Microsoft lanzó una actualización de emergencia para una vulnerabilidad crítica de ejecución remota de código para todas las versiones de Windows que aún reciben actualizaciones de seguridad (Windows 7+ y Server 2008+). Esta vulnerabilidad permite que un atacante utilice el software para ejecutar código arbitrario desde una aplicación de llamadas como Word. Recomendamos leer las instrucciones en el sitio web de Microsoft aquí o en nuestra sección de referencias para deshabilitar el protocolo URL de MSDT.

¿Cuál es la amenaza?

Existe una vulnerabilidad de ejecución remota de código en las versiones actuales de Windows 7+ y Server 2008+. Un atacante que ejecute con éxito este código remoto puede obtener el control de la aplicación Microsoft Word. Esta vulnerabilidad de ejecución remota de código existe cuando se llama a la Herramienta de diagnóstico de soporte de Microsoft (MSDT) mediante el protocolo URL de Word. Esta vulnerabilidad se ha categorizado como de día cero, lo que indica que se trata de una falla desconocida.

¿Por qué es notable?

Esta vulnerabilidad existe en todas las versiones actuales de Microsoft Windows, que es el sistema operativo que admite una función básica de las computadoras, como ejecutar aplicaciones y controlar periféricos. Microsoft se ha visto afectado por vulnerabilidades de día cero similares que datan de 2009. Con la noticia de esta vulnerabilidad de día cero saliendo a la luz, es probable que los atacantes aceleren los ataques a los objetivos cuando sea posible, mientras esa ventana permanezca abierta.

¿Cuál es la exposición o el riesgo?

Cuando se explota, esta vulnerabilidad permite que un atacante tenga acceso completo y sin restricciones a la aplicación de Windows. Si un atacante tiene privilegios de la aplicación que llama, puede instalar programas, ver, cambiar, eliminar datos o crear nuevas cuentas fácilmente en el contexto permitido por los derechos del usuario. Estos privilegios le brindan al atacante las herramientas para llevar a cabo un evento de ransomware y Compromiso de correo electrónico comercial (BEC) que puede provocar la pérdida temporal o permanente de información confidencial o patentada, la interrupción de las operaciones regulares, pérdidas financieras y daños potenciales a la reputación de una organización.

¿Cuáles son las recomendaciones?

Barracuda MSP recomienda las siguientes acciones para limitar el impacto de un ataque de ejecución de código arbitrario:

• Siguiendo nuestro enlace de referencia para deshabilitar el protocolo URL de MSDT.
• Esté atento a cualquier posible actividad no autorizada nueva.
• Mantener todas las aplicaciones actualizadas aplicando así nuevas medidas de seguridad
• Continúe manteniéndose al día con nuestros avisos de amenazas para obtener actualizaciones.

Fuente: Smartermsp.com

Un error en el componente «cgroups» del kernel Linux exponía operaciones privilegiadas a usuarios sin los permisos suficientes, lo que permitiría a un atacante elevar privilegios en un sistema vulnerable.

Un error en la función ‘cgroup_release_agent_write‘ localizada en el componente ‘kernel/cgroup/cgroup-v1.c‘, permitiría utilizar la funcionalidad ‘release_agent‘ del componente ‘cgroups v1‘ para elevar privilegios y escapar del entorno aislado. Esta vulnerabilidad ha recibido el código CVE-2022-0492 y una puntuación de 7.0.

Se ha publicado el parche que requiere al usuario los permisos necesarios para ejecutar la función privilegiada ‘release_agents‘:

!capable(CAP_SYS_ADMIN)

Como decíamos, un atacante que pueda escribir el fichero de ‘release_agent‘ podría escalar privilegios en el sistema. Sin embargo, este fichero sólo puede ser escrito por el usuario ‘root’. Parece pues un poco contradictorio una vulnerabilidad de elevación de privilegios que sólo pueda ser explotada por un usuario ‘root’. Sin embargo, que un usuario sea ‘root’ no significa que tenga el control total de la máquina. Es el caso de entornos aislados como contenedores docker.

En ese sentido, sólo los contenedores con un perfil más permisivo podrían ser explotables. Por defecto, los puntos de montaje de ‘cgroup’ son de ‘solo lectura’ y por lo tanto su fichero ‘release_agent’ no podría ser escrito.

Además los módulos de seguridad AppArmor y SELinux están activos por defecto, e impiden el montaje de sistemas de archivos. Para explotar esta vulnerabilidad habría que crear un punto de montaje para ‘cgroupfs’ y conseguir escribir en él. Cosa que algunos investigadores de seguridad han conseguido abusando del espacio de nombres del usuario o del permiso ‘CAP_SYS_ADMIN’.

Si sospechas que tus sistemas pueden ser vulnerables se recomienda actualizar cuanto antes los contenedores inseguros o aplicar alguna de las contramedidas siguientes:

• Habilitar los módulos de seguridad AppArmor y SELinux.
• Habilitar Seccomp
• Desactivar los espacios de nombres de usuario no privilegiados con sudo sysctl -w kernel.unprivileged_userns_clone=0
• Evitar que los procesos escriban en ‘release_agent’.

Se trata de un mensaje de WhatsApp que solicita un código de verificación de 6 dígitos que supuestamente hemos recibido en nuestro smartphone.

El mensaje denunciado por miles de personas en distintas partes del mundo como estafa dice lo siguiente: “Hola, lo siento, te envíe un código de 6 dígitos por SMS por error, puedes pasar a mí por favor? es urgente”.

Lo grave es que la técnica para robarnos información utiliza a un remitente conocido por nosotros al cual sí tenemos agendado en nuestros contactos, pero como se trata de una estafa, obviamente los ciberdelincuentes están suplantando su identidad para hacernos caer en la trampa.

¿Usas Facebook? ¿Tienes alguna extensión instalada en el navegador? Pues, cuidado si tienes instalada la extensión de Chrome que comentamos en este post, ya que podrías sufrir exfiltración de datos debido a que otorga a un servidor de terceros acceso a datos del usuario.

El token designado por el investigador en ciberseguridad Zach Edwards como “Modo Dios”, está expuesto en texto plano en las APIs del servicio, que se suelen usar para la integración de automatismos, módulos, plugins, etc… Ya en 2018 hubo problemas con este token, ya que se eliminaron 50 millones de cuentas de facebook debido a una “exposición simbólica”.

Francois Marier, ingeniero de seguridad de Brave, publicó en Github Issues, que ha descubierto que la extensión L.O.C. de Chrome expone los datos de la red social a un posible robo. Si un usuario tiene instalada esta extensión en el navegador y ha iniciado sesión en Facebook, la aplicación otorga el acceso a algunos datos del usuario a un servidor de terceros.

Fuente: Github

Pese a las declaraciones de Loc Mai, el creador de la aplicación L.O.C., en las que sostenía que, como indica la política de privacidad de su aplicación, no recolecta información del usuario. La aplicación almacena el token de manera local. Esto último hace que un desarrollador malicioso pueda utilizarlo para obtener datos del usuario. Por ejemplo, la API Graph de Facebook necesita de este token de acceso para funcionar. Esta API es una de las herramientas principales para que las aplicaciones puedan realizar tareas de lectura y escritura en la gráfica social de Facebook según indica su documentación.

Algunos navegadores como Brave, hacen alarde de cuidar la privacidad de los usuarios que utilizan este navegador, por lo que están bloqueando la instalación de la extensión L.O.C.

Fuente: Hispasec.com