Vulnerabilidades en Mozilla Firefox

Mozilla ha publicado su boletín número 18 de este año, el cual está calificado como crítico. En total se han corregido 29 vulnerabilidades, de las cuales 5 tienen un impacto crítico,  11 de impacto alto, 7 de impacto moderado  y 6 de bajo.

Vulnerabilidades de impacto crítico

Se corrigen dos vulnerabilidades en la gestión de memoria, una inyección XUL en la herramienta en desarrollo y dos uso de memoria previamente liberada en el WebSocket y en el proceso de reescalado. Todas ellas
podría permitir la ejecución de código.

CVE asociados: CVE-2017-7779, CVE-2017-7780, CVE-2017-7798, CVE-2017-7800 y CVE-2017-7801.

Vulnerabilidades de impacto alto

Se corrigen cuatro vulnerabilidades: una al utilizar memoria previamente liberada durante la gestión del DOM, en el observador de imagen, en el elemento imagen y en el gestor SVG. Además, se corrigen tres desbordamientos de memoria en el atributo ARIA del DOM, en el renderizado del SVG y en el visor de certificados. Finalmente, se corrige dos saltos de restricciones, uno en ‘WindowsDllDetourPatcher’ y otro en las políticas de mismo origen (same-origin), un secuestro de dominio (Domain hijacking) y una lectura fuera de límites.

CVE asociados: CVE-2017-7753, CVE-2017-7784, CVE-2017-7785, CVE-2017-7786, CVE-2017-7787, CVE-2017-7792, CVE-2017-7802, CVE-2017-7804, CVE-2017-7806, CVE-2017-7807 y CVE-2017-7809.

Vulnerabilidades de impacto moderado

Se corrige un spoofing en la navegación con datos, una fuga de información CSP, un error en la reserva de memoria en las protecciones DWP y WindowsDllDetourPatcher, un error al añadir un punto en una curva
elíptica, dos errores en la sandbox y una inyección XUL.

CVE asociados: CVE-2017-7781, CVE-2017-7782, CVE-2017-7791, CVE-2017-7794, CVE-2017-7799, CVE-2017-7803 y CVE-2017-7808.

Vulnerabilidades de impacto bajo

Se corrige un error al procesar el nombre de usuario en la URL, un error de herencia en las directivas CSP en eliframe sbout:srcdoc, un error al activar HSTS, un error de lectura en los reportes de Windows, una gestión de ficheros al gestionar las actualizaciones y una fuga de información en en nombre de algunas cabeceras.

CVE asociados: CVE-2017-7783, CVE-2017-7788, CVE-2017-7789, CVE-2017-7790, CVE-2017-7796 y CVE-2017-7797.

La vulnerabilidades han sido corregidas en la versión 55 del navegador, que puede ser descargada desde la página oficial o a través del propio sistema de actualización de Firefox.

Más información:
Mozilla Foundation Security Advisory 2017-18
https://www.mozilla.org/en-US/security/advisories/mfsa2017-18/

Ejecución de código arbitrario en Git

Se ha hecho público un fallo en el sistema de versiones Git que podría permitir la ejecución de código arbitrario en la máquina de la víctima y al cual se le ha asignado el identificador CVE-2017-1000117.

Los sistemas de control de versiones son herramientas desarrolladas para el seguimiento de un proyecto o aplicación. Herramientas sumamente importantes y utilizadas en cualquier desarrollo.

La vulnerabilidad no solo afecta al control de versiones Git, sino también están afectados los sistemas de control de versiones Mercurial y Subversion. Aunque el error es similar, los identificadores de la vulnerabilidades son distintos, siendo CVE-2017-9800 para Subversion y CVE-2017-1000116 para Mercurial.

El fallo es provocado por un error en el procesado de los comandos “ssh://“, el cual puede ser explotado si un repositorio remoto envía una URL especialmente manipulada a la víctima cuando esta ejecuta un comando
clone“, permitiendo la ejecución de cualquier programa existente en la máquina de la víctima.

