Sep 30

Salvando nuestro título de este artículo (amarillista?) y esta línea, el resto fue abiertamente levantado de ElManifiesto.com:

Solo los más asiduos cibernautas conocen el entramado de Facebook. Es altamente probable que muchos de sus afiliados pongan el grito en el cielo cuando se enteren del tenebroso propósito que anida tras el sitio web más popular entre los norteamericanos de 17 a 25 años. Empresa virtual que ha logrado penetrar totalmente en el mercado universitario de los Estados Unidos, donde se encuentran registrados ocho de cada diez estudiantes.

Facebook se ha cuadruplicado durante el último año, recibiendo un promedio de 250.000 nuevos miembros todos los días, ninguno de los cuales paga nada por los servicios recibidos. Cabe, por tanto, preguntarse lo siguiente: ¿de obtiene Facebook los recursos para atender 58.000.000 miembros activos que publican en promedio la bobadita de 14.000.000 de fotografías al día y que a día de hoy han colgado unos 2.700 millones de imágenes? Resulta difícil imaginar siquiera el monumental tamaño de sus ordenadores y el elevadísimo coste de tecnología y de gastos salariales que se requiere para alojar y administrar esa colosal cifra de usuarios. Los cuales representan, por ejemplo, más de la mitad de los habitantes de México. Una vez digeridas las astronómicas cifras que rodean a Facebook, tampoco cabe especular con que una empresa que el gigante Microsoft valora en 15.000 millones de dólares se financie exclusivamente con la publicidad. Los entendidos en la materia suponen que por razones fiscales el gobierno norteamericano vigila sus grandes empresas con ojo de águila, lo cual descartaría de plano un posible lavado de dinero, u otro tipo de bandidaje.
¿Entonces cómo diablos lo hacen?La respuesta la revela Ari Melber, miembro de la campaña presidencial 2004 de John Kerry.
Facebook está vendiendo la información de sus usuarios al mejor postor. Citemos textualmente: “Lo que muchos usuarios no saben es que, de acuerdo con las condiciones del contrato que asumen al hacer click en el cuadro ‘acepto’ los usuarios le otorgan a Facebook la propiedad exclusiva y perpetua de toda la información e imágenes que publican”. De hecho, resalta el experto, los afiliados “autorizan a Facebook el uso perpetuo y transferible, junto con los derechos de distribución o despliegue público de todo lo que cuelgan en su página web”. Los términos de lo aprobado al hacer click, sin generalmente leer nada, le reservan a Facebook el derecho a conceder y sublicenciar todo “el contenido del usuario” a otros negocios. Así es como a muchos usuarios les han convertido sus fotografías en publicidad. De repente todo lo que sus afiliados publicaron, incluyendo sus fotografías personales, su inclinación política, el estado de sus relaciones afectivas, sus intereses individuales y hasta la dirección de su casa, se envió sin su autorización expresa a millares de usuarios. El hecho de que Pedrito Pérez alquilara la película Secreto en la Montaña o de que Pepita Jiménez comprara ropita para bebé deja de ser un hecho intrascendente cuando al primero lo echan del colegio por sus posibles inclinaciones homosexuales y a la segunda la despiden del empleo por sospechará que está embarazada. Hay que creer a Mr. Melber cuando asegura que muchos empresarios norteamericanos al evaluar los curriculums que se les presentan, revisan Facebook para conocer intimidades de los solicitantes.
Controlado hasta después de la muerte
La prueba de que una página en Facebook no es para nada privada se evidenció en un sonado caso, cuando la Universidad John Brown expulsó a un estudiante al haber descubierto una foto que colgó en Facebook vestido de travesti. Otra evidencia sucedió cuando un agente del Servicio Secreto visitó en la Universidad de Oklahoma al estudiante de segundo año Saúl Martínez por un comentario que publicó en contra del presidente. Y para colmo de males, el asunto no termina si el usuario se decide retirar. Aun cuando los usuarios cancelan la afiliación, sus fotos e información permanecen en la página, según Facebook, por si deciden reactivar su cuenta. Es más, el usuario no es retirado ni siquiera cuando fallece. De acuerdo con las “condiciones de uso”, los herederos no pueden obligar a que Facebook descuelgue los datos e imágenes de sus deudos, ya que cuando el finado aceptó el contrato virtual, le otorgó a Facebook el derecho de “mantenerlo activo bajo un status especial de conmemoración” por un período de tiempo determinado por la empresa para permitir que otros usuarios puedan publicar y observar comentarios sobre el difunto. “Sepan los usuarios de Facebook que son partícipes indefensos de un escenario que los académicos considern que es el caso de espionaje más grande en la historia de la humanidad.
De paso se convierten de manera inconsciente en inocentes víctimas de la inquisitiva mirada de “Gran Hermano”, el célebre personaje de 1984, la novela de George Orwell, quien al escribirla se pensaba probablemente que estaba creando una obra de ficción…

