La actualización de emergencia de Google Chrome corrige un día cero y otras vulnerabilidades

Introducción
Google publicó el viernes una actualización seguridad para abordar una vulnerabilidad de alta gravedad en el navegador Chrome que, según se indicó, se está explotando activamente.

Análisis

Rastreada como CVE-2022-1096 , la falla de día cero se relaciona con una vulnerabilidad de confusión de tipos en el motor JavaScript V8.

Los errores de confusión de tipos, que surgen cuando se accede a un recurso (p. ej., una variable o un objeto) utilizando un tipo que es incompatible con el que se inicializó originalmente, esto podría tener graves consecuencias en lenguajes que no son seguros para la memoria como C y C++, lo que permite un uso malicioso.

«Cuando se accede a un búfer de memoria utilizando el tipo incorrecto, este podría leer o escribir fuera de los límites del búfer de memoria. Si el búfer asignado es más pequeño que el tipo al que intenta acceder el código, provocaría un bloqueo y posiblemente el código ejecución», explica el Common Weakness Enumeration (CWE) de MITRE .

El gigante tecnológico reconoció que es «consciente de que existe un exploit para CVE-2022-1096″, el cual no llegó a compartir detalles adicionales para evitar una mayor explotación y hasta que la mayoría de los usuarios se actualicen con una solución.

CVE-2022-1096 es la segunda vulnerabilidad de día cero abordada por Google en Chrome desde principios de año, siendo la primera CVE-2022-0609, una vulnerabilidad de uso posterior en el componente que se parchó el 14 de febrero del 2022.

A principios de esta semana, el Grupo de Análisis de Amenazas (TAG, por sus siglas en inglés) de Google reveló detalles de una campaña gemela organizada por grupos de estados-nación de Corea del Norte que usaron la falla como arma para atacar a organizaciones con sede en EE. UU. que abarcan industrias de medios de comunicación, TI, criptomonedas y tecnología financiera.

Recomendaciones

Se recomienda a los usuarios de Google Chrome que actualicen a la última versión 99.0.4844.84 para Windows, Mac y Linux para eliminar cualquier amenaza potencial.

También se recomienda a los usuarios de navegadores basados en Chromium, como Microsoft Edge, Opera y Vivaldi, que apliquen las correcciones cuando estén disponibles.

Referencias
[1] https://thehackernews.com/2022/03/google-issues-urgent-chrome-update-to.html

Boletín de marzo 2022

Como cada mes, volvemos con un nuevo boletín en el que hablamos de los principales riesgos en el uso de las redes sociales y la necesidad de proteger nuestra información personal.

A este respecto, los dispositivos tecnológicos y las redes sociales se han convertido en parte fundamental de nuestra vida cotidiana, adquiriendo cada vez más protagonismo como canal de conexión y relación con los demás, y avivando el debate sobre las posibles consecuencias derivadas de su uso.

Tal y como recoge el Observatorio Nacional de Tecnología y Sociedad español (ONTSI) en su informe “Beneficios y riesgos del uso de Internet y las redes sociales” (2022), los colectivos que se consideran más afectados por el mal uso de las redes sociales son: los menores de 16 años (ciberacoso) y los jóvenes de entre 16 y 25 años (depresión o ansiedad).

De las redes sociales, WhatsApp es la más utilizada, con el 94,5% de la ciudadanía internauta. Le siguen Facebook, YouTube e Instagram. Tik Tok, con apenas cuatro años de existencia, ocupa el octavo lugar entre la población internauta, pero se sitúa en cuarto lugar de uso entre menores de 25 años y quinto lugar entre las personas de 25 a 34 años. Por otro lado, redes como Tinder, Grinder, Discord o Snapchat apenas se usan, aunque tienen una mayor penetración entre la población más joven. Discord supera el 22% entre los internautas menores de 25 años.

Y es que, a pesar de sus innumerables ventajas, el control de su uso, especialmente entre menores, es fundamental para evitar situaciones como las siguientes:

      • Ciberacoso. Se produce cuando una persona utiliza medios tecnológicos para perseguir a otra persona, a través de llamadas, SMS, mensajes de Whatsapp, publicaciones anónimas, etc.

Un ejemplo de ciberacoso se ha producido en Azuqueca de Henares (Guadalajara), donde un hombre de 41 años ha sido acusado como presunto autor de acoso a una menor mediante el método grooming. Este método consiste en hacerse pasar por menor para entablar una relación emocional con fines sexuales.

      • Sexting. Consiste en el envío de contenido sexual o erótico, principalmente fotos y videos, a otras personas. Si bien no es un acto ilegal, cuando se trata de menores de edad o cuando el adulto no consiente esa actividad, se convierte en ilegal. Su peligrosidad recae en el reenvío o difusión a terceros sin consentimiento.

Un ejemplo de sexting es el investigado por la Policía Municipal y Nacional de Ponferrada. En este caso, se tuvo conocimiento de que varios menores colgaron voluntariamente en sus redes sociales, vídeos y fotografías suyas de alto contenido sexual. Las enviaron a determinadas personas de sus redes sociales y algunos de estos a su vez, las reenviaron, alcanzando gran difusión.

La AEPD ha establecido un “Canal prioritario” para denunciar la publicación de fotografías, vídeos o audios de contenido sexual o violento en Internet sin el consentimiento de las personas afectadas.