Pero esto no acaba aquí: esta URL podría ser colocada en el fichero “.gitmodules“ del proyecto clonado para así conseguir tener la máquina infectada y que esta vulnerabilidad se ejecute de nuevo al invocar un comando “git clone –recurse-submodules

La vulnerabilidad en Git ha sido corregidas en las últimas versiones publicadas.

Oracle presenta aplicaciones de Nube de última generación

Anunció nuevas capacidades en su presentación de la versión 13 de las aplicaciones SCM, CX, ERP y HCM de Oracle Cloud, que apuntan a mejorar la experiencia de usuario. El detalle de las mejoras.

Las innovaciones en esta nueva versión de la suite de aplicaciones de Nube apuntan a mejorar la experiencia del usuario y otorgarles poder en todos los aspectos de la organización, que incluyen a profesionales de cadena de suministros, experiencia del cliente, finanzas y recursos humanos.

La más reciente versión incluye nuevas capacidades y mejoras en Oracle Supply Chain Management (SCM) Cloud, Oracle Customer Experience (CX) Cloud Suite, Oracle Enterprise Resource Planning (ERP) Cloud y Oracle Human Capital Management (HCM) Cloud.

En lo que respecta a Oracle SCM Cloud, la versión 13 introduce más de 200 características y seis productos nuevos que cubren planificación de ventas y operaciones, gestión de demanda, planificación de suministro, colaboración, gestión de calidad y mantenimiento.

Por otra parte, la nueva versión de Oracle CX Cloud Suite presenta innovaciones a Oracle Sales Cloud, que incluyen capacidades móviles y de visualización de datos mejoradas, así como otras que incrementan la productividad de los representantes de ventas.

Asimismo, la compañía introdujo Oracle Engagement Cloud, una nueva solución que combina capacidades de ventas y servicio para permitir a las organizaciones incrementar la satisfacción y lealtad del cliente, además de las oportunidades de escalar la oferta.

En cuanto a Oracle ERP Cloud, busca ayudar a las organizaciones a acelerar la innovación a través de una funcionalidad de dominios más profunda, que incluyeDynamic Discounting y Multi-Funding. Asimismo, ofrece cobertura para industrias como la educación superior, los servicios financieros y la manufactura, así como una expansión de la localización en Brasil e India.

Finalmente, según informó Oracle, el 80% de las mejoras de la última versión de HCM Cloud están centradas en el cliente Además, introduce una mayor personalización de experiencia de usuario y de manejo de marca, así como soporte adicional de localización de primer nivel.

También incluye capacidades mejoradas para apoyar las necesidades de clientes que tienen fuerzas de trabajo sindicalizadas, como comercios minoristas o empresas del sector salud con modelos laborales flexibles.

“Estamos comprometidos con ayudar a las organizaciones de todos tamaños a transformar sus funciones empresariales críticas para impulsar su crecimiento y mantenerse competitivas”, señaló Steve Miranda, vicepresidente Ejecutivo de Desarrollo de Aplicaciones en Oracle. “Con la más reciente versión de las aplicaciones de Oracle Cloud, presentamos cientos de innovaciones. Las nuevas actualizaciones incluyen importantes mejoras a la suite de gestión de la cadena de suministro que ayudarán a los clientes a crear cadenas inteligentes, conectadas y centradas en el cliente. Asimismo, presentamos una solución completamente nueva que enriquece la experiencia del usuario al cerrar la brecha entre las ventas y el servicio al cliente. La nueva versión también incluye mayores avances a la experiencia de usuario y cambios dirigidos al cliente para recursos humanos y finanzas”.

AMD lanza dos modelos de procesadores de gama alta para desktop

Se trata de los Ryzen Threadripper 1950X y 1920X, los cuales soportan la nueva plataforma Socket TR4, con 64 carriles PCIe, memoria DDR4 de Quad-Channel y tecnología SMT. Precios y disponibilidad.

