Resumen diario de noticias – 14 de noviembre de 2013
En esta semana, tres de las principales empresas web publicaron parches solo para facilitarles la vida a los administradores.
Además del martes de parches de Microsoft, que incluyó ocho boletines de seguridad, tres de los cuales fueron calificados como críticos y abordaron 19 vulnerabilidades distintas, también hubo parches de Adobe y Google. Posiblemente, el más notable de los parches de Microsoft fue el de día cero de Internet Explorer, que implementa una configuración simple de bit de interrupción que desactiva el control ActiveX afectado «Information Card Signin Helper». Esto fue parcheado con MS13-090.
Tyler Reguly, gerente técnico de investigación y desarrollo de seguridad en Tripwire, dijo: “Los profesionales de TI de todo el mundo tendrán un poco menos de peso sobre sus hombros porque Microsoft envió una solución para el día cero de IE actual. Sin embargo, es importante tener en cuenta que la solución no se encuentra en la actualización acumulativa de IE tradicional (MS13-088), sino en una solución de ActiveX separada (MS13-090) «.
En otras palabras, gracias por el parche, pero no es el parche que queríamos. Ross Barrett, gerente senior de ingeniería de seguridad en Rapid7, dijo que habría «sentimientos encontrados» de alivio y frustración tanto para los administradores de seguridad como para los de Windows, ya que si bien no había parches complicados, no había solución para la vulnerabilidad de Office explotada, que era descrito en el aviso 2896666.
“La realidad es que se trata de una explotación muy limitada y dirigida en una región específica Y requiere la interacción del usuario para explotar, por lo que no me preocuparía demasiado por eso. Los sistemas en riesgo y de alto valor deberían tener ya implementadas las mitigaciones y, de no ser así, le sugiero que investigue EMET. Si teme que corre el riesgo de ser un objetivo, aplique la solución «, dijo Barrett.
Asswords arrebatados, mientras que el esquema de tarjetas de fidelidad LoyaltyBuild también fue atacado y vio 1,5 millones de detalles violados. Entonces, ¿cuál es la respuesta? ¿Se trata de no poner sus datos en ningún sitio web con el argumento de que algún día pueden ser atacados o correr el riesgo? Parece que una estrategia de gestión de riesgos podría ser más que solo para las empresas.
Un alto funcionario del Departamento de Seguridad Nacional dijo que los ataques fracasaron, pero el ataque DDoS, llamado «Destroy Obama Care», fue visto recientemente en un sitio de intercambio de archivos. Arbor Networks, que lo detectó, dijo que no había evidencia de que el programa se hubiera lanzado para atacar el portal federal en problemas para que los consumidores compren cobertura médica, pero se había notado su capacidad. Una vez más, parece que un depósito central de datos es un objetivo fácil y felicitaciones para Obamacare por contener a los atacantes, por ahora.