cabo personas con profundo entendimiento del tema, porque, oh sorpresa, resulta que la seguridad es todo un gigantesco mundo que no se reduce a instalar Windows o Linux, requiere un grandísimo y constante esfuerzo y gran conocimiento por parte de los administradores. (Ahora bien, un sistema tan flexible como Linux, va a facilitar mucho las cosas).
    0 K 6
  23. Pr177781 #23 Pr177781
    #18 #20 vaya sarta de tonterías dices al cabo del día, pero voy a entrar en tu juego y vamos a medirnos las pollas, con las normas que tú mismo has elegido.

    80 páginas de exploits para Windows en 1337day 1337day.com/platforms/windows/80
    24 páginas de exploits para Linux en 1337day 1337day.com/platforms/linux/24

    310 páginas de exploits para Windows en exploit-db www.exploit-db.com/search/?action=search&filter_page=310&filte
    81 páginas de exploits para Linux en exploit-db www.exploit-db.com/search/?action=search&filter_page=81&filter

    Los números no mienten.

    CC/ #19
    2 K 22
  24. #24 --334273--
    #21 Exacto. El video de Youtube es de octubre de 2012 y el paste es de mayo de 2012. Vamos que posiblemente todo esto es de justo el año pasado.
    0 K 6
  25. #25 --324579--
    Bueno, Anonymous ya le ha hecho la auditoría d seguridad, ahora que le pasen una factura de seis cifras por los servicios prestados.

    Y que les quede claro que aun pagando, les han hecho un favor y les han ahorrado pasta.
    Es que no son aficionados. Son lo siguiente.
    1 K 22
  26. #26 --324579--
    #18 ¿ Es troleada o hay algo serio que lo avale ?

    Yo tengo actualizaciones de seguridad con 48 horas máximo desde el descubrimiento de la vulnerabilidad en linux y de hasta un mes en windows, así que pensaba que era más seguro. ¿ Hay algo a considerar que cambia esto ?

    Lo que sí es cierto que los windows ya no son la chapuza de hace unos años y ya se pueden usar en producción si se está dispuesto a asumir el coste extra de mantenimiento.
    1 K 23
  27. Alfredo_Gutierrez #27 Alfredo_Gutierrez
    #24 #21 Evidentemente la noticia es antigua, pero de evidente actualidad, porque si no lo remediamos, todos nuestros datos clínicos van a pasar a manos de esos incompetentes y corruptos sin escrúpulos.
    1 K 18
  28. OviOne #28 OviOne
    #27 Eso está clarísimo. Este tipo de cosas no se deben olvidar, tienen que tenerse en cuenta durante el tiempo necesario, para eso hay páginas como esta, en las que podemos hacer búsquedas relativamente complejas.

    Pero hace casi el mismo daño el olvido que la falta de contexto (como por ejemplo la fecha real de una noticia).
    0 K 6
  29. #29 --334273--
    #27 Estoy contigo, pero cuando lo he leído he pensado: Anda! un nuevo ataque. Si la intención era llamar nuestra atención acerca del tema de los datos no hacia falta desenterrar una noticia de hace un año, hubiera bastado un buen post alertando lo que se nos viene encima.
    0 K 6
  30. #30 AnonymousAction
    Menos mal que aunque un año tarde, por fin hayáis dado con una información que @La9deAnon se encargó de recoger, publicar y difundir sobre CAPIO Sanidad. No es un tema que tomar a la ligera.

    Desde Anonymous usamos el escrache desde hace mucho tiempo, y no vamos a cesar en nuestro empeño.

    Profit.
    2 K 29
  31. #31 Desmond *
    #23 Y tanto que no mienten. Teniendo en cuenta los porcentajes de uso de Windows y Linux (tanto de usuarios, base de instalación y software disponible), el hecho de que haya 24 de linux por cada 80 de Windows, o 81 de Linux por 310 de Windows solo demuestra que Linux es un auténtico coladero.

    Me encantaría ver esos números si Linux tuviera el número de usuarios y la cantidad de software con la que tiene que lidiar Windows. Sin duda sería muchísmo mas vergonzoso para los defensores del pinguino.

    Así que gracias por el ejemplo, una vez más, demostramos que Linux tiene problemas de seguridad tan o más serios que Windows.
    0 K 10
  33. OviOne #33 OviOne
    #31 LoL!

