- Otras noticias
La nueva variante de MyDoom hace estragos en la red.jpg)
Cada vez más compañías prohíben a sus empleados el uso de programas de Internet
¿Ha sido roto el captcha de Gmail?
Posibilidad de sobrescritura de cookies en IE
La utilización de la ingeniaría social para distribuir malware en redes sociales.jpg)
Primer troyano que aprovecha el rootkit de Sony
Encuentran una vulnerabilidad en Firefox explotada desde IE
El software de seguridad malicioso se vuelve a poner de moda
Hoax.Renos. muestra un mensaje falso de infección
Los clientes de Caja Madrid sufren una nueva oleada de ataques de "phishing"
- En el foro
-
BUGS
Múltiples y serios problemas de seguridad en Linux
25 Oct 2004 | VS ANTIVIRUS
Esto ha obligado a los principales vendedores de este código abierto, a realizar severas actualizaciones, casi todas en un solo un día, según publica Vsantivirus.
Dos de estos agujeros, han sido catalogados de sumamente críticos por la compañía de seguridad Secunia. Afectan la librería gráfica LIBPNG, muy popular en muchas distribuciones Linux y en aplicaciones como el navegador Mozilla, utilizada para la visualización de imágenes en formato PNG (Portable Network Graphics).
Estas vulnerabilidades pueden provocar desbordamientos de búfer cuando se intenta ver una imagen PNG modificada maliciosamente, lo que permitiría la ejecución de código en forma remota. Aunque una nueva versión de esta librería ya está disponible, existen múltiples aplicaciones que están enlazadas con la misma, por lo que se sugiere a los usuarios de Linux que consulten los procedimientos adecuados para dicha actualización en las páginas de los diferentes proveedores.
El problema se produce por un error en las funciones PNG HANDLE y PNG READ de Mozilla. En agosto, habían sido detectados otros fallos en esta misma librería, incluyendo una vulnerabilidad en la capacidad POP3 con el riesgo de descarga no autorizada de datos.
Otros errores fueron descubiertos en el componente XPDF, que es utilizado para visualizar los archivos PDF de Adobe en Linux. Una serie de desbordamientos de entero, pueden comprometer seriamente al sistema del usuario. Usuarios maliciosos también pueden utilizar estas vulnerabilidades para ejecutar código arbitrario en forma remota, usando archivos PDF especialmente modificados.
Además, otros errores en este componente pueden ser explotados para que el equipo consuma todos los recursos del sistema y deje de responder.
Cómo si esto fuera poco, los parches publicados para estos problemas, agregan un tercer agujero en el sistema de impresión CUPS para Linux, que puede permitir el acceso al sistema por parte de usuarios no autorizados.
Algunos vendedores ya han tomado las medidas para proteger a sus usuarios de estas vulnerabilidades. Por ejemplo Debian, ha publicado dos parches para Linux 3.0 que protegen de los fallos en la librería LIBPNG. Mandrake, Fedora y Gentoo, mientras tanto, han realizado parches para las vulnerabilidades en XPDF, y Mandrake y Gentoo tienen parches para otros agujeros.
También se dio a conocer un conjunto de debilidades en el Kernel de Linux que fueron corregidos en la versión 2.6.9. Estos problemas se encuentran en el subsistema terminal. Hay parches disponibles para las versiones 2.4x, pero no para las versiones anteriores.
Uno de los problemas está relacionado con un programa local que realiza operaciones específicas en determinados momentos, pudiendo colapsar al sistema, y en un comportamiento anormal que puede liberar datos aleatorios del kernel.
Otro tipo de ataque involucra a los usuarios con módem que se conectan a través de puertos PPP (point-to-point protocol) y que puede hacer que sus equipos dejen de responder. Este tipo de acción, sin embargo, solo puede ser realizada en forma local, sobre líneas seriales directas, y no a través de los módems en forma remota.
Por otra parte, un desbordamiento de entero fue reportado en el programa IPTABLES incluido en el Kernel 2.6x. IPtables está relacionado con la seguridad en la red, ya que junto a Netfilter, proporciona filtrado de paquetes, traducción de direcciones de red, etc.