“El nivel de apoyo global y entusiasmo que se ha acumulado alrededor de los procesadores AMD Ryzen ha sido algo increíble de ver en estos últimos meses, y con el lanzamiento actual de Threadripper Ryzen, ofrecemos un nuevo nivel de potencia de cómputo a los sistemas de escritorio ultra-premium más rápidos del mundo a través de una plataforma completamente nueva y un conjunto de procesadores multi-core”, dijo Jim Anderson, vicepresidente senior y gerente general Computing and Graphics Group de la compañía.
“Ryzen Threadripper es el impacto de innovación que el consumidor de escritorio de alta gama estaba esperando, proporcionando la capacidad esperada para elegir el procesador que mejor satisface sus necesidades de cómputo a un precio competitivo”.

Mientras el Ryzen Threadripper 1950X viene con soporte para 16 núcleos y 32 hilos de procesamiento, el 1920X ofrece 12 núcleos y 24 hilos. Ambos modelos están disponible a nivel global a partir del 10 de agosto de 2017. Una tercera variante, el Ryzen Threadripper 1900X de 16 threads, se espera que esté disponible el 31 de agosto.

Los nuevos procesadores incluyen 40MB y 38MB de cache de procesador, respectivamente, y todos los Ryzen Threadripper desde el 1900X, de US$ 549, al 1950X, de US$ 999, tienen ancho de banda de memoria DDR4 del Quad-Channel, 64 carriles PCIe 3.0 y Conectividad SATA/NVMe/USB directa.

Un ecosistema completo de plataformas SocketTR4 X399, con conectividad USB 3.1 Gen2 10 GB/s nativa, ofrece soporte para todos los procesadores Ryzen Threadripper en el lanzamiento, con motherboards provenientes de fabricantes como ASRockASUSGigabyte y MSI.

Alienware Area-51 Threadripper  Edition

Alienware ha lanzado también su sistema exclusivo de preconstruidos de 16-cores AMD Ryzen Threadripper Edition para los entusiastas de desktop de alta gama de todo el mundo. Tiene un diseño de chasis Triad similar al de los sistemas existentes del Area-51, pero incorpora el procesador 1950X del fabricante.

La respuesta definitiva a la pregunta sobre las contraseñas, la seguridad y todo lo demás

Probablemente, el nombre de Bill Burr no te suene a nadie en particular, a menos que las publicaciones especiales del NIST sean tu nicho favorito de lectura en cuanto a literatura moderna se refiere. Burr es, ni más ni menos, el “culpable” de que cuando te piden un consejo acerca de la elección de contraseñas seguras, le digas al amigo de turno: “larga, no menos de 8 caracteres y sobre todo añade caracteres especiales mezclados con mayúsculas”, para terminar, como diría Bond: “mezclados, no agitados”.

El bueno de Burr ha confesado, desde su retiro como jubilado, que esa recomendación que él mismo escribió de su puño y letra en 2003, no era ni mucho menos la más adecuada. “Me equivoqué”. La entrevista completa fue publicada hace una semana en el Wall Street Journal (paywall). Sin embargo, aunque admite que su contribución hizo más mal que bien, el artículo deja entrever el contexto en el que el entonces analista tuvo que desenvolverse: prisas y presiones por acelerar la publicación de la guía, casi nulo conocimiento práctico en aquella época sobre la gestión de contraseñas, etc.

No hay nada que culpar. La norma ha estado vigente durante años, casi década y media, hasta que el NIST ha actualizado dicha guía el pasado mes de junio, cambiando y desaconsejando este tipo de política de contraseñas. ¿Por qué? Son difíciles de gestionar, debido fundamentalmente a que una contraseña debería ser algo que “sabes”, pero si se genera de manera muy compleja, termina en un post-it; luego se transforma de “algo que sabes” a “algo que tienes”. Dad una vuelta por una oficina y veréis esos papelitos amarillos deseando confesaros la contraseña del WiFi corporativo o el acceso a un escritorio remoto (un clásico cuando desde Auditorías hacemos una visita física).

Otro problema con la guía fue lo rápido que sentó cátedra. No es para menos, una enorme cantidad de normativas, certificaciones de seguridad y políticas de seguridad han seguido letra a letra copiando el mantra de las contraseñas complejas. Una falsa concepción de seguridad que todos (o casi todos) dábamos por sentado que era el camino a seguir. Además, en la guía también se aconseja “renovar la contraseña cada 90 días mínimo”. Esto último solo complica aún más la situación, debido a que una gran mayoría de personas no utiliza un gestor de contraseñas, e incluso aun usándolo hay que ser consciente de que estamos depositando todo el llavero en un único punto de tensión. Si el gestor cae, todo se derrumba.

