Enlaces de la SECmana - 97

• En el blog 9bplus realizan un completísimo análisis de un hack real a un servidor de aplicaciones JBoss.
• Nueva versión del interceptador de peticiones HTTP por excelencia, OWASP ZAProxy 1.3.4. En este enlace encontraréis todas las novedades de esta nueva release de la rama 1.3.
• Dos importantes brechas de seguridad esta semana: en primer lugar, páginas web de Adidas como son adidas.com, reebok.com, micoach.com, etc han tenido que suspender su actividad temporalmente. En segundo lugar, la plataforma de juegos Steam, cuyos jugadores han recibido una notificación de que sus servidores fueron comprometidos, habiendo podido acceder a las contraseñas cifradas y los datos de las tarjetas de crédito de los usuarios.
• Investigadores de la compañía de seguridad Core publican un aviso en el que notifican que han conseguido evadir la sandbox del OSX de Apple. En dicho aviso, se publica un código PoC que demuestra la vulnerabilidad.
• En Techcrunch cuentan que la nueva funcionalidad de la versión Ice Cream Sandwich de Android, que consiste en la posibilidad de desbloquear el teléfono mediante reconocimiento facial, puede ser trucado mediante una simple foto. El video demostración de este hecho lo encontraréis en este enlace.
• En seguridadyredes, Alfon realiza un interesante análisis de justniffer, un sniffer que reensambla, reordena y muestras los flujos TCP.
• Nueva herramienta publicada por los chicos de Iniqua, GoLISMERO, spider web que permite simplificar las auditorías web detectando posibles vulnerabilidades y formateando los resultados.
• Rubén Santamarta actualiza el blog de 48Bits con el post ¿Qué sabemos de TVE? No sabemos mucho, destripando iNews, sistema redactor de noticias.
• Si antes comentamos las brechas de seguridad de la semana, no podemos dejar de nombrar en este post recopilatorio la vulnerabilidad de Microsoft correspondiente con el boletín MS11-083, fallo en la pila TCP/IP que permitiría ejecución de código remota por una incorrecta gestión de los paquetes UDP (aviso, ¡aún estando los puertos UDP cerrados!)
• En la una-al-dia de Hispasec explican una vulnerabilidad en el sistema PHPMyAdmin 3.4.7, para gestión de bases de datos, que permitiría la lectura de ficheros.

Etiquetas: secmana