Yubico recuerda las claves de seguridad de nivel gubernamental debido a un error de seguridad

Si usted compra una clave de seguridad de nivel gubernamental lo único que realmente quiere es la seguridad de nivel gubernamental

Actualizacion beta de Facebook 226.0.0.25.120

Como más de dos mil millones de personas usan Facebook cada día, nadie debería sorprenderse al descubrir que la aplicación de las redes sociales también se actualiza a diario

Como instalar ShowBox en telefonos inteligentes

Entre las aplicaciones de descarga y descarga de medios más populares y queridas, se encuentra ShowBox. ShowBox es una aplicación de terceros y no se puede encontrar en Google Play Store, pero debe descargar el archivo APK.

El sistema operativo HongMeng de Huawei es mas rapido que Android

Al principio se llamaba HongMeng OS otros informes han declarado que se llamará Ark OS.

Samsung Galaxy Fit disponible en los Estados Unidos

El rastreador de ejercicios portátil Galaxy Fit de Samsung se anunció durante el Mobile World Congress de este año en febrero, y luego, por un tiempo, parece que Samsung se ha olvidado de eso

Linkedin esta lleno de espias

¿Qué tipo de usuario de LinkedIn eres? ¿El tipo que solo acepta solicitudes de conexión de personas que conoce? ¿O un aceptador de mantas que se conecta a todos los que preguntan?

Huawei coloca anuncios en pantallas de bloqueo

Como si Huawei no tuviera ya suficientes problemas en los Estados Unidos y en otros lugares, la compañía comenzó a mostrar anuncios en la pantalla de bloqueo de varios teléfonos, incluido el modelo P30 Pro.

Microsoft dice que el bloqueo de anuncios seguira siendo una caracteristica clave de su navegador

Microsoft está cambiando su navegador al motor Chromium y, dados los cambios que Google podria estar planeando hacer a los bloqueadores de anuncios, muchos creyeron que Microsoft Edge también se veria afectado.

Microsoft crea una pluma de superficie flexible que puede usar en sus orejas

Microsoft es uno de los más grandes partidarios de los estiletes, ya que la línea completa de productos de Surface se basa en ellos, por lo que no es necesariamente una sorpresa que la compañía esté buscando formas de mejorar aún más estos dispositivos.

Lanzado Mozilla Thunderbird 60.7.1

Mozilla ha lanzado una nueva actualización para el cliente de correo electrónico Thunderbird en las plataformas de escritorio compatibles, a saber, Windows, Linux y macOS.

Segun los analistas el iPhone 11 no vale la pena

La próxima generación de iPhone saldrá en septiembre , y una nueva nota de inversionista compartida por la firma de análisis Mizuho Securities dice que el dispositivo podría no traer nada que valga la pena esperar.

Las URL de Twitter se pueden manipular para difundir noticias y estafas falsas

La forma en que Twitter crea las direcciones URL de un tweet se puede abusar con propósitos sin escrúpulos que van desde la ejecución de campañas de desinformación hasta la propagación de malware o engañando a los usuarios para que accedan a una página web maliciosa.

Cisco IOS XE recibe una correccion contra una falla de alta severidad

Cisco lanzó una versión actualizada de su software IOS XE para corregir una vulnerabilidad de falsificación de solicitudes (CSRF) de alta severidad entre sitios. Demo exploit código está disponible.

Servidores de correo Exim estan siendo atacados

Millones de servidores de correo que ejecutan versiones vulnerables del Agente de transferencia de correo de Exim (MTA) se encuentran actualmente bajo asedio

Hackers infectan empresas con CryptoMiners utilizando herramientas NSA

Los investigadores de seguridad han descubierto una campaña de cryptojacking en curso que infecta computadoras de empresas de todo el mundo sin parches con los mineros de XMRig Monero utilizando el kit de herramientas de exploit filtrado del grupo Equation.

Primera compilacion de Windows 10 con kernel nativo de Linux

La compañía se comprometió a agregar un kernel nativo hace varios meses, como un reemplazo más robusto para la versión más basada en emulaciones en las versiones actuales

CERN abandona Windows para ahorrar dinero

El año 2018 la compañía lanzó el Proyecto de alternativas de Microsoft para examinar formas en que la empresa podría trabajar de manera más inteligente al cambiar a sistemas operativos basados ​​en Linux

Hay un telefono que puedes usar con el lapiz de la Surface de Microsoft

Si estás en el mercado buscando un teléfono inteligente que funcione con un lápiz, tus opciones son increíblemente limitadas y la mayoría de los clientes terminan comprando el Samsung Galaxy Note.