Sep 30

Pablo Molina, publicaba lo siguiente y creimos importante retomarlo aquí:

La Fundación Mozilla ha informado sobre múltiples vulnerabilidades en varios de sus productos que podrían ser aprovechadas por un atacante remoto para revelar información sensible, perpetrar ataques de cross-site scripting, provocar una denegación de servicio, saltarse restricciones de seguridad o ejecutar código arbitrario en un sistema vulnerable.

A continuación se detallan las vulnerabilidades publicadas:

1- Desbordamiento de búfer causado por URLs codificadas con UTF-8 especialmente manipuladas. Esto podría ser aprovechado por un atacante remoto para ejecutar código arbitrario. Afecta a Firefox 2.x y SeaMonkey.

2- Salto de restricciones de seguridad al no comprobar de forma adecuada la política de mismo origen en nsXMLDocument::OnChannelRedirect(), lo que podría ser aprovechado para ejecutar código JavaScript en el contexto de un sitio web diferente al original. Afecta a Firefox 2.x, Thunderbird y SeaMonkey.

3- Escalada de privilegios y cross-site scripting causado por múltiples errores de validación de entrada en feedWriter. Esto podría permitir que un atacante ejecutase código script arbitrario con los privilegios de chrome (componente principal de Firefox, no confundir con el navegador de Google). Afecta sólo a Firefox 2.x.

4- Un error durante el manejo de las pulsaciones del ratón podría permitir que un atacante moviera el contenido de la ventana mientras el ratón está siendo pulsado, pudiendo causar que un item fuera arrastrado en vez de “clickeado”. Esto podría ser aprovechado para forzar el arrastre de ciertos componentes, lo que permitiría, entre otros efectos, realizar una descarga no solicitada. Afecta a Firefox 2.x, 3.x y SeaMonkey.

5- Múltiples fallos relacionados con XPCnativeWrapper podrían permitir a un atacante remoto ejecutar código script arbitrario con los privilegios de chrome. Afecta a Firefox 2.x, 3.x y SeaMonkey. Podría afectar a Thunderbird si se habilita la ejecución de JavaScript.

6- Múltiples problemas de estabilidad en los motores de diseño, gráficos y JavaScript de los productos Mozilla, que podrían ser explotados para causar una denegación de servicio o incluso ejecutar código arbitrario aprovechando una posible corrupción de memoria. Afecta a Firefox 2.x, 3.x, SeaMonkey y Thunderbird.

7- Cross-site scripting provocado por la interpretación de forma errónea de caracteres BOM (Byte-Order Mark, tres caracteres que se encuentran al principio de un archivo para indicar que está codificado como UTF-8, UTF-16 o UTF-32. Ejemplo:  ). Afecta a Firefox 2.x, 3.x, SeaMonkey y Thunderbird.

8- Errores en el protocolo “resource:” que podrían ser aprovechados para conducir ataques de directorio trasversal y revelar información sensible. Afecta a Firefox 2.x, 3.x, SeaMonkey y Thunderbird.

9- Un error en el decodificador XBM podría permitir la lectura de pequeñas porciones aleatorias de memoria, lo que daría lugar a la revelación de información sensible. Afecta a Firefox 2.x y SeaMonkey.

Se recomienda la actualización de los productos Mozilla a las siguientes versiones no vulnerables: Firefox 2.0.0.17 ó 3.0.2, Thunderbird 2.0.0.17 y SeaMonkey 1.1.12 tan pronto como estén disponibles desde:
http://www.mozilla.com/

Recordamos que también se pueden descargar de forma automática una vez que el propio programa nos avise de que hay una actualización pendiente. Notificación que normalmente llegará entre 24 y 48 horas después de que la nueva versión esté disponible.

