Notícias

Bugs

Uma brecha de segurança no Facebook expôs, durante alguns dias desta semana, as datas de nascimento de mais de 80 milhões de usuários ativos, revelou a Sophos.

Pesquisadores de segurança desmentiram a afirmação da Microsoft que a primeira vulnerabilidade crítica do Windows este ano seria “difícil ou improvavelmente” exploradas por hackers.

Nesta terça-feira (29/01), a Immunity atualizou um código eficiente na exploração para falha de TCP/IP divulgada pela Microsoft no boletim de segurança MS08-001, o primeiro deste ano. A empresa especializada em segurança publicou um arquivo em Flash com a demonstração do ataque. O código, divulgado aos clientes de seu software de testes de invasão Canvas, é uma versão revisada daquele apresentado há duas semanas.

“Isso demonstra que a vulnerabilidade em questão é altamente explorável”, afirma Dave Aitel, diretor de tecnologia da Immunity, em uma mensagem enviada à sua lista Dailydave.

A afirmação de Aitel desmente a afirmação feita pela Microsoft de que “existe uma série de fatores que torna a exploração desse bug difícil e improvável de acontecer em condições normais.” Porém, o especialista admite que o novo código não é 100% confiável.

Outras empresas de segurança apoiaram o novo código e emitiram novos alertas a seus clientes. A Symantec, por exemplo, enviou um novo comunicado aos clientes usuários do software DeepSight. “O ataque indica um código de execução remota”, diz a Symantec. “O código funciona contra o Windows XP SP2 English Default, e mostra dois computadores com esta versão do sistema em uma sub-rede local com firewall habilitado.”

No comunicado, a empresa sugere que aqueles que ainda não tenham instalado as correções disponibilizadas pela Microsoft o façam o quanto antes. A companhia divulgou a atualização em 8 de janeiro.

Os ataques bem-sucedidos realizados pela Immunity – e qualquer código semelhante desenvolvido por outras empresas – permitem que um código arbitrário seja executado no contexto do kernel do Windows, segundo explicou a Symantec, um cenário especialmente aplicável ao Windows Vista.

“Ele é especialmente crítico no Vista devido aos mecanismos de segurança de seu kernel”, disse a Symantec. “Um usuário local, mesmo um administrador, pode ter dificuldade para introduzir código nesse kernel. Mas nesse caso, isso pode ser feito remotamente, sem qualquer tipo de autenticação.”

A Symantec diz ainda que “esta vulnerabilidade representa uma oportunidade não apenas para que um código arbitrário seja executado no sistema, mas também para a instalação de backdoors e outras ferramentas maliciosas.”

Em seu boletim de segurança, divulgado no último dia 8, a Microsoft classificou a falha do IGMP (Internet Group Management Protocol) como “crítica” para o Windows XP SP2, Windows Vista, Windows Small Business Server e Windows Home Server. Em outras versões, incluindo o Windows Server 2003, o bug foi classificado como “importante”.

A Cisco está alertando seus clientes sobre uma falha no Cisco Agent software para Windows, recomendando a atualização imediata do aplicativo.

Crackers podem enviar dados maliciosos para o PC criando uma sobrecarga no buffer, o que levaria a pane no sistema.

A empresa de segurança Secunia classificou a falha como “moderadamente crítica”, mas pode ser usada para rodar softwares não autorizados no Windows, alerta a Cisco.

Uma correção para o problema foi divulgada na quarta-feira (05/12). Vários produtos da Cisco utilizam o Agent, incluindo o Cisco Security Manager, Cisco Unified Communications Manager e o Cisco Voice Portal.

A falha afeta principalmente usuários corporativos fora dos Estados Unidos e, teoricamente, pode ser explorada por agentes maliciosos para silenciosamente redirecionar a vítima a um site falso.

Corrigida originalmente em 1999, a falha foi redescoberta recentemente em versões mais recentes do Windows e tornada pública em uma conferência na Nova Zelândia.

“Essa é uma variação daquela vulnerabilidade previamente reportada que se manifesta quando certas configurações são ativadas”, disse Mike Reavey, gerente de grupo no Centro de Resposta de Segurança da Microsoft.

A falha está relacionada com a forma como sistema procura informações de DNS (Directory Name Service) sob certas configurações.

Qualquer versão pode estar em risco, mas a Microsoft publicou um boletim na segunda-feira (03/12) detalhando quais configurações são perigosas. A empresa disse estar trabalhando em uma correção para o problema.

