« Entradas por tag: vulnerabilidadMostrando 1 a 10, de 22 entrada/s en total:
10 de Agosto, 2015
□
General |
|
El laburo de informar conlleva una
responsabilidad. Y te lo digo no atajándome, sino contándote por qué
contar esto. Difundir una vulnerabilidad es muy distinto a dar la
dirección postal y poner la foto de la casa de una testigo protegida,
así como también es distinto a mostrar la cara de alguien que está
acusada de un crimen sin que se haya probado que se cometió. ¿Por qué?
Porque basta con que nuestro rostro aparezca en un medio masivo con
algún rótulo (ej: “Acusada de violar a su hija”) para que, movidas por
el rechazo al delito del que se acusa a alguien, manifestemos nuestro
odio en contra de la acusada, sin notar que está acusada, que no se ha
comprobado que así sea, que delito y culpable son cosas distintas.
Seis palabras en un medio masivo, bastan para condenar sin juicio a una persona.
Esas 6 palabras en un medio masivo, suelen condenar a esta persona de
por vida -porque la mina vuelve a su barrio y sigue habiendo estado
acusada- aunque durante ... Continuar leyendo |
|
publicado por
alonsoclaudio a las 01:57 · Sin comentarios
· Recomendar |
|
24 de Junio, 2015
□
General |
|
A ver, si en Chrome, el navegador
más utilizado en el mundo y desarrollado por Google, alguien encuentra
que una porción del código está destinada a espiarnos y vender nuestra
información, nadie pondrá el grito en el cielo, o al menos no debería.
Puede sonar arrogante, pero de quien se dedica a comprar y vender
personas, no espero un trato cordial ni ético. Pero la inclusión de
código espía en Chromium es preocupante pues se trata de un software que
utilizamos para evitar ese tipo de maniobras, entre muchas otras.
Lo curioso es que alguien introduzca este tipo de código en software
libre, pues el código dura allí lo que las usuarias en notar que el
código está presente. El asunto aquí es que se trata de código binario
(nadie puede saber qué hay dentro, el binario sólo lo “entiende” una
computadora).
El blob (nombre que reciben este tipo de códigos) en cuestión ha sido
etiquetado como de “palabra caliente”. ¿Cómo funciona? Bueno, ... Continuar leyendo |
|
publicado por
alonsoclaudio a las 15:45 · Sin comentarios
· Recomendar |
|
18 de Junio, 2015
□
General |
|
Ha sido publicada una vulnerabilidad con CVE-2015-1328 y que detalla como explotar un fallo en Overlayfs, el cual provoca que un usuario pueda escalar privilegios en un sistema Ubuntu en las siguientes versiones: 12.04, 14.04, 14.10, 15.04.
Por lo que probé hace un par de días, cuando salió no estaba disponible
el parche que evita que un atacante pueda aprovechar el fallo y escalar
privilegios.
¿Qué es Overlayfs? Es un sistema de archivos con el que no
se comprueba de manera correcta los permisos cuando se crean nuevos
archivos, concretamente en un directorio superior. Este sistema de
archivos tiene funciones del estilo ovl_copy_up_*.
El exploit puede obtener de, por ejemplo, exploit-db, y para ejecutarlo es realmente sencillo:
... Continuar leyendo |
|
publicado por
alonsoclaudio a las 16:16 · Sin comentarios
· Recomendar |
|
18 de Junio, 2015
□
General |
|
Mi experiencia con los smartphones
Samsung ha sido mala el 100% de las veces. Ojo, a mí también me gustan
sus pantallas y sus cámaras, pero no me alcanza para llamar teléfono
inteligente a un aparato con buena pantalla y buena cámara. Samsung es
una empresa donde la gente se suicida, y Apple, la otra líder del rubro,
también. Por lo que nuestros mensajitos de Whatsapp están llenos de
sangre y no debería darnos lo mismo.
Según estadísticas recientes Samsung controla el 46% del mercado de
smartphones, por lo que el 46% de las personas que tiene uno en el mundo
están expuestas a sufrir las consecuencias de la concentración del
mercado combinada con un pésimo software para un hardware de persecución
personal.
¿A vos te parece una buena combinación? Yo creo que sólo con eso
alcanza para no querer volver a darle un solo peso a empresas como esas.
Porque con un poco de cinismo podríamos plantear que, ya que hacer un
smartphone requiere de muertes y dominación, al menos... Continuar leyendo |
|
publicado por
alonsoclaudio a las 12:54 · Sin comentarios
· Recomendar |
|
02 de Junio, 2015
□
General |
|
Te propongo un juego, imaginate recibir 10 mails al día, ahora 100…cansador ¿no? Ahora imaginate recibir cientos de miles…
Cada tanto leemos que tal o cual sitio, fue inutilizado por un enorme
número de peticiones. ¿Que significa esto?. Esto significa que montones
de terminales están enviando datos solicitando acceso a una solo
terminal hasta desbordar su cupo. Gráficamente es como servir una taza
de té, volcando todo el contenido de la tetera. La taza desbordaría y
nuestro té se malograría.
A veces sucede que el objetivo de estos ataques llamados “bombas de
correo”, no es una empresa, sino un simple usuaria: Nosotras. Y
funcionan de la misma forma que los ataques DDoS de Anonymous a los
sitios gubernamentales.