      • Suplantación de identidad. Se da cuando una persona se apropia del nombre de otra o utiliza su información personal o incluso sus cuentas en redes sociales para hacerse pasar por ella. Se suele llevar a cabo para obtener información personal, cometer estafas, grooming

Un ejemplo de suplantación de identidad fue el sufrido por Antonio Resines mientras se estaba recuperando de la COVID-19. Resines denunció perfiles falsos en redes que estaban contestando a mensajes de personas que creían que se trataba de alguna de sus cuentas oficiales.

En tal sentido, la AEPD y el Ministerio de Consumo lanzaron una campaña con consejos para actuar ante una suplantación de identidad. La campaña detalla los pasos a seguir para eliminar un perfil falso lo antes posible.

Desde CSIRT-CV también hemos elaborado un artículo para evitar y detectar si has sido objeto de suplantación. Entre sus medidas, la de configurar las redes sociales lo más privadamente posible.

 

A modo de resumen, vamos a facilitar algunos CONSEJOS para mejorar la seguridad en redes sociales. En este sentido, lo mejor es:

      • Dejar de compartir información en exceso (ubicación particular, direcciones personales…).
      • Cambiar la configuración del perfil a privado (y que solo tus amigos puedan ver tu información y/o descargar contenido).
      • No aceptar solicitudes o mensajes de cuentas o personas desconocidas.
      • No enviar contenido íntimo por Internet.
      • Crear contraseñas seguras en tus dispositivos para que, en caso de pérdida o robo, no se pueda acceder a los archivos. Además, como normalmente en nuestro móvil personal no cerramos sesión tras cada acceso a las aplicaciones de nuestras redes sociales, debes saber que en caso de pérdida o robo, puedes acceder a tus redes sociales desde otro dispositivo y en los ajustes de inicio de sesión “cerrar la sesión en el dispositivo concreto que hemos perdido” o cerrarla en todos los dispositivos donde tengamos nuestra sesión iniciada en ese momento.
      • Desactivar el inicio de sesión de guardado automático (evitando que personas no autorizadas ingresen en tu cuenta).
      • Activa el doble factor de autenticación en todas las redes sociales que te lo permitan, así fuerzas a que te llegue un aviso de inicio de sesión, que deberás aceptar, al número de móvil que indiques.

 

Para finalizar, te recomendamos que tengas siempre tus dispositivos actualizados, tanto a nivel de sistema operativo como de todas las aplicaciones que utilices. Durante este mes, destacamos la siguiente vulnerabilidad publicada en nuestro portal CSIRT-CV, y que se corrige actualizando a la versión indicada en el artículo:

Actualización de seguridad en WordPress

Introducción

WordPress ha publicado una actualización de seguridad para su CMS que soluciona tres vulnerabilidades, una de ellas de criticidad alta. Según la publicación emitida, dos de las vulnerabilidades detectadas corresponden a un fallo en una biblioteca de JavaScript, mientras que la otra vulnerabilidad corresponde a un XSS almacenado.

Versiones afectadas:

Todas las versiones de WordPress desde la versión 3.7 hasta la versión 5.9.1.

Recomendaciones

Actualizar WordPress a la versión 5.9.2.

Referencias
[1] https://www.searchenginejournal.com/wordpress-core-vulnerability-2022/441795/#close
[2] https://wordpress.org/news/2022/03/wordpress-5-9-2-security-maintenance-release/
[3] https://www.incibe.es/protege-tu-empresa/avisos-seguridad/actualizacion-seguridad-wordpress-1

Vulnerabilidad DirtyPipe en el Kernel de Linux (CVE-2022-0847)

Introducción

Vulnerabilidad en el kernel de Linux que permite sobrescribir datos en archivos arbitrarios de sólo lectura, lo que puede conducir a inyección de código en los procesos root y una escalada de privilegios. [1]

Análisis

El 7 de marzo, se encontró que las «flags» de la nueva estructura de tuberías del Kernel de Linux no tenían inicializadas las funciones copy_page_to_iter_pipe y push_pipe, por tanto, podía contener valores obsoletos. Y un usuario local sin privilegios podía utilizar este fallo para escribir en páginas de la caché de páginas respaldadas por archivos de solo lectura y así escalar sus privilegios en el sistema. [2]

Versiones afectadas:

      • Linux Kernel >= 5.8
      • Linux Kernel < 5.16.11
      • Linux Kernel < 5.15.25
      • Linux Kernel < 5.10.102

Se le ha dado a la vulnerabilidad una puntuación CVSSv3 de 7.8, por lo que se considera de prioridad alta. [3]Además, la vulnerabilidad resulta fácil de explotar y han salido numerosas pruebas de concepto para explotarla. [4] [5]

Recomendaciones

Se ha resuelto la vulnerabilidad en las versiones del kernel de Linux 5.16.11, 5.15.25 y 5.10.102. Se recomienda actualizarlo desde el repositorio oficial [6]. En el caso de versiones 5.8 del Kernel, es necesaria una actualización más severa, ya que no se ha resuelto la vulnerabilidad para estas versiones.

Referencias
[1] https://dirtypipe.cm4all.com/
[2] https://access.redhat.com/security/cve/cve-2022-0847
[3] https://socradar.io/dirty-pipe-linux-vulnerability-discovered/
[4] https://packetstormsecurity.com/files/166229/Dirty-Pipe-Linux-Privilege-Escalation.html
[5] https://packetstormsecurity.com/files/166230/Dirty-Pipe-SUID-Binary-Hijack-Privilege-Escalation.html
[6] https://git.kernel.org/pub/scm/linux/kernel/git/torvalds/linux.git/commit/?id=9d2231c5d74e13b2a0546fee6737ee4446017903