Más información:
libpng Integer Overflow and Buffer Overflow Vulnerabilities
http://secunia.com/advisories/12902/
Linux Kernel Terminal Subsystem Race Condition Vulnerabilities
http://secunia.com/advisories/12951/
Red Hat update for CUPS
http://secunia.com/advisories/12950/
SuSE update for libtiff
http://secunia.com/advisories/12949/
Mandrake update for gpdf
http://secunia.com/advisories/12940/
Gentoo update for glibc
http://secunia.com/advisories/12938/
Fedora update for xpdf
http://secunia.com/advisories/12935/
Debian update for cupsys
http://secunia.com/advisories/12934/
Gentoo update for xpdf/cups
http://secunia.com/advisories/12931/ - Boletín
Si quieres recibir cada semana las noticias más interesantes suscríbete a nuestro boletín.
- Comentarios
- Publicidad
- Ahora en LaFlecha puedes encontrar cursos y másters
No seamos alarmistas, los fallos que se describen en este articulo llevan, en algunos casos como en libpng, casi un mes corregidos, por ejemplo, para Fedora, podeis comprobarlo en
fedoranews.org/updates/fc2-updates.shtml
Cierto es que otros son mas recientes, como el de xpdf, pero estos solo afecta al que tenga instalado este programa, no es un fallo de Linux, sino de un programa...
Lo cierto es que me ha parecido muy divertido el artículo. En ocasiones llegué a pensar que se acababa el mundo...
Me encantaría leer alguno parecido pero que haga referencia a Windows. ¡Debe ser para cortarse las venas!
gracias por la noticia, ya he actualizado y reparado todo.
Nooooooooo, ke linux no tiene faaallooos, ni problemas de seguridaaaaad.
Claro que linux tiene fallos, y problemas de seguridad, nadie es perfecto, pero el sacar una "noticia" remarcando fallos de hace meses, fallos corregidos nada mas salir practicamente, me parece que es desvirtuar un poco la noticia.
La cuestion no son los fallos, que todo sistema tiene, los desarrolladores aun son humanos, sino que viendo el titular "Múltiples y serios problemas de seguridad en Linux" estas creando un falso estado de alarma, y cuando ya conoces los hechos, el medio informador pierde mucha credibilidad...
Y por cierto Scan, como seguro que lo estas deseando, ahi va mi respuesta linuxera, si linux tiene fallos, pero NO LOS OCULTA esperando que nadie se entere, NI LE SALEN A DECENAS Y SEGUIDOS, INCLUSO DESPUES DE ARREGALRLOS, aqui se habla de cuatro o cinco, en MAS DE DOS MESES, ¿cuantos salen a la semana de quien ya sabemos? ¿cuantos se callan? ¿cuantos corrigen?
Un saludo, y tiempo al tiempo, que el dinero y las malas artes no detienen a la seleccion natural...
Quisiera saber si existe mas informacion acerca de vulnerabilidades en Unix, especificamente HP-UX en cuales de sus versiones, su fuese posible..
Gracias y saludos.
¿En Unix? No hombre, ¿no has visto que eso solamente afecta a Linux? Si tu xpdf se ejecuta sobre cualquier otro S.O. no tiene problemas, sólo si es en Linux, ¡eh! Windows, noooo, Windows no, el propio diseño del sistema operativo como tal impide estas situaciones.
Ahora en serio, lo único que quizás tenga ALGO que ver con el titular es eso de un "conjunto de debilidades" subsanados en el 2.6.9. Pero curiosamente no hay enlace. Pero bueno, ya se sabe, puestos a buscar, me bajo 15000 programas de los repositorios de paquetes y a buscar vulnerabilidades para poder decir que Linux es inseguro. :D
Realmente encuentro poco serio el título y más aun el artículo. Donde esta el paralelo comparativo con otros sistemas operativos propietarios como Windows o cosas por el estilo?????. Señor del artículo sea serio en sus comentarios, y cuidado ya que la comunidad linux es grande y además de grande muy sabia en conocimientos informáticos.
Me parece que algun comentario vienen de personas que viven en otro mundo o realidad.
Estadisticamente cuantos fallos han sido reportados en linux contra los que tiene windows?.
Cuentan cuantas veces se pega en la semana la maquina windows a bajar actualizaciones (parches)?
Se han preguntado como un sistema abierto (linux) tiene menos fallas que uno cerrado(WIN)?
Saben ustedes lo que hace o deja de hacer microsoft por puertas traseran en sus maquinas?¿Quien puede asegurar la seguridad de windows?
El articulo parese pagado por Microsoft, ya que es amarillista, alarmista y sesgado