Fallo de seguridad en Facebook afecta a 50 millones de usuarios

publicado en: Noticias | 0

Gravedad: MEDIA.

Recursos afectados: Se han visto afectados por este fallo de seguridad 50 millones de cuentas de Facebook.

Descripción: Facebook ha publicado una nota de seguridad confirmando una vulnerabilidad que permitía el robo de un identificador único que se genera cada que se accede a una cuenta de usuario de Facebook (token), la cual ha afectado a 50 millones de cuentas.

Los atacantes explotaron una vulnerabilidad en Facebook que afectaba a la función “Ver cómo”, la cual permite al usuario ver como otros perfiles visualizan el suyo.

La vulnerabilidad permitía a los atacantes usar esta funcionalidad para robar el token de acceso de Facebook de otros usuarios, el cual se usa para permanecer logueado sin tener que reintroducir la contraseña en cada acceso. Al robar este token, los atacantes obtenían el control de las cuentas de las víctimas.

Para subsanar el problema, Facebook ha corregido la vulnerabilidad y notificado a las autoridades.

En segundo lugar, han reiniciado los tokens de acceso de los 50 millones de cuentas afectadas, y de otros 40 millones que podrían haberlo sido por precaución, lo que obligará a los usuarios a volver a loguearse. Al hacerlo recibirán una notificación informándoles sobre este incidente.

Finalmente, la opción “Ver como” ha sido deshabilitada hasta que se realice una revisión de seguridad exhaustiva.

Solución: Desde Facebook se han tomado medidas para corregir la vulnerabilidad y resetear los tokens de acceso de todas las cuentas afectadas. Asimismo, indican que no es necesario que los usuarios afectados cambien su contraseña, aunque desde la OSI sí se recomienda como medida preventiva.

En caso de que el usuario tenga problemas a la hora de iniciar su sesión, Facebook recomienda seguir los pasos del Servicio de ayuda para restablecer la contraseña:

  1. Ve a la página Recupera tu cuenta (facebook.com/login/identify).
  2. Escribe el correo electrónico, número de teléfono móvil, nombre completo o nombre de usuario asociado a la cuenta y, a continuación, haz clic en Buscar.
  3. Sigue las instrucciones que aparecen en la pantalla.

Además, los usuarios que quieran revisar en qué dispositivos han iniciado sesión y recordado su contraseña, pueden hacerlo siguiendo los siguientes pasos:

  1. En Configuración, accede a la configuración de Seguridad e inicio de sesión.
  2. Ve a la sección Dónde has iniciado sesión. Es posible que tengas que hacer clic en Ver más para ver todas las sesiones donde has iniciado sesión.
  3. Busca la sesión que quieres finalizar. Haz clic en el icono con tres puntos y, después, en Salir.

Para leer la noticia completa haz clic en el siguiente enlace

Noticia vía: Oficina de Seguridad del Internauta (OSI) de INCIBE

Nueva vulnerabilidad crítica en Bluetooth afecta a múltiples dispositivos

publicado en: Noticias | 0

Gravedad: MEDIA.

Recursos afectados: Los productos de Apple, Broadcom, Intel y Qualcomm han sido afectados, mientras que Google, Android y Linux aún no han confirmado la existencia de la vulnerabilidad. Los productos de Microsoft no son vulnerables.

Descripción: La vulnerabilidad CVE-2018-5383, afecta al firmware de varios dispositivos smartphones. Este fallo permite un ataque remoto dependiendo de la proximidad física a los dispositivos, inyectar malware o interceptar los datos que se están enviando.

La especificación Bluetooth recomienda, pero no obliga a los dispositivos, validar la clave pública de cifrado recibida durante el emparejamiento seguro.

Dado que esta especificación es opcional, los productos de Bluetooth de algunos proveedores no validan suficientemente los parámetros de curva elíptica utilizados para generar claves públicas durante el intercambio de claves Diffie-Hellman.

En este caso, un atacante remoto no autenticado dentro del rango de dispositivos objetivo durante el proceso de emparejamiento puede lanzar un ataque man-in-the-middle para obtener la clave criptográfica utilizada por el dispositivo, lo que les permite interceptar datos que se transmiten por aire e inyectar malware.