Un visionario de esta situación (como de tantas otras) fue el conocido ilustrador Randall Munroe, autor de la siempre sagaz tira XKCD. En la número 936 ya nos explicaba el sinsentido de elegir contraseñas complejas versus la simple elección de cuatro palabras elegidas con aleatoriedad. Todo un clásico de la temática, que incluso nos incluye la entropía de Shannon y el tiempo estimado de resistencia al ataque por fuerza bruta. Todo ello explicado de forma gráfica y sencilla.

Entonces ¿Cuál es la forma correcta?

Lo tenemos fácil. Irónicamente debemos seguir la guía del NIST, la nueva versión, y cruzar los dedos para que dentro de unos veinte años no volvamos a leer un nuevo artículo de Paul A. Grassi, uno de los autores de la revisión, diciendo aquello de “…fue un error”.

En primer lugar, la guía pone de manifiesto una de nuestras tantas limitaciones, la incapacidad de memorizar contraseñas complejas. Ante esta situación el ser humano tiende a…hacer el mínimo esfuerzo. Esto es, o elegir una contraseña trivial del tipo “12345” o apuntarlo en un papel (recordad “saber” -> ”tener”). Incluso con las reglas de composición de algunos sitios web, esas que nos hacen inventar dos millones de veces una contraseña hasta aceptar el formulario, la experiencia que se tiene tras los hackeos y volcados de hashes es negativa. La conclusión es que este tipo de contraseña no es tan segura como se pensaba y encima es nefasta para la usabilidad.

En la nueva guía se aconseja que las contraseñas sean razonablemente largas, extensas:

“Users should be encouraged to make their passwords as lengthy as they want, within reason.”

Eso sí, no nos están diciendo que nuestra contraseña sea los dos volúmenes completos del Quijote en castellano antiguo. Eso sería computacionalmente ridículo, debido al gasto relativo al cálculo del hash resultante y a que podría ser fácil de adivinar si conocen nuestros habituales para la lectura.

En relación a la complejidad, clarifican muchas de las sospechas que teníamos con la experiencia. Incluso con reglas de composición de contraseñas el usuario (vuelve a) opta por el camino fácil. Por ejemplo, si ha de usar mayúsculas y números pasa de “password” a “Password1” y si tiene que meter signos vuelve a hacer de las suyas con el ya clásico: “Password1!”. Para evitar estas martingalas se recomienda la comparación con una lista negra de contraseñas que no permita pasar tamaños actos de lucidez.

En definitiva, el gran problema de las contraseñas sigue siendo el ilustre usuario, y el reto de la seguridad es aliviar el peso que supone su falta de adiestramiento o ese gran porcentaje de sentidos comunes a estrenar, impecables y sin uso. La contraseña es un reducto del pasado, pero un pasado que aún sigue siendo presente y se niega a ser jubilado. Condenados a vivir con ella, al menos un tiempo más, la nueva norma dicta que más que una excesiva complejidad tomemos una longitud considerable y una buena capacidad para generar ítems aleatorios (palabras, símbolos, …), a ser posible con una distribución uniforme que aleje a la fuerza bruta y las listas de diccionarios muy lejos de la adivinación.

Ahora y por fin, después de tantos años, ya sabemos la respuesta definitiva a la pregunta sobre las contraseñas, la seguridad y todo lo demás:

“correcto caballo batería grapa”

  Más información:

The Man Who Wrote Those Password Rules Has a New Tip: N3v$r M1^d!

https://www.wsj.com/articles/the-man-who-wrote-those-password-rules-has-a-new-tip-n3v-r-m1-d-1502124118

Digital Identity Guidelines

https://pages.nist.gov/800-63-3/

http://nvlpubs.nist.gov/nistpubs/SpecialPublications/NIST.SP.800-63b.pdf

Password Strength

https://xkcd.com/936/

Entropía

https://es.wikipedia.org/wiki/Entropia_(información)