Enlaces de la SECmana - 132

• Semana "genial" para leakers, hackeo al foro de desarrolladores de NVIDIA, AndroidForums.com, Formspring y Yahoo! Voice (al que le dedicamos un post esta semana).
• Se publica en la web de la Agencia de Protección de Datos la resolución del caso de la filtración de datos de la plataforma de formación de Inteco de hace un año.
• En reddit, anuncian que han vuelto a comprometer Bitcoinica tras adueñarse de la cuenta de MtGox, obteniendo más de 350,000 dólares.
• Como ya suele ser habitual, otro antivirus cuya actualización deja inoperables algunos sistemas, Symantec. La actualización produce en Windows XP un bucle infinito de pantallazos azules de la muerte.
• Fermín J. Serna publica su charla sobre fuga de información (CVE-2012-0769 - perfect info leak) que facilita el desarrollo de exploits eficientes y evasión de mecanismos de seguridad, que dio en la pasada SummerCon 2012.
• PDF con una presentación de un curso en el que se mostró cómo realizar auditorias y pruebas de seguridad sobre aplicaciones utilizando SamuraiWTF. Los autores son Justin Searle y Raul Siles
• Actualización de Foca PRO a la versión 3.2. Todas las novedades en este post en el blog de El Lado del Mal, entre las que destacan la inclusión de las técnicas IIS Short Name para la obtención de ficheros del servidor y búsqueda de servidores vulnerables con el bug del PHP CGI Execution
• Circula por el mercado negro un supuesto exploit remoto para un 0day en Plesk 10.4.4 y anteriores, que podría haber provocado ya el compromiso de miles de servidores.
• Buen artículo de Diogo Monica titulado "It's not just the salt, stupid" desmitificando la idea de que gracias a la aplicación de salt en contraseñas se consigue la seguridad máxima. No es lo único a tener en cuenta para contar con una buena protección de las contraseñas de usuarios.
• Tras descubrir una vulnerabilidad en el framework Zend, que permitía la inclusión de ficheros mediante inyección XXE, SEC Consultan publica un advisory en el que anuncian que la aplicación de comercio electrónico Magento también sería vulnerable a esta técnica.
• PenTesticles se adueña del proyecto HackArmoury, el repositorio de herramientas para ayudar en tareas de hacking ético y pentests.

Etiquetas: secmana