Noticias

Cisco ha anunciado la existencia de una vulnerabilidad en Cisco Content Delivery System (CDS), y que podría permitir a un atacante conseguir acceso no autorizado a archivos arbitrarios de los sistemas afectados.

El último ataque contra Windows (con enlaces directos) fue descubierto a través de un troyano que ha sido bautizado como Stuxnet. Una de sus características era que los drivers que usaba estaban firmados digitalmente por la famosa empresa china Realtek. Ahora, después de que hayan sido revocados, los atacantes han comenzado a utilizar los de otra empresa legítima: JMicron Technology Corporation.

ISC (Internet System Consortium) ha publicado una actualización para BIND que corregir un problema que se introdujo en la versión 9.7.1, relacionado con la validación de resoluciones recursivas.

Apple ha publicado una actualización de iTunes para corregir una vulnerabilidad en iTunes (versiones anteriores a la 9.2.1) que un atacante remoto podría aprovechar para causar una denegación de servicio o ejecutar código arbitrario.

El pasado 16 de julio publicábamos una noticia sobre una "interesante" vulnerabilidad en Windows que estaba siendo aprovechada por un peligroso troyano. El peor de los escenarios se presenta ahora para Microsoft, puesto que se han hecho públicos todos los detalles para aprovechar el fallo y, por tanto, se espera que aparezcan nuevos troyanos aprovechando una peligrosa vulnerabilidad para la que todavía no hay parche.

Vuelve a ocurrir. Un plugin para el navegador Firefox, alojado en la página oficial de Mozilla, estaba siendo utilizado para robar las contraseñas de los usuarios que lo utilizaran. También se ha hecho público que otro plugin contenía una grave vulnerabilidad que permitía la ejecución de código en el navegador. Es la cuarta vez que Mozilla sufre un incidente de seguridad relacionado con sus extensiones y complementos.

Se ha descubierto un nuevo ataque contra Windows, que aprovecha una vulnerabilidad previamente desconocida. Lo interesante (y peligroso) en este caso, es que esta vulnerabilidad ha sido utilizada como nuevo método "revolucionario" para eludir la desactivación de AutoRun y ejecutarse bajo cualquier circunstancia cuando se inserta en el sistema una memoria USB extraíble, por ejemplo. Además, el troyano ha sido firmado digitalmente por una compañía legítima.

Se han anunciado múltiples vulnerabilidades en Novell GroupWise, que podrían permitir a un atacante realizar ataques de denegación de servicio, robar información sensible y comprometer los sistemas afectados. Se ven afectadas las versiones Novell GroupWise version 7.0, 7.01, 7.02, 7.03x, 8.0 y 8.01x.

Oracle ha publicado un conjunto de 59 parches para diversos productos de la casa que solventan una larga lista de vulnerabilidades. Las consecuencias son que atacantes locales y remotos pueden comprometer gravemente la seguridad de los sistemas y servicios afectados.

Este martes Microsoft ha publicado cuatro boletines de seguridad (del MS10-042 al MS10-045) correspondientes a su ciclo habitual de actualizaciones. Según la propia clasificación de Microsoft tres de los boletines presentan un nivel de gravedad "crítico", mientras que el restante es clasificado como "importantes".

Se ha anunciado una vulnerabilidad en Apache Tomcat versiones 5.5, 6 y 7, que podría permitir a un atacante remoto obtener información sensible o realizar ataques de denegación de servicio.

Microsoft quiere deshacerse cuanto antes de ciertos lastres que le vienen persiguiendo desde sus inicios. Para ello, debe dejar de dar soporte a sus sistemas operativos más antiguos y centrarse en Vista, 7 y 2008, únicos desarrollados completamente bajo una perspectiva en la que prima la seguridad. Dados los resultados, sin duda es un acierto. Son sistemas operativos muy seguros y, en concreto con Windows 7, han conseguido incluso que resulten atractivos para el usuario medio.

