Microsoft publicará, el próximo martes de 11 de noviembre, dos nuevos boletines de seguridad siguiendo su ciclo habitual de actualizaciones.

En este caso los cambios están destinados al sistema operativo Windows y al paquete de herramientas ofimáticas Microsoft Office.

La actualización destinada al sistema base ha sido catalogada como importante, mientras que la segunda como crítica.

Y como agregado estará disponible una nueva actualización al Microsoft Windows Malicious Software Removal Tool.

Fuente: Hispasec

Algunas de ellas (vulnerabilidades) explicadas a continuación:

• Debido a un problema en la autenticación en Microsoft Windows NT Domain, los dispositivos Cisco ASA y Cisco PIX podrían ser vulnerables al salto de la autenticación VPN. Esto significa que los dispositivos configurados para acceso remoto a VPN a través de IPSec o SSL podrían ser vulnerables.
• Se ha encontrado un fallo por el que un paquete IPv6 especialmente manipulado podría hacer que los dispositivos de seguridad Cisco ASA o Cisco PIX se reiniciasen (denegación de servicio). La vulnerabilidad sólo la pueden producir los paquetes destinados al dispositivo, no así los que pasen a través de él.
• Cisco ASA y Cisco PIX se podrían ver afectados por una fuga de memoria en el código de inicialización del hardware criptoacelerador. La vulnerabilidad podría ser disparada por una serie de paquetes destinados al dispositivo, no los que pasen a través de él. Los siguientes servicios podrían verse afectados ya que hacen uso del acelerador criptográfico: WebVPN, SSL VPN, ASDM (HTTPS), IPSec y SSH, entre otros.

Las versiones afectadas son las 7.x y 8.x, y se recomienda instalar las actualizaciones: http://www.cisco.com/warp/public/707/cisco-sa-20081022-asa.shtml

Fuente: Hispasec

Este producto, que a simple vista puede parecer un antivirus, se ubica como uno más en la larga lista de productos scareware.

¿Qué es el scareware?, básicamente un software que alerta al usuario sobre una situación ficticia (como el hecho de tener un virus en el ordenador), para que este tome alguna acción en particular (desde instalar una herramienta, hasta incentivar para que este pague por comprar un software).

Según comentan en NYT, un investigador ha logrado revelar lo que se esconde detrás de esta compañía, Bakasoftware, de la cual se presume que tiene ingresos anuales de millones de dólares.

El producto que distribuye por Internet, revisa el sistema una vez que se ejecuta, para ver si el idioma está en inglés, ya que aparentemente estaría enfocado en este tipo de usuarios nomás (o quizás no tuvieron tiempo de traducirlo).

Por otro lado, una peculiaridad del producto, es que si al momento de ejecutar detecta que el idioma configurado es ruso, el programa termina su ejecución.

Como si esto fuera poco, existe un mercado para revender este producto, que les permite obtener comisiones de entre el 58 y 90% de cada venta, según el volumen vendido.

Para ir cerrando, un consejo desde BlogAntivirus: si van a instalar un producto de seguridad, verifiquen que los mismos han sido obtenidos desde los sitios oficiales de empresas reconocidas. Para investigar sobre una empresa, no necesitan más que sentarse 15 o 20 minutos a indagar por medio de algún buscador (como Google) y verificar en foros/blogs/sitios importantes, si estas empresas son de fiar.

Enlace: NY Times

El dispositivo llamado ZTIC (Zone Trusted Information Channel), se conecta mediante el puerto USB, creando un canal directo y seguro (por medio de TLS/SSL) con el servidor de transacciones en línea del banco. De este modo, se evita que el uso del ordenador mismo -que puede estar infectado con malware-, nos convierta en víctimas de un robo virtual.

Una vez que el usuario ingresa en su cuenta de banco, este puede validar todas las transacciones que haga por medio de la pantalla del dispositivo, el cual nos permitirá ver el monto que se debitará, logrando así evitar ataques del tipo man-in-the-middle, que podrían hacer creer al usuario que una transacción no fue manipulada (ya que en el navegador todo aparece “bien”, pero luego… el resumen de nuestro banco no dice lo mismo).

El dispositivo cuenta con un nivel extra de seguridad, al tener una ranura para ingresar una tarjeta inteligente, lo cual disminuirá potencialmente el riesgo de convertirnos en víctima.

Lo mejor de todo, es que el sistema puede ser integrado por los bancos, sin modificación alguna, lo que hace más probable que se termine implementando.

De momento, sólo se está probando en algunos bancos que son clientes de la firma.

Les dejo un vídeo, en inglés, con la explicación sobre como funciona:

Debido a que el producto está en una etapa de desarrollo, es común que puedan surgir problemas como estos, aunque sinceramente suena muy extraño que un producto entregado para pruebas… ya tenga su primera actualización de seguridad (y encima crítica).

La vulnerabilidad permitiría tomar control del sistema afectado, aunque solo se limitaría a usuarios remotos previamente autentificados.

Se calcula que unas 6000 personas han recibido esta versión, por lo que si consideramos que “solo ellos” (y Microsoft) poseen este producto, es muy poco probable de que alguien haya desarrollado algún tipo de exploit o esté sacando provecho de ello de forma activa por su propia cuenta.

Más información en Microsoft | Vía