Básicamente las bombas de correo funcionan desde una sola máquina se
lanzan montones de correos a una sola usuaria y a veces inclusive a un
grupo de usuarias, o bien se utilizan máquinas “zombie” (máquinas
infectadas con malware), que lanzan correos por... Continuar leyendo |
|
publicado por
alonsoclaudio a las 21:19 · Sin comentarios
· Recomendar |
|
29 de Abril, 2015
□
General |
|
Hemos sostenido y seguiremos
sosteniendo que la tecnología contiene y expresa una ideología. Muchas
personas se niegan a reconocer que las personas tenemos una
imposibilidad total de ser objetivas y en consecuencia no contemplan la
posibilidad de que una científica tenga una ideología y esta ideología
sea incluida -deliberadamente o no- dentro de un producto.
Así es que, por ejemplo, la transformación de un aparato telefónico
en un dispositivo de rastreo, individualización y consumo masivo que
sirve a estados y gobiernos, no tiene ninguna carga ideológica.
Advertimos sobre esta situación, porque estamos incorporando acrítica
y periódicamente tecnología a nuestras vidas, sin preguntarnos por los
riesgos que produzca. Esta “naturalización” del valor positivo de la
tecnología ha llevado a que los riesgos de combinar ciertas tecnologías
en el ámbito de la salud sean verdaderamente altos.
Sobre las mafias que merodean el negocio de la salud (que en muchos casos es... Continuar leyendo |
|
publicado por
alonsoclaudio a las 09:26 · Sin comentarios
· Recomendar |
|
02 de Abril, 2015
□
General |
|
El investigador de seguridad Kamil Hismatullin descubrió una
vulnerabilidad (grave) en la plataforma de vídeos online Youtube
mediante la cual, aprovechando un problema en la lógica de una de las
funcionalidades, podría borrar cualquier vídeo subido de cualquier
usuario.
El script en cuestión se encuentra en la siguiente URL:
- https://www.youtube.com/live_events_edit_status_ajax?action_delete_live_event=1
El cual acepta, mediante método HTTP POST, dos parámetros:
- event_id: identificador del video a eliminar
- session_token: token de sesión válido de cualquier usuario diferente al del propietario del vídeo a eliminar
Esta funcionalidad se utiliza dentro de la aplicación YouTube Creator Studio,
la aplicación de edición de videos para usuarios de Youtube tanto para
iOS como para Android, en la... Continuar leyendo |
|
publicado por
alonsoclaudio a las 23:23 · Sin comentarios
· Recomendar |
|
20 de Diciembre, 2014
□
General |
|
Con el tema Sonyleaks tan candente, cualquier tema referente a bugs o
vulnerabilidades adquiere mayor relevancia (aunque no tengan nada que
ver). Pues bien, hace tan sólo unas horas la gente de Git anunció que ha descubierto una vulnerabilidad crítica de lado del cliente de Git que afecta a todas las versiones del cliente oficial de Git y software relacionado como pueda ser Github for Windows o Github for Mac. Si no quieres que Kim Jong-un puede hackearte, actualiza tu cliente de Git
y guardate mucho de clonar o acceder a repositorios Git sospechosos o
que no garanticen la seguridad (es decir no hay problemas con Github y
similares).
La vulnerabilidad afecta a clientes Git que accedan a repositorios con un sistema de ficheros case-insensitive o case-normalizing. En base a esto un atacante puede crear un árbol malicioso que pueda causar que Git sobreescriba su propio archivo .git/config
cuando se clona o hace checkout de un repositorio, permitiendo... Continuar leyendo |
|
publicado por
alonsoclaudio a las 11:00 · Sin comentarios
· Recomendar |
|
28 de Noviembre, 2014
□
General |
|
“Para ir por donde no se sabe, has de ir por
donde no se sabe”
Esta es una pequeña historia que confirma que con algo de curiosidad,
trabajo duro e insistencia se llega casi siempre a buen puerto. Es el
relato sincero de una humilde batalla, de cómo descubrimos la
vulnerabilidad que afectaba a Drupal ( CVE-2014-9016) y a Wordpress ( CVE-2014-9034),
de cómo un día Drupal decidió corregirla y de cómo tuvimos que esperar
un día más para ver la actualización de Wordpress, de las vicisitudes y
dudas que tuvimos al reportarla, y de cómo conseguimos sortearlas... Tan
solo es un ejemplo más, para todos aquellos que se adentren... Continuar leyendo |
|
publicado por
alonsoclaudio a las 16:56 · Sin comentarios
· Recomendar |
|
|
CALENDARIO |
|
Noviembre 2024 |
|
|
DO | LU | MA | MI | JU | VI | SA | | | | | | 1 | 2 | 3 | 4 | 5 | 6 | 7 | 8 | 9 | 10 | 11 | 12 | 13 | 14 | 15 | 16 | 17 | 18 | 19 | 20 | 21 | 22 | 23 | 24 | 25 | 26 | 27 | 28 | 29 | 30 |
|
|
| |
AL MARGEN |
Escuela de Educacion Secundaria Tecnica N 8 de Quilmes |
(Técnicos en Informática Personal y Profesional) |
| |
|