Blog personal de Jacob Fernández

Hoy he leído una noticia bastante interesante acerca de una denegación de servicio en Apache. Tal y como dice la noticia original existe multitud de código que permite explotar este problema.

Cuando se inicia la conexión el servidor espera a las cabeceras enviadas por el cliente. Después de enviar parte de la cabecera legítima, éste (DoSer) envia unas cabeceras especialmente manipuladas que provocan que el servidor no finalice la conexión y permanezca a la espera de las demás partes de la cabecera. Para poder mandar la cabecera que “mantiene al servidor a la escucha” en la cabecera legítima no se envia un CLRF final, sino que después de un tiempo se le envía la cabecera:

X-a: b\r\n
que provoca que el servidor siga aún esperando el resto de la cabecera al no estar finalizada a través de el CLRF que mencionamos anteriormente. Debido a que este ataque se puede realizar moviendo un volumen pequeño de datos como bien apunta la fuente original cualquier usuario con un ancho de banda mínimo podría explotar esta vulnerabilidad en servidores con un ancho de banda relativamente grande.

Si habéis pensado en el parámetro MaxClients lo que hará será incrementar las necesidades de ancho de banda y CPU de los atacantes. Según Tomasz Miklas es posible bloquear este tipo de ataques usando un proxy inverso como PerlBal usándolo delante del servidor con Apache

Apche 1.x y 2.x están afectadas, así como Squid.

[ad]

No pondré aquí la definición o cosas por el estilo ya que todo el mundo tiene acceso a Wikipedia, pero sí os dejaré aquí un buen puñado de enlaces en donde encontraréis información sobre como asegurar, explotar y comprender este tipo de vulnerabilidades.

• Oracle SQL Injection
• Advanced SQL Injection
• SQL Injection in SQL Server
• SQL Injection evasion detection
• How to write SQL Injection proof PL/SQL
• Deep Blind SQL Injection
• Advanced SQL Injection (otro)
• SQL Injection attacks
• Avoiding SQL Injection

[ad]

Quizás muchos de vosotros ya sabéis el problema que os voy a comentar a continuación. A través del blog de F-Secure me llega una noticia un tanto curiosa. Seguramente recordáis la problemática de las extensiones en muchas de las versiones del sistema operativo de Microsoft. Si alguien ponía una extensión del tipo .TXT.EXE aparentemente en el explorador se podía ver el iconito como si fuera realmente un archivo de texto, cuando no es así. Si alguien no tenía activado ver las extensiones completamente (la mayor parte de los usuarios de este sistema operativo) podría ‘caer en la tentación’ de abrir el fichero y fiarse de él además porque se supone que sería un fichero de texto.

Pues vien, la historia se repite. Haz click aquí para ver las imágenes en la web de F-Secure.

[ad]

De la mano de SunBelt me entero de este interesante proyecto. Se trata de una RBL como las que muchos de nosotros usamos en los servidores de correo como filtros basados en IP (véase spamcannibal, por ejemplo) pero ésta filtra proxies anónimos y/o abiertos al público.

No he tenido la oportunidad de probarla, pero en cuanto disponga de más tiempo actualizaré esta entrada. Si alguno de vosotros ya la conocía o quiere dejar su opinión aquí, bienvenido sea.

Visitar ProxyBL.org

[ad]

Se ha descubierto una vulnerabilidad que permitiría a un atacante realizar un ataque de denegación de servicio enviando peticiones RPC especialmente manipuladas.

Un usuario remoto o local podría cerrar de forma inesperada rpc.metad provocando el cierre de Solaris Volume Manager.

Se ha publicado una prueba de concepto en milw0rm.

CVE-2008-1480

Alerta en la página web de Sun

[ad]

• Existe una vulnerabilidad en NetFTP. Un atacante remoto podría tener acceso a información sensible a través de una consulta especialmente manipulada que contenga los caracteres ‘<’ y ‘>’. El fallo se produce debido a un mal filtrado en los caracteres de entrada de la función validateGeneriInput.
• Los formularios no poseen ningún tipo de ‘token’ para verificar que el usuario envió el formulario. Este fallo podría ser aprovechado por un atacante para engañar al usuario a través de código HTML especialmente modificado.

[ad]

Ha sido encontrada una vulnerabilidad en Ghostscript. Un atacante local podría provocar un desbordamiento de memoria a través de la librería jbig2dec cuando descodifica símbolos de segmentos del diccionario de JBIG2. Este fallo podría ser aprovechado por el atacante para comprometer la seguridad de un usuario del sistema a través de un fichero PDF especialmente manipulado.

Esta vulnerabilidad podría permitir a un atacante la ejecución de código arbitrario en la máquina víctima.

Como solución, se recomienda no aceptar ficheros PDF sospechosos.

[ad]

Han sido detectados múltiples fallos de seguridad en Wireshark.

• Una vulnerabilidad del tipo ‘format strings’ podría permitir a un atacante ejecutar código arbitrario. El fallo podría ser aprovechado a través de un paquete PN-DCP.
• Un error ha sido encontrado en el protocolo CPHAP que podría cerrar el programa inesperadamente.
• Whireshark podría cerrarse inesperadamente al cargar al cargar un fichero Tektronix .rf5

Más información en esta página web.

[ad]

Se ha detectado una vulnerabilidad en el módulo de Moodle TeX.

Éste no revisa algunos parámetros que se le pasan como entrada a TeX, a través de los cuales un atacante podría incluir y mostrar ficheros binarios.

Se recomienda actualizar el paquete (apt-get update, apt-get upgrade) para que ningún atacante pueda aprovechar esta brecha en la seguridad.

Más información aquí.

[ad]

El script del setup usado para generar la configuración puede ser engañado usando una petición POST para incluir código PHP en el archivo de configuración. Para solucionar este problema, se deberá actualizar a la versión 2.11.9.5 o a 3.1.3.1 usando estos parches.

Más información haciendo click aquí.

[ad]