Aplicaciones web y servidores JavaScript vulnerables a ataques ReDoS

Las aplicaciones web JavaScript y los servidores web son susceptibles a un tipo específico de vulnerabilidades / ataques conocidos como denegación de servicio de expresión regular ReDoS

Estas vulnerabilidades tienen lugar cuando un atacante envía fragmentos de texto grandes y complejos a la entrada abierta de un servidor web o aplicación basados ​​en JavaScript.

Si el componente del servidor o una biblioteca de aplicaciones no están diseñados específicamente para manejar varios casos extremos, la entrada del atacante puede terminar bloqueando toda la aplicación o el servidor por segundos o minutos a la vez, mientras el servidor analiza y compara el patrón con la entrada.

Varios lenguajes de programación y tecnologías de servidor web tienen problemas similares con el rendimiento de operaciones de coincidencia de patrones y ataques ReDoS, pero son enormemente exagerados en el caso de JavaScript debido al modelo de ejecución de un solo subproceso de la mayoría de los servidores JavaScript, donde cada solicitud es manejada por el mismo hilo.

Cuando se produce un ataque ReDoS, esto termina obstruyendo todo el servidor, en lugar de ralentizar una operación en particular.

Ataques ReDoS conocidos desde 2012 pero cobrando impulso

Los ataques ReDoS en el caso de los servidores JavaScript se detallaron por primera vez en un documento de investigación publicado en 2012, pero en aquel entonces, JavaScript, y Node.js, en particular, no eran tan gigantescos como en la escena de desarrollo web, por lo tanto, este problema particular fue ignorado en gran parte durante otra mitad de la década.

La investigación posterior publicada en 2017 reveló que el 5% de las vulnerabilidades totales encontradas en las bibliotecas y aplicaciones de Node.js eran vulnerabilidades ReDoS.

Pero según una investigación presentada en una conferencia de seguridad la semana pasada, el problema de ReDoS está ganando impulso en la comunidad de JavaScript porque no se ha tratado durante tantos años.

Cristian-Alexandru Staicu y Michael Pradel, dos académicos de la Universidad Técnica de Darmstadt, Alemania, dicen haber encontrado 25 vulnerabilidades desconocidas hasta ahora en los populares módulos Node.js.

Los dos dijeron que un atacante podría crear paquetes de exploits especiales y atacar sitios web / servidores usando cualquiera de estas 25 bibliotecas.

Enviar paquetes de exploits hace que cualquiera de los sitios vulnerables se congele entre unos segundos e incluso minutos, ya que el servidor intenta hacer coincidir el texto contenido en el exploit con un patrón de expresión regular ( regex ) para decidir qué hacer con el entrada. Tales filtros regex en los campos de entrada son comunes, ya que son la base de muchos filtros XSS.

Pero aunque un ataque es malo, enviar paquetes de exploits repetidos al mismo servidor puede causar periodos de inactividad prolongados.

Casi 340 sitios vulnerables a ataques ReDoS

Staicu y Pradel dicen que la razón principal de estos defectos es la falta de atención al rendimiento del ajuste de expresiones regulares, ya que la mayoría de los desarrolladores parecen estar enfocados en la precisión, dejando grandes agujeros en su código que los atacantes pueden explotar usando ataques ReDoS.

Los dos también llevaron su investigación un paso más allá. Idearon un método para detectar estas vulnerabilidades en sitios web en vivo sin utilizar realmente el código de explotación ReDoS.

Utilizaron este método para escanear 2.846 sitios populares basados ​​en Node.js, revelando que 339 -aproximadamente 12% - eran vulnerables a al menos una vulnerabilidad ReDoS.

"ReDoS representa una seria amenaza para la disponibilidad de estos sitios", dijo el equipo de investigación. "Nuestros resultados son un llamado a las armas para el desarrollo de técnicas para detectar y mitigar vulnerabilidades ReDoS en JavaScript".

Algunos problemas ReDoS fueron parcheados

El equipo de investigación de TU Darmstadt informó todas las vulnerabilidades a los desarrolladores de módulos respectivos, algunos de los cuales abordaron los problemas. Este repositorio de GitHub contiene exploits de prueba de concepto para probar las bibliotecas vulnerables pero también enlaces a las correcciones apropiadas para los módulos afectados.

Además de JavaScript, también se sabe que Java se ve afectado por los ataques ReDoS. En 2017 , investigadores de la Universidad de Texas en Austin crearon una herramienta llamada Rexploiter, que utilizaron para encontrar 41 vulnerabilidades ReDoS en 150 programas Java recopilados de GitHub.