Ekoparty es el evento anual de seguridad informática que, por sus características únicas y su particular estilo, se ha convertido en un referente para toda Latinoamérica.

Permite a consultores, oficiales de seguridad, investigadores, programadores, técnicos, administradores de sistemas, nerds, curiosos y entusiastas de la tecnología, reunirse y disfrutar de los descubrimientos más importantes en el ámbito de la seguridad informática.

27, 28 y 29 de septiembre, Centro Cultural Konex, Buenos Aires, Argentina.

29 dic. 2016

Hallados tres 0-Day críticos en PHP 7, uno sin parche (Actualiza!)

Investigadores de seguridad de Check Point han descubierto tres vulnerabilidades 0-Day críticas en PHP 7 que podrían permitir tomar el control total sobre el 80 por ciento de los sitios web que ejecutan esta última versión de PHP.
Las vulnerabilidades residen en el mecanismo de serialización de PHP 7, el cual ya había sido encontrado vulnerable en PHP 5, permitiendo comprometer sitios web de Magento, vBulletin, Drupal, Joomla!, Pornhub y otros servidores web en los últimos años. Las vulnerabilidades permiten el envío de cookies y datos manipulados al cliente.

Si bien los investigadores descubrieron defectos en el mismo mecanismo, las vulnerabilidades en PHP 7 son diferentes de las encontradas en PHP 5.
Estos fallos con similares a otra vulnerabilidad (CVE-2015-6832) detallada en agosto por Check Point. Las dos primeras vulnerabilidades permitirían tomar el control total del servidor y la tercera podría explotarse para generar un ataque de negación de servicio (DoS).

Según Yannay Livneh, del equipo de investigación, ninguna de las vulnerabilidades mencionadas estaba siendo utilizada actualmente por atacantes. Los investigadores reportaron las tres vulnerabilidades [PDF] al equipo de seguridad de PHP en septiembre, y este emitió los parches para dos de los tres fallos el 13 de octubre y el 1 de diciembre respectivamente, pero uno de ellos permanece sin parches.

Con el fin de garantizar la seguridad del servidor web, se recomienda a los usuarios que actualicen sus servidores a la última versión de PHP.

Fuente: The Hacker News

0 comentarios:

Publicar un comentario

Gracias por dejar un comentario en Segu-Info
Si vas a dejar una consulta, procura tener habilitado tu perfil en Blogger o deja una forma de contacto.

Gracias por comentar!