Shell Security - Seguridad informática Noticias diarias de seguridad informática, foros, vulnerabilidades, antivirus, documentación, auditorías, consultorías …

La fecha elegida por Microsoft para no facilitar más actualizaciones y soporte de sus productos Windows 98 Second Edition y Windows Millenium Edition, será el próximo 11 de julio.

Según publica Iblnews cintando fuentes del Washington Post y la consultora IDC, A finales de 2005, el número de usuarios de estos sistemas era el 13% del total y había unos 48 millones de usuarios de Windows 98 y 25 de Millenium, que ahora, salvo que cambien de sistema operativo, se quedarán sin soporte técnico actualizado.

Microsoft establece un ciclo de vida para el soporte técnico de sus productos. En el caso de Windows 98, 98 SE y Millenium, éste debía haber finalizado en enero de 2004, pero se amplió dos años.

Hace unas semanas informábamos que Microsoft había iniciado una estrategia de lucha contra la piratería mediante la inclusión, en su sistema de actualizaciones, un “Programa de Notificaciones de Ventajas de Windows Original” mediante el cual  al realizar las actualizaciones se instala un programa el cual es, según Microsoft “opcional” pero que en la práctica parece no serlo, y que avisa y recuerda que la instalación de Windows que utiliza no es original e insta a instalar uno original. Este programa recoge datos del software y hardware y los envía sin consentimiento a Microsoft.

Esta semana conocíamos que un grupo de demandantes ha interpuesto una demanda colectiva por el uso de su programa de Windows Genuine Advantage por presunta violación de la privacidad de los usuarios. Los demandantes alegan que el programa incumple leyes contra el
spyware o programas espías en los estados norteamericanos de California
y Washington

También se ha comentado la posibilidad de que en un futuro ésta herramienta vaya más allá y genere un plazo de validadez de la instalación de Windows de 30 días

La vulnerabilidad consiste en un error de corrupción de memoria en el control de ayuda HTML a la hora de procesar “image” Este fallo puede ser aprovechado por un usuario malintencionado para generar una denegación de servicio en el navegador si se envía a esa propiedad una cadena muy larga varias veces.

No están definidas con certeza las versiones a que afecta esta vulnerabilidad, sin embargo, es seguro que la versión Windows XP Service Pack 2 presenta este fallo.

Hasta la fecha Microsoft no ha solucionado el problema y se recomienda desactivar la opción “Ejecutar controles y complementos ActiveX”. Una muesca más en la seguridad de IE.

El pasado jueves se celebró en el Palacio de Ferias y Congresos de Málaga, la Primera Jornada de Seguridad de la Información. El evento estuvo enfocado a la implantación de Sistemas de Gestión de Seguridad de la Información según la Norma Internacional ISO 27001 estando compuesta la agenda por cinco ponencias que trataron variedad de temas relacionados con la implantación de este tipo de sistemas, las cuales pueden encontrarse para su descarga en formato PDF.

Es interesante la conclusión fundamental del foro celebrado que fue que las empresas necesitan organizar sus prácticas actuales relativas a la Seguridad de la Información para intentar mejorar las mismas de forma continua conforme evoluciona el complicado entorno que las rodea. Los activos de información son factor vital para la continuidad de los negocios, y éstos deben ser debidamente protegidos según unos criterios adecuados. Los presupuestos actuales asignados a la Seguridad, deben gestionarse mejor y alinearse con la importancia de los riesgos a los que se ven sometidos dichos activos. Todo ello por la perdurabilidad de nuestras empresas en términos de competitividad y existencia.

Agradecemos a José M. Fernández la información enviada, siendo sin duda de gran utilidad cualquier información aportada sobre esta normativa de seguridad que se encuentra en constante crecimiento.

Han sido descubiertas tres vulnerabilidades en las versiones 1.1.x y 2.0.x de productos ofimáticos de OpenOffice a través de una auditoria interna de código.

OpenOffice.org ha publicado un boletín de seguridad que pone solución a este problema y en el cual comenta las tres vulnerabilidades:

•    Java Applets, CVE-2006-2199
•    Macro, CVE-2006-2198
•    File Format, CVE-2006-3117

La primera afecta a Java Applets, CVE-2006-2199  que puede extraerse fuera de la “sandbox” y permitir el acceso al sistema con los privilegios que el usuario posee. Para solucionar el problema se puede aplicar el parche o deshabilitar el soporte para los applets de Java.

La segunda vulnerabilidad (Macro, CVE-2006-2198) se corresponde con un fallo de seguridad de los ficheros XML que podría permitir a un atacante desbordar la memoria intermedia. Para ello previamente debería haber sido manipulado para no funcionar y ejecutar un código arbitrario.

La tercera vulnerabilidad (File Format, CVE-2006-3117) se produce por un fallo en las macros que permitiera a un atacante instalar macros que se ejecutarán arbitrariamente. Al ejecutarse tendrían acceso al sistema y a los privilegios del usuario ejecutante.

Para corregir éstos problemas de seguridad, se recomienda actualizar a las últimas versiones de ambas ramas (OpenOffice.org 1.1.5 Patch, y OpenOffice.org 2.0.3)