O ataque funciona da seguinte forma: quando o Windows está configurado com seu próprio sufixo DNS (que associa computadores a certos domínios) ele automaticamente busca na rede informações de DNS em um servidor Web Proxy Auto-Discovery (WPAD).

Tipicamente, trata-se de um servidor seguro dentro da própria rede da empresa.

A técnica usada pelo Windows para ajudar o PC a encontrar o servidor WPAD determina que se o sistema não achar um servidor em wpad.corp.idg.co.uk, por exemplo, ele procure em wpad.co.uk, o que significa que ele pode deixar os domínios seguros da rede corporativa e encontrar um PC não seguro.

Segundo Reavey, o problema só afeta clientes com domínios de três níveis ou mais. Segundo o pesquisador neozelandês que descobriu a falha, Cricket Liu, mais de 160 mil PCs são afetados pelo problema.

O número de vulnerabilidades encontradas em plug-ins para navegadores Web mais que dobrou no primeiro semestre deste ano em relação ao total verificado em 2006.

Na primeira metade de 2007, a empresa de segurança Symantec documentou 237 vulnerabilidades do tipo, enquanto em todo o ano de 2006 foram verificadas 108. Cerca de 90% das falhas (89%) encontradas este ano afetaram componentes ActiveX para o Internet Explorer.

No que diz respeito a tendências de ataques, os Estados Unidos foram o país mais visitado por ataques do tipo negação de serviço (DOS), com 61% do total mundial nos primeiros seis meses deste ano. Israel registrou o maior volume de atividade maliciosa por usuário, seguido por Canadá e Estados Unidos.

A China teve o maior percentual de computadores infectados por bots no mundo todo, 29% e Pequim foi a cidade com o maior número de máquinas infectadas pelo mesmo mal.

Apenas dois dias após o Google divulgar o kit de desenvolvimento de software para sua comunidade de desenvolvedores, hackers demonstraram duas formas de alterar conteúdos inseridos por usuários em seus perfis de diferentes redes sociais.

Um hacker conhecido como theharmonyguy conseguiu tanto alterar as imagens de visualização de usuários da rede social Plaxo que incluíram em seu perfil o aplicativo RockYou OpenSocial como ter acesso à lista de amigos de usuários do serviço iLike dentro da rede Ning.

Para provar o hack, theharmonyguy alterou emoticons no perfil do vice-presidente de marketing da Plaxo, John McCrea, e não só teve acesso à lista privada de amigos do fundador da Ning e criador do navegador Netscape, Marc Andreessen, como a compartilhou com o blog TechCrunch.

Segundo o hacker, ambos os hacks levaram juntos cerca de uma hora para que fossem realizados, período de tempo bastante curto para alterações de dados pessoais por um agente externo em um ambiente supostamente seguro.

A premissa mais festejada do OpenSocial é a capacidade que desenvolvedores têm de usar uma API base para a criação de diferentes aplicativos que podem ser adicionados a sete redes sociais que suportam a plataforma - Orkut, LinkedIn, Ning, Hi5, Plaxo, MySpace e Friendster.

Segundo o Google, o OpenSocial obedecerá à mesma política de publicação de conteúdo em outros dos seus serviços online - usuários podem oferecer aplicativos livremente e o buscador fará varreduras constantes para verificar se há códigos maliciosos ali.

De acordo com o hacker, a falha no aplicativo do RockYou continua funcionando, mesmo com alertas de segurança repassados à empresa.

A Microsoft liberou seis boletins de atualização de segurança nesta terça-feira (09/10) para seus produtos, incluindo correções para falhas no Word, Outlook Express, Internet Explorer (IE) e no visualizador de imagens da Kodak que vêm com o Windows.

Ao todo, a atualização corrige nove falhas em produtos Microsoft. Além dos quatro updates críticos, a Microsoft liberou correções “importantes” para o software de colaboração Windows SharePoint e para o uma tecnologia de procedimento de ligação remota (PPC, do inglês remote procedure call).

Uma das correções previstas para este pacote - um update não especificado para Windows 2000 e Windows Server 2003, que a própria Microsoft prometeu na última quinta-feira - não foi inclusa. A correção foi adiada por razões de qualidade, segundo a empresa.

A falha no IE é a mais perigosa, segundo especialistas em segurança.

