Cloud9 puede robar contraseñas, datos de tarjetas de crédito y realizar ataques DDoS.

Las extensiones de Chrome nos han permitido tener una gran flexibilidad en cuanto a las características que podemos tener en el navegador insignia de Google. Parecía maná del cielo, una alternativa a las barras de herramientas y complementos del pasado. Con un simple clic, ¡bam! Tienes un nuevo widget hecho por un desarrollador externo.

Antes de nada, escribo esta entrada para todos, a los lectores leales y a esos que ayer dijeron que no volverían a entrar pero que están aquí leyendo.

El pasado 16 de febrero desde el blog de seguridad de Google se daba a conocer la existencia de una vulnerabilidad en la librería glibcdesde la versión 2.9 (CVE-2015-7547), la cual es la biblioteca estándar de lenguaje C, y por tanto es empleada por casi todos los programas compilados en un entorno UNIX, lo que implica que afecta a todas distribuciones de Linux.

Un proveedor externo de 3CX, un popular proveedor de comunicaciones de voz sobre protocolo de Internet (VoIP), dejó un servidor abierto y expuso datos sensibles de 3CX. El problema pasó desapercibido para la empresa, a pesar de que recientemente fue objetivo de piratas informáticos norcoreanos.

Navegando por los subreddits me encontré con una noticia que llamo bastante la atención y es que hace poco un grupo de investigadores de las universidades Northeastern y New York dieron a conocer que han desarrollado una técnica para estimar la ubicación de un destinatario de SMS mediante el análisis de los retrasos en la entrega de SMS.

Un equipo de investigadores de varias universidades estadounidenses, israelíes y australianas ha desarrollado tres ataques dirigidos a navegadores web que permiten extraer información sobre el contenido del caché del procesador. Un método funciona en navegadores sin JavaScript y los otros dos evitan los métodos de protección existentes contra ataques a través de canales de terceros, incluidos los que se utilizan en el navegador Tor y DeterFox.

Anteayer se supo que el famoso antivirus Avast recopila información de la navegación web de sus usuarios y vende esa información a terceros para que conozcan tus preferencias, visitas, descargas y vaya usted a saber qué más.

Národný Bezpečnostný Úrad (NBU), es el nombre de la Autoridad de Seguridad Nacional de Eslovaquia. Un departamento que tiene como misión la protección de la información clasificada, los servicios de cifrado y de firma electrónica. También la detección de ciberamenazas, como la que acaban de encontrar en PyPI (Python Package Indice), un importante repositorio de software comunitario para el lenguaje de programación Python.

Un ingeniero de Google ha descubierto tres agujeros de seguridad (1, 2 y 3) que afectan a las defensas contra Spectre incluidas en el kernel Linux, concretamente aquellas diseñadas para los procesadores de AMD e Intel.

Dmitry Antipov, un desarrollador de CloudLinux, ha descubierto un importante fallo de seguridad en el formato de paquetes RPM que permite llevar a cabo un proceso de actualización o parcheo con las claves de dichos paquetes revocadas o sin existir.

Hablamos estos días de seguridad en el sentido más amplio y de excepciones y esta es una de ellas: un problema que está sobresaliendo frente a los demás es el que ha afectado a las utilidades de XZ, un formato de compresión bastante extendido entre los sistemas tipo Unix en general y Linux en particular.

Un investigador de seguridad llamado Dominik «zer0pwn» Penner ha publicado una prueba de concepto de una vulnerabilidad zero-day hallada en KDE Plasma, la cual permite la ejecución de código malicioso incluido ficheros .desktop (que guarda la configuración de entradas en el lanzador) y .directory (que guarda la configuración de los directorios).

Si no vives en una cueva y estás al día con la información tecnológica, es más que posible que ya te hayas topado con la noticia de una vulnerabilidad que afecta a casi cualquier distribución Linux y que llevaba más de doce años ahí, sin que nadie supiera de ella; una vulnerabilidad muy sencilla de explotar según los investigadores que la han descubierto, gracias a la cual un atacante podría perpetrar una escalada de privilegios y ganar permisos de administrador.

Los desarrolladores del proyecto Grsecurity dieron a conocer información sobre problemas de seguridad que fueron encontrados en un parche propuesto para mejorar la seguridad del Kernel de Linux por parte de un empleado de Huawei, la presencia de una vulnerabilidad explotada trivialmente en el conjunto de parches HKSP (Huawei Kernel Self Protection).

Una startup de Berlín ha revelado una vulnerabilidad de ejecución remota de código (RCE) y una falla de secuencia de comandos de sitios cruzados (XSS) en Pling, que se utiliza en varios catálogos de aplicaciones construidas en esta plataforma y que podría permitir se ejecute código JavaScript en el contexto de otros usuarios. Los sitios afectados son algunos de los principales catálogos de aplicaciones de software libre tales como store.kde.org, appimagehub.com, gnome-look.org, xfce-look.org, pling.com entre otros.

Hace pocos dias FingerprintJS realizo una publicación de blog en la cual nos habla sobre una vulnerabilidad que fue descubierta por ellos y que esta permite a los sitios web identificar de manera confiable a los usuarios en varios navegadores, de los cuales solo los de escritorio son afectados.

Recientemente se dio a conocer una vulnerabilidad en la utilidad sudo (utilizada para organizar otorgar derechos de administración a un solo programa o la ejecución de comandos en nombre de otros usuarios) catalogada como “CVE-2019-18634”, que permite aumentar sus privilegios en el sistema para el usuario root.

A raíz de la denuncia de un usuario de reddit en un hilo del canal de archlinux, la comunidad ha detectado paquetes infectados en el repositorio AUR de Arch Linux.

NVIDIA es una compañía que tiende a darnos más amarguras que alegrías a los usuarios de GNU/Linux, una situación que contrasta con el enorme prestigio y cariño que tiene por parte de los usuarios de Windows.