Opina sobre esta noticia:
http://www.hispasec.com/unaaldia/3623/comentar

Más Información:

Mozilla Foundation Security Advisory 2008-37:
UTF-8 URL stack buffer overflow
http://www.mozilla.org/security/announce/2008/mfsa2008-37.html

Mozilla Foundation Security Advisory 2008-38:
nsXMLDocument::OnChannelRedirect() same-origin violation
http://www.mozilla.org/security/announce/2008/mfsa2008-38.html

Mozilla Foundation Security Advisory 2008-39:
Privilege escalation using feed preview page and XSS flaw
http://www.mozilla.org/security/announce/2008/mfsa2008-39.html

Mozilla Foundation Security Advisory 2008-40: Forced mouse drag
http://www.mozilla.org/security/announce/2008/mfsa2008-40.html

Mozilla Foundation Security Advisory 2008-41:
Privilege escalation via XPCnativeWrapper pollution
http://www.mozilla.org/security/announce/2008/mfsa2008-41.html

Mozilla Foundation Security Advisory 2008-42:
Crashes with evidence of memory corruption
http://www.mozilla.org/security/announce/2008/mfsa2008-42.html

Mozilla Foundation Security Advisory 2008-43:
BOM characters, low surrogates stripped from JavaScript before execution
http://www.mozilla.org/security/announce/2008/mfsa2008-43.html

Mozilla Foundation Security Advisory 2008-44:
resource: traversal vulnerabilities
http://www.mozilla.org/security/announce/2008/mfsa2008-44.html

Mozilla Foundation Security Advisory 2008-45:
XBM image uninitialized memory reading
http://www.mozilla.org/security/announce/2008/mfsa2008-45.html

Pablo Molina
pmolina@hispasec.com
Sep 30

Un agujero en el sistema de seguridad de Adobe Systems, usado para la descarga y distribución de películas y programas de televisión en Internet, amenaza el negocio de los vídeos online.

El ’software’, empleado por distribuidores de vídeo por Internet, obvia que se trata de contenidos protegidos para aumentar la velocidad. Amazon.como ha sido uno de los principales afectados porque cobra por sus vídeos pero el fallo también permite saltar la publicidad, lo que afecta a webs que obtienen beneficios de la publicidad.
El fallo de seguridad está provocando un aumento de la piratería, que ya saturó la industria de la música durante la era Napster (servicio de distribución de archivos de música), minando el esfuerzo de las cadenas de televisión por tratar de sacar beneficios entre la, cada vez mayor, audiencia de la Red.

Bruce Schneier, experto en seguridad y jefe del departamento de Seguridad Tecnológica de British Telecom, afirmó: “Es un error importante en el diseño de los servidores de Adobe Flash Video. Fue hecho de forma estúpida”. El fallo se encuentra en los servidores de vídeo de Adobe que están conectados a los reproductores de la compañía, instalados en casi todos los ordenadores del planeta que tienen conexión a internet.

El ’software’ de Adobe se conecta a los contenidos de Amazon.com pero no codifica el contenido on-line, sólo se encarga de dar órdenes como ‘Reproducir’ o ‘Parar’. Para aumentar la velocidad de descarga, Adobe eliminó una característica que protege la conexión entre Adobe Software y los reproductores.

Una vez que se identificó el problema, Adobe publicó un boletín de seguridad para ofrecer a sus clientes claves para proteger sus contenidos y bloquear la brecha de seguridad existente mediante una nueva característica que sí verifica la validez de los reproductores empleados. “Adobe se compromete con la seguridad de todos sus productos, desde nuestros reproductores a nuestros servidores de ’software’”, explicó la compañía en el boletín.

Sin embargo, aunque parecía que Amazon.com había solucionado el problema y ya no era posible descargar sus vídeos desde el reproductor más popular para estos menesteres de piratería, el Replay Media Catcher, los usuarios consiguieron hacerlo de nuevo con otros programas.

TAMBIEN SIN PUBLICIDAD

Además, los vídeos que se ofrecen en webs como Hulu.com, CBS.com, o NBC.com ya son gratuitos aunque los programas de televisión están interrumpidos por anuncios publicitarios. Sin embargo, el software de estas webs separa los anuncios y los programas en dos diferentes carpetas, de esta manera la gente podrá ver los shows televisivos sin publicidad.

“El problema fundamental es que Adobe no está permitiendo que los modelos de negocio se mantengan” afirmó el director ejecutivo de Widevine Brian Baker. La carencia de protección en los contenidos, según Baker, amenaza los modelos de negocio que se usan hoy en día para colgar videos en la web. El analista de Forrester James McQuivey aseguró que cree que todo esto es complicado para los usuarios y que los que la gente necesita es “algo fácil de encontrar y fácil de usar”.

Fuente: NoticiasDot.com