O livro Securing VoIP Networks (Garantindo a segurança de redes VoIP, na tradução para o português), escrito por Peter Thermos e Ari Takanen, analisa as vulnerabilidades existentes na infra-estrutura de uma rede de voz sobre IP. E muitas das ameaças, segundo eles, dizem respeito a falhas humanas.

Confira aqui as principais vulnerabilidades identificadas pelos autores:

1.Verificação insuficiente de dados: em uma implementação de VoIP, isso permite que usuários entrem na rede para promover ataques.

2. Falhas de execução: bancos de dados padrão são normalmente utilizados como o backbone de serviços de VoIP e seus registros. Na hora da implementação, é preciso olhar com atenção para filtros de conteúdo ativo, como solicitações SQL envolvendo nomes de usuários, senhas e URLs de sessões. A maioria dos problemas relacionados a falhas de execução resulta da má implementação de filtros e programação insegura.

3. Pacotes mal formados, com conteúdo e estruturas inesperadas exsitem em qualquer protocolo de mensagem, incluindo SIP, H.323, SDP, MGCP, RTP e SRTP. A maioria das mensagens mal formadas envolve ataques de buffer overflow. O resultado é que o input dado pelo invasor é escrito sobre outros conteúdos de memória interna, como registros e pointers, que permitirão ao invasor total controle sobre o processo vulnerável.

4. Poucos recursos: especialmente em equipamentos embutidos, os recursos disponíveis para implementações VoIP podem ser muito escassos. Pouca memória e baixa capacidade de processamento podem ajudar o invasor a derrubar os serviços VoIP nesses equipamentos.

5. Pouca largura de banda: o serviço precisa ser criado de forma a suportar a demanda mesmo que todos os usuários decidam utilizá-lo simultaneamente. Um serviço pode receber uma série de falsas solicitações ou mesmo, por engano, carga de usuários reais. Se não tiver capacidade suficiente, o resultado é a paralisação do serviço.

6. Falhas de manipulação de recursos e arquivos: estes são resultados típicos de erros de implementação e programação, e incluem o acesso inseguro a arquivos.

7. Gerenciamento de senhas: a única identificação que um usuário de VoIP tem é o número de seu telefone ou a URL SIP e uma eventual senha para o serviço. A senha é armazenada tanto no cliente quanto no servidor. Se as senhas forem armazenadas no servidor em um formato que possam ser revertidas, qualquer um com acesso a esse servidor pode obter o nome de usuário e a senha referente a ele.

8. Permissões e privilégios: recursos precisam ser protegidos tanto da perspectiva do sistema operacional quanto da plataforma e da rede. Os serviços de VoIP rodando sobre a plataforma precisam levar em consideração os seus privilégios. Um serviço VoIP não necessariamente requer privilégios administrativos para rodar.

9. Criptografia: dados confidenciais precisam ser protegidos de qualquer tipo de ataque. A vulnerabilidade mais comum nesta categoria é não criptografar os dados, mesmo quando os mecanismos de criptografia estão disponíveis.
10. Erros de autenticação e certificados: tantos os usuários quanto os seus equipamentos precisam ser autenticados. Além disso, outros serviços, como gerenciamento de equipamentos, existem nos aparelhos VoIP e também precisam de autenticação do usuário.

11. Erro de registro: o perigo por trás dos erros de registro em implementações SIP aumentam conforme o tamanho do equívoco no momento do registro. Uma mensagem de erro para um telefone inexistente, por exemplo, pode retornar o código 404, quando na realidade deveria ser 401. Essa troca de números pode facilitar ataques.

12. Redes homogêneas: uma vulnerabilidade existente em diversas infra-estruturas de redes é a grande dependência em um número limitado de marcas e aparelhos. Se uma rede inteira depender de uma marca específica de telefones, proxy ou firewall, um ataque automatizado, como vírus ou worms pode paralisar uma rede inteira.

13. Falta de sistema de restabelecimento: quando uma rede de VoIP sai do ar, é necessário que haja um sistema de backup para o qual os usuários possam ser direcionados. Isso requer um planejamento cuidadoso para a infra-estrutura.

14. Qualidade da conexão física: se você perde pacotes em sua infra-estrutura de dados, você provavelmente ainda não está preparado para o VoIP. A latência da rede precisa ser mínima, pois todos os gargalos na comunicação virão à tona no momento em que o VoIP for implementado, mesmo que eles não fossem aparentes com na infra-estrutura de comunicação tradicional.