El día 13 de julio Microsoft deja de publicar parches de seguridad para Windows 2000 y XP con Service Pack 2. Esto supone la muerte de estas dos versiones de Windows puesto que, aunque obviamente se podrán seguir usando, a partir de ahora será mucho más complejo mantener el sistema seguro. Y hoy en día sabemos que utilizar un Windows no actualizado es prácticamente un suicidio desde el punto de vista de la seguridad.

Cisco ha anunciado una vulnerabilidad en dispositivos Cisco Industrial Ethernet 3000 Series Switch (con versiones de IOS 12.2(52)SE o 12.2(52)SE1), que podría permitir a usuarios remotos el acceso a los dispositivos.

Se ha descubierto una vulnerabilidad en el reproductor de archivos multimedia VLC 1.0.5 que podría ser aprovechada por un atacante remoto para ejecutar código arbitrario.

En estos días se ha hablado bastante de Libranda y de sus características, en la mayor parte de los casos en términos muy poco elogiosos. Hay hasta especulaciones sobre si lo que Libranda pretendía, en realidad, era no vender libros.

Algunas de las críticas se centran, debido a un error de posicionamiento de la propia Libranda, en atacar la escasa idoneidad de la plataforma de cara al cliente final, lo que supone un error conceptual: por mucho que su confuso marketing, posicionamiento y diseño lleven a pensar, Libranda no es ni pretende ser una plataforma de venta de libros al cliente final. La idea es mucho más alambicada: se trata de una plataforma para uso de las librerías, un catálogo para que aquellas empresas que decidan vender libros en la red puedan ver el catálogo de las principales editoriales en lengua española y catalana, e incorporar las obras a sus tiendas. Puesto así, lo que cabe plantearse es la razón por la que una iniciativa así tiene una página abierta al público: no solo no le hace ninguna falta (debería ser una plataforma cerrada para que accedan con la adecuada clave los responsables de compras de las librerías), sino que además, confunde. Lleva a un hipotético lector a buscar el libro que quiere, le plantea un absurdo botón de compra, pero le lleva a una tienda donde tiene que volver a realizar la búsqueda para conseguir comprar.

La razón para semejante jugada alambicada no es otra que evitar el conflicto de canal. El planteamiento intenta reproducir el esquema tradicional del mundo offline – las editoriales distribuimos libros a las tiendas, y éstas venden libros al cliente final – de una manera que permite visualizar inmediatamente lo absurdo que resulta plantear intermediarios en un canal como Internet, que no está diseñado para aceptarlos. Y que además, tiene un problema importante: dado que la mayoría de las librerías españolas no tienen oferta en la web ni interés por desarrollarla, el conflicto de canal no se evita, y lo que Libranda acaba obteniendo es algo que sospecho no pretendía: arrastrar a los clientes hacia otros canales, fomentar las descargas en el mundo del libro. Tras la experiencia de intentar obtener un libro a través del canal oficial, la sensación es un amargo “no vuelvo por aquí”.

La oferta de Libranda, además de resultar confusa y posibilitar que el cliente visualice esa intermediación innecesaria, plantea una apuesta por el DRM de Adobe. Según parece, estudiaron bastante el tema antes de tomar esa decisión: pues bien, las conclusiones de dichos estudios fueron inadecuadas, y la decisión es simplemente errónea. Y no se trata de un error banal o sin importancia: se trata de un error grave, de esos que te pueden matar, que tienen la potencialidad de comprometer gravemente el futuro de tu negocio.

El DRM de Adobe tiene dos graves problemas: es caro, y es malo. Es caro para el editor, y es enormemente malo, malísimo, para el cliente. La experiencia de comprar un libro se convierte en desastrosa, ademas de plantear problemas de incompatibilidad para una gran cantidad de dispositivos. Viendo lo agradable que resulta comprar libros en plataformas como Kindle o Apple, uno se plantea qué combinación de hierbas ha debido fumar quien tomó la decisión de adoptar Adobe DRM: es, simplemente, una mala decisión: si pretendías con ello protegerte, además, deberías saber que como ocurre con todo sistema DRM más tarde o más temprano, ya está roto. Si combinas todo esto, además, con un posicionamiento en precio poco atractivo, obtienes un cóctel que convierte tu oferta en una invitación abierta a que el cliente obtenga el libro en otro sitio. El resumen es claro: en un momento en que los lectores de eBook empiezan a popularizarse, la apuesta de las grandes editoriales españolas es convencer a los posibles clientes de que harán mejor en obtener sus libros a través del P2P, porque hacerlo a través de su canal oficial resulta no solo caro, sino además farragoso. Mala cosa. Mensaje equivocado.