    Curiosa interpretación de los datos.
    0 K 6
  34. #34 Desmond
    #33 La correcta :-) Ten en cuenta que los datos que ha puesto incluyen vulnerabilidades de software que no pertenecen al SO, y la cantidad de software disponible en Windows es muchísima mayor que la que hay disponible en Linux, y a pesar de eso, la diferencia en número de vulnerabilidades entre Windows y Linux es relativamente pequeña.

    Con lo cual, no creo que sea muy difícil de ver que Linux tiene graves problemas de seguridad y que si no son mayores, es por no estar tan extendido como Windows.
    0 K 10
  35. Pr177781 #35 Pr177781 *
    #31 #34 ¿pero no estabamos hablando de servidores donde Linux tiene absoluta mayoría frente a Windows? ¿No decías en #18 que los problemas de seguridad del software son responsabilidad del SO? Los exploits que he puesto son en su gran mayoría (por no decir todos) para software de servidores :roll:

    Windows es una minoría en servidores y aún así tiene 4 veces más exploits que Linux.

    Casi cuela, pero no.

    CC/ #33
    0 K 7
  36. wedo #36 wedo
    #23 #18 #20 dejaros de mariconadas, un buen as400, rápido, seguro y estable :-)
    0 K 6
  37. #37 --330905--
    #5 Lo curioso es que esto -como bien dice #21- es de hace un año www.meneame.net/story/anonymous-compromete-seguridad-todos-sitios-web- ...cuando de Capio en este país no se decía ni mu. Es desde entonces cuando los medios empezaron a interesarse. Eso sí, sin citar jamás que partían de este tipo de información. ¿Por qué no ha salido esto en los medios?. Casi todo lo que hoy se sabe salió a la luz gracias a gente de la plataforma por la educación y Anonymous, antes incluso de que la sanidad comenzase a manifestarse en masa. Quizá sin esos ciudadanos informados o sin este hack ahora no sabríamos nada de Capio y sus acciones serían aun más impunes de lo que ya son. A mi lo que realmente me escama de todo esto es que no lo publiquen en ningún lado...
    4 K 51
  38. #38 Marx *
    #35 "Los exploits que he puesto son en su gran mayoría (por no decir todos) para software de servidores "

    A no ser que consideres el media player, office, flash player, etc, de servidores... cuenta (Nota: también tiene huevos contar fallos de software de terceros, tanto tú como el otro que acusa a linux):

    Página 1:

    BlazeVideo HDTV Standard v.6.6.0.2 SEH Buffer Overflow
    Nitro Pro 8.0.3.1 - Crash PoC
    Microsoft Office PowerPoint 2007 Memory Corruption
    Windows Media Player 10.0.0.3802 Memory Corruption
    Kaspersky Internet Security 2013 - Denial Of Service Vulnerability
    Hanso Player 2.1.0 (.m3u) - Buffer Overflow Vulnerability
    VLC 2.0.5 (.bmp) Heap Overflow PoC
    iRobosoft Internet Browser Memory Corruption
    MS13-005 HWND_BROADCAST PoC
    Schneider Electric Accutech Manager Heap Overflow PoC
    Microsoft Wuindows Movie Maker 5.1 (wav/mpeg) Memory Corruption
    Windows Media Player 9.0.0 .wav (quartz.dll) Stack Over Flow
    Schneider Electric Accutech Manager Heap Overflow PoC
    RealPlayer 16.0.0.282 (.html) Memory Corruption
    Windows Media Player 9.0.0 Local Proof Of Concept Exploit
    MS13-005 Proof Of Concept
    Opera SVG Use After Free Vulnerability
    Apple Quick Time Player (Windows) Version 7.7.3 Out of Bound Read
    Aloaha PDF Crypter (3.5.0.1164) ActiveX Arbitrary File Overwrite

    Serva v2.0.0 DNS Server QueryName Remote Denial of Service Vulnerabili..
    Serva v2.0.0 HTTP Server GET Remote Denial of Service Vulnerability

    Lecteur multimedia VLC 2.0.3 Twoflower (.ape) Crash Poc
    CoolPlayerPlusPortable 2.19.4 (m3u) crash poc
    Nero MediaHome 4.5.8.0 Denial Of Service Vulnerability
    BestPlayRadio v1.0 (.mp3) Crash PoC
    Foxit Reader <= 5.4.4.1128 Firefox Plugin Stack Buffer Overflow
    Ratbox IRCd Denial Of Service
    FoxPlayer v2.9.0 Denial of Service Vulnerability
    Aktiv Player 2.80 Crash PoC

    Página 2:

    Sony PC Companion 2.1 (DownloadURLToFile()) Stack-based BOF
    Sony PC Companion 2.1 (Load()) Stack-based Unicode Buffer Overflow
    Sony PC Companion 2.1 (CheckCompatibility()) Stack-based Unicode BOF
    Sony PC Companion 2.1 (Admin_RemoveDirectory()) Stack-based BOF
    FireFly Mediaserver 1.0.0.1359 NULL Pointer Dereference
    Microsoft Internet Explorer 9.x <= Remote Stack Overflow PoC
    Adobe Flash Player 11,5,502,135 memory corruption
    VLC Player 2.0.3 (NULL File) Local Heap Crashed
    Mozilla Firefox HTML/JS DOS Vulnerability - POC

    Microsoft windows remote desktop PoC C# Exploit

    Sumatra 2.1.1/MuPDF 1.0 Integer Overflow

    TVMOBiLi Media Server 2.1.0.3557 Denial Of Service

    Microsoft Internet Explorer 7 Denial Of Service
    VLC media player 2.0.4 buffer overflow PoC
    NVIDIA Install Application 2.1002.85.551 Buffer Overflow Vulnerability
    Opera Web Browser 12.11 Crash PoC
    UMPlayer Portable 0.95 Crash PoC
    Apple QuickTime Targa image Buffer Overflow
    Adobe Reader 10.1.4 JP2KLib&CoolType WriteAV Vulnerability
    Splunk 4.x Denial Of Service
    Microsoft Office OneNote 2010 WriteAV Vulnerability
    Media Player Classic XSS / Denial Of Service
    Novell Groupwise Internet Agent LDAP BIND Request Overflow Vulnerabili..
    Smadav AntiVirus - Crash PoC
    A-PDF All to MP3 Converter v.2.3.0 buffer overflow
    Microsoft Visio 2010 memory corruption
    Microsoft Publisher 2013 memory corruption
    Microsoft Office Excel 2013 memory corruption
    Zoner Photo Studio 15 Buffer Overflow Vulnerability
    Microsoft Office Excel 2007 WriteAV Vulnerability

    ¿seguimos?

    Dicho esto, yo sí que paso de mirar quien la tiene más grande, estas discusiones son lo mismo de siempre.
    0 K 6
  39. Pr177781 #39 Pr177781 *
    #38 A no ser que consideres el media player, office, flash player, etc, de servidores... cuenta (Nota: también tiene huevos contar fallos de software de terceros, tanto tú como el otro que acusa a linux)

    Gracias, eso es lo que estoy criticando de #6 precisamente, además de la ignorancia de #31 y #34 que tú acabas de demostrar, él nunca se habría dado cuenta de que los exploits no eran de servicios online si no offline (no todos, pero casi).

    :troll:
    0 K 7
  41. Jamesonj #41 Jamesonj
    Ya me veo a cientos de yonkis apuntandose a clases de informática para sacar recetas sin tener que dar el palo en farmacias.
    0 K 6
  42. Polmac #42 Polmac *
    #8 Cuando #1 dice "PCs" lo interpreto literalmente, es decir, ordenadores personales, y sería una cutrada del 15. Si estamos hablando de un cluster de Windows Server instalado en servidores, entonces es un tema muy distinto (y habría que darle un tirón de orejas a #1 por la terminología ;) ).
    0 K 11
  43. #43 --344254--
    #42 Dos PCs gordos, vale. Y en cluster, vale. Pero failover, ni siquiera para rendimiento. 3000 usuarios funcionarios + todos los ciudadanos de madrid, 4 teras, en SQL Server 2005. ¿Tú ves serio eso? El sistema actual es un mainframe IBM
    0 K 20
  44. eslaquisjot #44 eslaquisjot *
    #34 la cantidad de software disponible en Windows es muchísima mayor que la que hay disponible en Linux

    ¿Por ejemplo? Relativo a la noticia, dime un solo software necesario en servidores web con linux (appservers, webservers, mailing, monitorización, firewalls, caché, etc) tenga mayor catálogo en Windows. Con uno me basta ;)

    ¿Por qué crees que esto ha sido "culpa" de Linux? En cualquier caso será de quien administra esos servidores y sus aplicativos. Y en cualquier casi esto no ha sido un fallo del SO.
    2 K -21
  45. wedo #45 wedo
    #40 Dios! ahi reside Matrix!! xD
    0 K 6
  46. PussyLover #46 PussyLover
    ¿Dónde está la AEPD para inspeccionarlos y multarlos por la falta de protección informática?
    0 K 9
comentarios cerrados

menéame