Hackear cualquier cuenta de Facebook: vulnerabilidad Día Cero encontrada
Las fallas de seguridad en redes sociales pueden tener consecuencias desastrosas para las personas debido a su uso masivo y a la cantidad de información confidencial que circula por estas plataformas. Amol Baikar, investigador especialista en análisis de vulnerabilidades ha reportado el hallazgo de una vulnerabilidad día cero en una función de inicio de sesión en Facebook que debería ser considerada de gran seriedad para los usuarios.
La vulnerabilidad está relacionada con la función “Iniciar sesión con Facebook” está basada en el protocolo de autorización Open Authorization 2.0 (OAuth 2.0) para realizar un intercambio de tokens entre el sitio oficial de la red social y sitios de terceros. De ser explotada, la falla permitiría a un actor de amenazas tomar control del flujo de OAuth y extraer el token de acceso, comprometiendo las cuentas de los usuarios.
El kit de desarrollo de software (SDK) de Facebook para JavaScript utiliza el endpoint “/connect/ping” para generar un token de acceso y redirigir una URL configurada a “XD_Arbiter”, que está en la lista blanca de todas las aplicaciones de forma predeterminada. En segundo plano, el SDK de inicialización crea un iframe proxy para la comunicación entre dominios. Continúa leyendo en https://noticiasseguridad.com/vulnerabilidades/.
Android 11 mejorará la seguridad y privacidad como asunto prioritario
Google ha publicado la primera compilación pública de Android 11 (Developer Preview), la próxima versión mayor del sistema operativo móvil cuya edición final estable está prevista para el próximo otoño.
Con la mejora del soporte para los nuevos factores de forma como los plegables y el correspondiente a las nuevas redes 5G como grandes novedades, Google no olvida el apartado de la ciberseguridad en Android 11. Y es obligado teniendo en cuenta el alcance de una plataforma que arrasa en movilidad y entrega cada año 1.400 millones de nuevos smartphones, más todo lo que llega de las actualizaciones.
De esta manera, Google ha extendido las estrategias de defensa de Android en más áreas del sistema y ha agregado nuevas funciones y API para aplicaciones. También ha ampliado el soporte biométrico a una amplia gama de maneras y dispositivos; ha implementado bloqueos en el acceso a la memoria y ha reforzado el almacenamiento seguro y el uso compartido de datos y credenciales de identidad.
Novedades de Android 11 en seguridad
Una de las grandes novedades es Scoped Storage. Es una nueva función que proporcionará a cada aplicación su propio espacio de almacenamiento aislado en lugar de proporcionarles acceso a todo el sistema de archivos. Ello evitará que servicios y apps revisen cualquier otro archivo de los terminales.
En privacidad, Android 11 estrenará una función de permiso único para los tipos de datos más confidenciales, no solo para la ubicación, sino también para el micrófono y la cámara del dispositivo. Los usuarios podrán otorgar acceso temporal cada vez que una aplicación quieran acceder a los datos. Continúa leyendo en https://www.muyseguridad.net/
Vulnerabilidad Día Cero en los caracteres homoglifos latinos afecta a todas las Aplicaciones Web
Los errores tipográficos (también conocidos como typos), son muy comunes entre los usuarios de tecnología, por lo que los actores de amenaza buscan sacar ventaja de estos descuidos, creando sitios web de nombres parecidos a otros cambiando solo algunos caracteres, a los que esperan atraer a los usuarios desprevenidos, mencionan especialistas en ciberseguridad.
Acorde a un reciente informe, esta práctica ha sido llevada un paso adelante con el hallazgo de una vulnerabilidad día cero que emplea símbolos homoglifos latinos, muy parecidos a letras, para crear sitios web maliciosos y de phishing.
Matt Hamilton, especialista en ciberseguridad, publicó un documento en el que detalla cómo algunos caracteres homoglifos del alfabeto fonético internacional latín son empleados por actores de amenaza por su notable parecido con letras del alfabeto común. Por ejemplo, el símbolo de la oclusiva velar sonora es prácticamente igual que la letra “g” minúscula, la letra latina alpha es muy parecida a una “a” minúscula, entre muchos otros ejemplos.
Los cibercriminales aprovechan el parecido entre estos caracteres y las letras del alfabeto convencional para crear sitios web maliciosos reemplazando las letras similares. Por ejemplo, un actor de amenazas puede registrar el sitio web “gameplanet.com”, reemplazando la letra “g” con el símbolo de la oclusiva velar sonora; el cambio es indetectable a simple vista, por lo que los usuarios podrían caer fácilmente en la trampa.
Continúa leyendo en https://noticiasseguridad.com/vulnerabilidades/.
Contact Form 7 contiene vulnerabilidad crítica: más de 5 millones de sitios web de Wordpress afectados
Los reportes sobre vulnerabilidades en plugins de WordPress se han vuelto algo cotidiano y, si bien la mayoría de estas fallas son detectadas a tiempo, este no es el único factor clave para evitar su explotación. Una firma de ciberseguridad ha reportado el hallazgo de una nueva falla en Contact Form 7, un popular plugin para la creación de múltiples formularios. De ser explotada, esta vulnerabilidad permitiría a los acores de amenazas realizar una escalada de privilegios en el sitio vulnerable.
Un hacker que logre explotar la vulnerabilidad podría realizar diversas actividades maliciosas, como la modificación del contenido, redirección de los visitantes a sitios desconocidos, robo de información e incluso podría tomar control total del sitio objetivo y bloquear el acceso al administrador legítimo. Por si fuera poco, Google podría detectar esta conducta anómala y bloquear el sitio de forma arbitraria, complicando el proceso de recuperación.
El contenido de Contact Form 7 se almacena en una carpeta llamada wp-content en cada sitio de WordPress; esta carpeta contiene datos relacionados al contenido del sitio, pero no almacena información confidencial. Acorde a los especialistas en ciberseguridad, si un hacker logra acceder a los archivos fuera de esta carpeta, el usuario objetivo se enfrenta a múltiples problemas de seguridad debido al carácter confidencial de su contenido.
Se supone que solo los administradores de sitios pueden modificar el contenido de las formas creadas con Contact Form 7, función controlada por un parámetro llamado capability_type, que define los permisos de usuario. Una falla de seguridad en este parámetro permite a cualquier usuario, sin importar su nivel de privilegios, realizar cambios en los formularios. Continúa leyendo en https://noticiasseguridad.com/vulnerabilidades/.
Si te interesan las noticias de seguridad, te recomendamos que accedas a nuestro foro de seguridad.
¡Hasta pronto!