Solución: A continuación, se indican para cada uno de los fabricantes afectados cuáles han sido las soluciones que han proporcionado para esta vulnerabilidad:

  1. Apple ha corregido la vulnerabilidad con el lanzamiento actualizaciones para macOS High Sierra 10.13.5, iOS 11.4, watchOS 4.3.1 y tvOS 11.4.
  2. Intel ha lanzado actualizaciones de software y firmware para solucionar el error de Bluetooth, informando a los usuarios de la vulnerabilidad afecta a las familias de productos de banda dual inalámbrica-AC, Tri-Band Wireless-AC y Wireless-AC.
  3. Broadcom ha confirmado conocer la vulnerabilidad e informa de que algunos de sus productos compatibles con Bluetooth 2.1 o la tecnología más reciente pueden verse afectados por el problema. La empresa ha proporcionado correcciones para los clientes OEM, que las incluirán en sus actualizaciones de software para usuarios finales.
  4. Qualcomm no ha publicado ninguna declaración sobre la vulnerabilidad.

Para leer la noticia completa haz clic en el siguiente enlace

Noticia vía: Oficina de Seguridad del Internauta (OSI) de INCIBE

Una vulnerabilidad en la herramienta de Windows CertUtil, podría permitir la descarga de malware

publicado en: Noticias | 0

Gravedad: MEDIA.

Recursos afectados: Se ven afectados por esta vulnerabilidad todos los usuarios del sistema operativo Windows, ya que, se trata de una herramienta incluida por defecto en el sistema operativo.

Descripción: Detectada una vulnerabilidad en Windows provocada por CertUtil, un programa incorporado por defecto en Windows que se utiliza para la gestión de certificados digitales, mediante la cual se puede descargar cualquier tipo de archivo desde una dirección web remota. Esta vulnerabilidad ha sido aprovechada por diferentes atacantes para instalar malware en los equipos de las víctimas.

Solución: Para evitar la descarga de contenido malicioso, es recomendable bloquear la conexión a internet de CertUtil desde el software de firewall que utilice en su equipo.

Para leer la noticia completa haz clic en el siguiente enlace

Noticia vía: Oficina de Seguridad del Internauta (OSI) de INCIBE

Corregida vulnerabilidad de seguridad de Microsoft en algunas versiones de Windows

publicado en: Noticias | 0

Gravedad: MEDIA.

Recursos afectados: Todos los usuarios que tengan instalado en sus equipos el sistema operativo: Windows 7 para sistemas basados ​​en x64 Service Pack 1, Windows Server 2008 R2 para sistemas basados ​​en x64 Service Pack 1 (instalación de Server Core) y Windows Server 2008 R2 para sistemas basados ​​en x64 Service Pack 1. Y además, hayan instalado la actualización de seguridad que corrige las vulnerabilidades de Meltdown y Spectre.También los que no hayan podido instalar el parche KB4100480 que lanzó Microsoft el 1 de abril de 2018.

Descripción: El último parche de seguridad que debía corregir la vulnerabilidad de Meltdown y Spectre, lanzado el 1 de abril de 2018, produce error en su instalación en algunos equipos, por lo que los usuarios la han denominado Total Meltdown. El objetivo es dejar al equipo expuesto para que un atacante con acceso pueda tomar el control del mismo.

Solución: Se recomienda a los usuarios verificar si tienen instalada la actualización KB4100480, en cuyo caso se encontrarán protegidos contra las vulnerabilidades.

Para ello, debemos ir a Panel de control\ Sistema y seguridad\ Windows Update y pulsar en Ver historial de actualizaciones.

Se espera que Microsoft lance nuevos parches de seguridad en su proxima actualización, con los que es posible que quede solventada la vulnerabilidad.

Para leer la noticia completa haz clic en el siguiente enlace

Noticia vía: Oficina de Seguridad del Internauta (OSI) de INCIBE

Vulnerabilidades en uTorrent permiten controlar el ordenador

publicado en: Noticias | 0

Gravedad: MEDIA.

