Escalamiento de privilegios en la rama 2.6.x del kernel de Linux

Leímos en Hispasec que se descubrió una vulnerabilidad en el kernel de Linux que permitiría escalamiento de privilegios, por lo que cualquier usuario normal podría volverse root.

La vulnerabilidad se debe a una función llamada readlink. Hasta el momento no se ha publicado ningún exploit, pero es uno de los problemas más graves a los que se ha enfrentado Linux ya que toda una rama que se creía segura es vulnerable antes de la versión 2.6.28.1

(Actualización: 29-Ene-2009. Damián)

Como bien explican aquí, la vulnerabilidad se debe a que el valor de retorno de la función readlink puede ser negativo y al no haber validación se podría provocar un buffer underflow. El código problemático se encuentra en la función follow_link en fs/encryptfs/inode.c. Por lo que sólo serían vulnerables aquellos sistemas linux que utilicen el sistema de archivos eCryptfs.

Trojano en Photoshop CS4 para OSX

El día que nunca esperábamos ha llegado, se abre un nuevo mercado de antivirus para la mac.

Al parecer OSX.Trojan.iServices.A inicialmente incluido en el iWork´09, ahora hace de las suyas con una version modificada para Photoshop CS4 de Bittorrent.

Sumados a los 20 mil equipos antes infectados con el iWork agregamos otros 5 mil a todos esos usuarios que por cosas del destino no decidieron comprar la paquetería original.

Les recomendamos ampliamente el uso de Pacifist para poder observar qué incluyen los paquetes que bajan de Internet, así también les recomendamos precaución al usar su contraseña de administrador, y sobre todo el uso de software original.

Recuerda que si puedes pagarlo hazlo, sino opta por el software libre.

Arreglar problema de licencia de Adobe CS4 OSX

A partir del dia 20 de enero, nos encontramos con la pequeña sorpresa de que ningún programa de nuestra Suite CS4 arranca, marcando el siguiente error:

“License has expired”

Sin darnos ninguna opción para resolver este problema.
Podemos resolverlo abriendo la terminal y ejecutando el comando siguiente:

sudo rm /Library/Application\ Support/Adobe/Adobe\ PCD/cache/*

Listo, la próxima vez que iniciemos podremos poner nuestro nuevo serial que compramos.

Comando locate

El comando locate es muy util cuando uno busca archivos en el disco, ¿pero que pasa cuando corres el comando en una maquina con el SO recien instalado?. Posiblemente suceda algo así:

locate: `/var/db/locate.database': No such file or directory"

Esto pasa pues la base de datos que usa locate no se ha creado aún. Para solucionarlo simplemente ejecutamos :

sudo /usr/libexec/locate.updatedb

Para esto,  obviamente se requieren privilegios de root.  Este comando al correrlo tardará un poco, pero al terminar habrá actualizado la base de datos de locate, para así poder usarlo sin ningun problema.

Evitar spam en Adium para siempre

Hoy en día los spamers tienen la moda de usar la mensajería instantanea, en este caso Microsoft Messenger de Windows tiene activado por default la opción de bloqueo, para limitar a que solo los contactos de tu lista puedan enviarte mensajes. Esta opción también la podemos encontrar en el Adium pero a partir de alguna actualización viene desactivada por default.

La activamos de la siguiente manera:

  1. Menú Adium / Configuración de privacidad
  2. Seleccionamos el tipo de cuenta que deseamos proteger
  3. Damos click en solo contactos en mi lista de contactos
  4. Listo, nos podemos olvidar de bloquear y borrar a cada spamer como antes

Nuevo trojano en iWork´09 de Bitorrent

Al parecer surgió un nuevo trojano llamado OSX.Trojan.iServices.A.

Éste trojano se aloja en un paquete adicional llamado iWorkServices.pkg, el cual se instala junto con el iWork´09 en el momento que le damos nuestro password, ejecutandose con privilegio de root para lectura, escritura y ejecución.

Después de esto el trojano se conecta a un servidor remoto a través de Internet, anunciando al atacante de una nueva víctima, permitiendole tener acceso remoto a nuestra computadora.

Podemos saber si lo tenemos buscando el directorio: /System/Library/StartupItems/iWorkServices, en caso de que exista el directorio estaremos en graves problemas, pues que el atacante tiene acceso completo a nuestra computadora y hasta puede llegar a instalarnos otro backdoor para permitirle el acceso aun cuando borremos el componente.

Angry IP Scanner para OS X

ipscan-mac

La herramienta de escaneo de redes por excelencia para windows, ya la podemos encontrar ahora para Mac OS X.

Había usado esta herramienta ya desde hace tiempo sin saber de su versión para Mac, la pueden bajar en insecure.org o directamente en el link.

Al parecer a partir de la actualización 10.5.5 de leopard el programa tiene problemas y crashea, pero con éstos comandos podemos resolverlo:

$ cd /Applications/Angry\ IP\ Scanner.app/Contents/MacOS/
$ rm /Applications/Angry\ IP\ Scanner.app/Contents/MacOS/ipscan
$ cp /System/Library/Frameworks/JavaVM.framework/Resources/MacOS/JavaApplicationStub ipscan

La información sobreescrita no se puede recuperar, punto final

Hace unos días justamente, saltó a la duda si la información sobreescrita se podía recuperar con técnicas físicas, ya que con software es imposible. No pude resolver mi duda ya que desconozco los recursos con los que cuentan las empresas profesionales de recuperación de información; pero hoy leo que en el ICISS (International Conference on Information Systems Security) 2008, un equipo de investigación publicó un artículo en donde le pone punto final al asunto, y la conclusión a la que llegó es que: recuperar información sobreescrita es prácticamente imposible.

La leyenda urbana de que es inseguro borrar información sobreescribiéndola una vez siempre se escuchó de boca en boca, y se tomaba como un dogma de fe. Las herramientas de borrado seguro de información y los estándares de seguridad, dicen que para borrar información de manera segura se tienen que sobreescribir todos los bits 25 veces o más; lo que requiere tiempo y es simplemente una pérdida de tiempo.

Como bien es sabido mediante software la información sobreescrita no se puede recuperar, pero mediante hardware queda la duda. Por ello para desfalcar el mito, Craig Wright, experto en forensia, y su equipo, hicieron un estudio para analizar varios discos duros de distinta manufactura y edad. El estudio consistió en sobreescribir la información en condiciones controladas y luego estudiar las superficies de los platos con un Microscopio de Fuerzas Magnéticas. Así llegaron a la conclusión de que recuperar la información después de una sola sobreescritura tiene una probabilidad que tiende a cero; y, se habla en términos de probabilidad porque reconstruir un bit tiene una probabilidad de 56% y reconstruir un byte completo 0.97%; esto con discos nuevecitos. Pero la prueba más interesante, que fue llenar 32 veces el disco usando dd con /dev/random, para simular un disco usado, y luego sobreescribiendo todo con /dev/zero, arrojó aún menos probabilidad de recuperación.

Así que para borrar un disco duro ya no habrá que reformatear muchas veces el disco, ni comprar herramientas especializadas. Con una distribución Linux live, y un simple dd if=/dev/zero of=/dev/sda será suficiente. Pero si todavía no tienes confianza y crees que rasurarse muchas veces hace salir más barba o que las probabilidades son engañosas, aunque OpenSSL usa una prueba probabilística de primalidad, puedes usar /dev/urandom. Hacer más y perder tu tiempo ya es simplemente ser supersticioso.

[Resumen del artículo original]