Enlaces de la SECmana - 120

• Disponibles los videos de la Notacon 9 en IronGeek, que tuvo lugar en Cleveland del 12 al 15 de Abril. Un buen puñado de videos que te harán pasar una tarde genial de domingo.
• Wordpress libera la versión 3.2.2 que corrige varias vulnerabilidades de Cross-Site Scripting y escalada de privilegios en 3 librerías externas: Plupload, SWFUpload y SWFObject.
• Dos estudiantes descubren una grave vulnerabilidad en Ning, herramienta de creación de redes sociales, que permitió el acceso a más de 90000 cuentas de usuario, pudiendo afectar a millones. Llegaron a crear una herramienta que permitiría obtener el control de cualquier perfil de usuario.
• Interesante artículo en Dark Reading en el que se enumeran 3 graves amenazas que expondrían una base de datos (con su correspondiente fuga de información. Básicamente se resume en tener aplicaciones web inseguras, cuentas de usuario con demasiados privilegios y una incorrecta segmentación de red.
• Tras numerosos altercados en Bahrein durante el mundial de Fórmula1, Anonymous realiza defaces varios sitios sobre la F1.
• El investigador pod2g experto en iPhone/iPad y demás productos con iOS, publica un script de IDA < 6.2 que permite realizar ingeniería inversa en binarios de iOS 5
• Joxean Koret publica en Full-Disclosure por fin una técnica a la que bautiza TNS Poison, que aprovecha una vulnerabilidad de hace años, del 2008, para realizar ataques de poisoning sobre listeners de Oracle vulnerables (TODOS hasta ahora)
• Al MI5 se le olvidó renovar su certificado SSL de su página web, caducando el 16 de Abril, como comentan en SpyBlog.
• En el blog de Qualys dan un repaso al Patch Tuesday de Abril de Microsoft, con 4 vulnerabilidades a destacar, sobretodo la correspondiente con las reportadas en un ActiveX que parecía estar siendo explotada "in-the-wild" desde hacía un tiempo.

Etiquetas: secmana