Los libros no necesitan DRM, y prescindir de él, además, ayuda a las ventas. Un libro físico puede prestarse, puede ser leído por varias personas, y no plantea problema de compatibilidad ni de complejidad alguno: simplemente, le dejas el libro a un amigo, y él lo abre y lo lee. Sin más. Plantear una experiencia más compleja es un error igual que el que otras industrias de contenidos ya cometieron antes. Si decides, que seguramente no deberías, usar DRM, este tendría que ser sutil, casi imperceptible. Precisamente, lo que hay que hacer es plantear una experiencia más sencilla: vas a una página, encuentras el libro que buscas, lo descargas, lo pagas, y lo lees. El posicionamiento en precio debería ser suficientemente barato como para que no compensase pasar el trabajo de buscarlo en otro sitio. Que te incrementen el número de pasos percibidos que tienes que dar para conseguir un libro es malo, que te obliguen a instalarte programas para leerlo también lo es, y que te planteen problemas de incompatibilidad, ni te cuento. Ahora es el momento de crear un mercado para el libro electrónico. Si no se hace, después vendrá, como se suele decir, el llanto y crujir de dientes cuando se pretenda detener aquello que se contribuyó involuntariamente a crear y que, seguramente, ya no puede ser detenido.

Mi columna de esta semana en Expansión se titula “Más allá del CRM” (ver en pdf), e intenta ir introduciendo el concepto de gestión de las relaciones sociales de la empresa o Social Relationship Management, lo que resulta de aplicar la filosofía del CRM y sus herramientas de gestión a la información que proviene de la interacción generada a través de la web social. Algo que veremos cada vez más en empresas que además de desarrollar la actitud adecuada al entorno social, quieran manejar su presencia en el mismo con un nivel de sistematización adecuado y profesional.

Por darthje Sobre BOTNETs, PCs Zombies y SPAM Bajo mi punto de vista hay una creciente preocupación por parte de las empresas sobre estos temas. Sin ir mas lejos, en "mi empresa" estamos especialmente preocupados por el SPAM, y se teme a la posibilidad real de que algún equipo de alguna sede forme parte de alguna botnet o sea un PC Zombie, siendo usado para enviar SPAM (entre otras cosas) a todos los clientes. Que por culpa de ese SPAM nos incluyan en "blocklist" y nos bloqueen ocasionando que y la mayoría de los servidores de correo a nivel mundial nos traten como emisores de SPAM, no permitiendo que nuestros clientes reciban los correos que se han enviado de forma legitima desde nuestro servidor. Esta incapacidad para enviar correos a los clientes afectaría negativamente al negocio de la empresa, provocando una perdida efectiva de ingresos debido a que los clientes no han recibido u obtenido la información necesaria. Esto, quizás, pueda parecer paranoia pero es algo real que preocupa a, cada vez, mas empresas y responsables de TI debido, en parte, al temor del uso que los usuarios puedan hacer de Internet...

Leer Más...

Securia SGSI es una herramienta integral que cubre el proceso automático de implantación, puesta en funcionamiento, mantenimiento y mejora continua de un Sistema de Gestión de Seguridad de la Información (SGSI) según la norma internacional ISO 27001. Es software libre con licencia GNU y está disponible para plataformas Windows y Linux.

Leer Más...

Se ha anunciado la existencia de dos vulnerabilidades en los dispositivos Cisco Content Services Switches 11500, que pueden ser explotadas por un usuario malicioso para provocar una denegación de servicio o evitar restricciones de seguridad.