Recursos afectados: El error se limita a la versión web y la aplicación para el sistema operativo Windows, que es usado por la mayor parte de la población de España.

Los usuarios de otros sistemas operativos como Mac o Linux no se ven afectados por la vulnerabilidad.

Descripción: Se ha descubierto un fallo de seguridad en las versiones de escritorio Windows y web del software de descargas uTorrent, siendo este uno de los más utilizados en el mundo con docenas de millones de clientes activos a diario.

Estos exploits permiten a los atacantes, descargar y ejecutar código remoto para infectar o tomar el control de un ordenador. Únicamente es necesario que el usuario acceda a cualquier página web que los cibercriminales hayan diseñado para verse afectado por esta vulnerabilidad.

Solución: Los desarrolladores de uTorrent han indicado que estos fallos, presentes en la versión de escritorio para Windows, estarán solucionados en la próxima versión, aunque en este momento sólo está disponible en versión de prueba o beta que se puede descargar en el siguiente enlace.

Se recomienda a los usuarios descargar la nueva versión beta, y evitar utilizarla, si no es necesario, hasta que exista una versión definitiva.

En el caso de uTorrent Web, desde la compañía se asegura que ya está solucionado la vulnerabilidad a través de la última actualización, por lo que sus usuarios deben instalarla.

Para leer la noticia completa haz clic en el siguiente enlace

Noticia vía: Oficina de Seguridad del Internauta (OSI) de INCIBE

Si usas la versión clásica de Skype para Windows, este aviso te interesa

publicado en: Noticias | 0

Gravedad: MEDIA.

Recursos afectados: Aquellos equipos Windows que tengan instaladas las versiones 7 y 8.1 con Skype clásico (versión de escritorio).

Descripción: Se ha hecho público un fallo en Skype, la famosa aplicación que permite establecer comunicaciones entre usuarios a través de chat, audio y videollamadas. El problema detectado podría permitir a un atacante obtener privilegios a nivel de sistema en un ordenador para llevar a cabo actividades maliciosas.

Solución: Desde Microsoft, según distintas fuentes de información, por el momento ha descartado realizar una revisión a su código actual de dichas versiones de la aplicación para solventar el problema. Por tanto, se recomienda a los usuarios con dichas versiones instaladas en sus equipos que la desinstale de inmediato para evitar así problemas de seguridad. Para saber la versión que se tiene instalada se puede seguir los siguientes pasos:

  1. Iniciar sesión en la aplicación.
  2. En la barra de menús, hacer clic en Ayuda > Acerca de Skype.

Más información sobre cómo conocer las versiones de Skype en este enlace.

Afortunadamente, Skype cuenta con una versión online (Skype for web) que funciona de manera similar a la versión afectada.

Para leer la noticia completa haz clic en el siguiente enlace

Noticia vía: Oficina de Seguridad del Internauta (OSI) de INCIBE

Detectados juegos oficiales de Sonic para móviles que filtran información de usuarios

publicado en: Noticias | 0

Gravedad: MEDIA.

Recursos afectados: Aquellos usuarios que hayan descargado en sus dispositivos móviles Android alguna de las tres aplicaciones afectadas, Sonic Dash, Sonic the Hedgehog™ Classic, o Sonic Dash 2: Sonic Boom.

Descripción: La compañía de seguridad móviles Pradeo ha detectado recientemente que varios juegos para móviles publicados por la compañía SEGA envían información de la geolocalización, datos de la red móvil y datos de los dispositivos a once servidores diferentes, de los cuales tres no se encuentran certificados y pueden suponer una amenaza. En concreto, según detalla la empresa Pradeo en su blog, los juegos afectados son Sonic Dash, Sonic the Hedgehog™ Classic, y Sonic Dash 2: Sonic Boom.

Solución: Si has descargado alguna de las aplicaciones afectadas, por el momento, la única forma de impedir que se filtren los datos, es desinstalar la aplicación hasta que SEGA solucione estos problemas lanzando una actualización de seguridad de las apps afectadas.

Para leer la noticia completa haz clic en el siguiente enlace

Noticia vía: Oficina de Seguridad del Internauta (OSI) de INCIBE