ElevenPaths Boletín semanal de ciberseguridad 16-22 enero Actualización del compromiso de SolarWinds Se han dado a conocer nuevos detalles acerca del compromiso a la cadena de suministro de software desvelado en diciembre: Los investigadores de FireEye han publicado...
Amador Aparicio CVE 2020-35710 o cómo tu RAS Gateway Secure revela el espacio de direccionamiento interno de tu organización Parallels RAS (Remote Application Server), es una solución de entrega de aplicaciones e infraestructura de escritorio virtual (VDI) que permite a empleados y clientes de una organización acceder y...
ElevenPaths ElevenPaths en la RootedCON Valencia El congreso RootedValencia 2017 celebra su cuarta edición durante los días 15 y 16 de septiembre de 2017 en la Fundación Universidad-Empresa de la Universitat de València (ADEIT). ...
ElevenPaths ElevenPaths Talks: Gestión de monitoreo y alerta ¡VER EL WEBINAR AQUÍ! ¡Vuelven los #11PathsTalks! Hoy, 12 de octubre, dos de nuestros CSAs, Pablo San Emeterio desde España y Diego Espitia desde Bogotá, hablarán sobre conceptos generales de...
Gonzalo Álvarez Marañón Criptografía chivata: cómo crackear dispositivos inviolables La llave de seguridad Titan de Google o la YubiKey de Yubico son el último grito en seguridad de autenticación multifactor. Según la propia página de Google: «Las llaves cuentan...
ElevenPaths Boletín semanal de ciberseguridad 16-22 enero Actualización del compromiso de SolarWinds Se han dado a conocer nuevos detalles acerca del compromiso a la cadena de suministro de software desvelado en diciembre: Los investigadores de FireEye han publicado...
ElevenPaths Telefónica and ElevenPaths extends its cybersecurity offering to the IoT environment Telefónica and ElevenPaths present at MWC the first technology for detecting and analysing threats Telefónica and ElevenPaths will present at Mobile World Congress, that begins on 22nd February in Barcelona ,...
ElevenPaths El malware para Android se exagera… según la propia Google Normal 0 21 false false false ES X-NONE X-NONE MicrosoftInternetExplorer4 /* Style Definitions */ table.MsoNormalTable {mso-style-name:”Tabla normal”; mso-tstyle-rowband-size:0; mso-tstyle-colband-size:0; mso-style-noshow:yes; ...
Gonzalo Álvarez Marañón Criptografía chivata: cómo crackear dispositivos inviolables La llave de seguridad Titan de Google o la YubiKey de Yubico son el último grito en seguridad de autenticación multifactor. Según la propia página de Google: «Las llaves cuentan...
ElevenPaths Boletín semanal de ciberseguridad 16-22 enero Actualización del compromiso de SolarWinds Se han dado a conocer nuevos detalles acerca del compromiso a la cadena de suministro de software desvelado en diciembre: Los investigadores de FireEye han publicado...
Área de Innovación y Laboratorio de ElevenPaths Cinco herramientas de ElevenPaths muy interesantes que quizás te hayas perdido (y una sorpresa) Vamos a hacer una entrada de blog de refrito, recopilando algunas de las herramientas propias que hemos desarrollado en los últimos tiempos y que consideramos interesantes. Resumimos sus funcionalidades...
ElevenPaths Nuestros nuevos productos de identidad y privacidad se llaman SealSign y SmartID El pasado 16 de octubre fue una fecha muy especial para nosotros. Por muchos motivos, pero sobre todo porque ese día, bajo el marco del evento Security Innovation Day,...
Un repaso a las mejores técnicas de hacking web que nos dejó el 2018 (II)David García 18 marzo, 2019 La semana pasada publicamos la primera parte del ranking de mejores técnicas de 2018, y hoy os traemos la segunda. Recordemos, se trata de una clasificación ajena al OWASP Top 10, más enfocada a resaltar aquellas técnicas asociadas a las aplicaciones web que se publicaron a lo largo de 2018. La seguridad web es un campo en continuo movimiento y agitación. Cada día, salen a la luz nuevos fallos en frameworks, bibliotecas o aplicaciones conocidas y muy usadas; si bien muchas de ellas ni tan siquiera llegan al rango de obtención de un CVE, un grupo de ellas tiene el privilegio de descubrir una nueva técnica o mejorar ostensiblemente alguna de las existentes. 5.- Attacking ‘Modern’ Web Technologies El investigador Fran Rosen, presentó una charla dentro de las conferencias AppSec Europe, organizadas por la OWASP, en las que dio un repaso a las técnicas de explotación de las nuevas capacidades de lo que llamamos Modern Web; basadas sobre todo en las nuevas APIs de persistencia, websockets. Una charla que no te dejará indiferente, sobre todo porque te hace entender que estamos entrando en una nueva era donde las inyecciones clásicas o las inclusiones de archivos locales han quedado anticuadas (aunque por supuesto, no erradicadas). 4.- Prototype pollution attacks in NodeJS applications En este caso, Olivier Arteau, encuentra una interesantísima forma de ejecutar código arbitrario en aplicaciones NodeJS, lo cual nos lleva a lado del servidor, a través del abuso de la propiedad __proto__ del objeto predefinido ‘Object’ del lenguaje JavaScript; algo que hasta ahora solo se había considerado en el lado del cliente. 3.- Beyond XSS: Edge Side Include Injection En esta investigación, Louis Dion-Marcil, nos muestra la explotabilidad de ESI (Edge Side Include), un lenguaje basado en XML que permite indicar a los proxy caché qué partes de una página debe y no debe cachear. Un escenario que permitió al investigador abusar de esa funcionalidad para ejecutar ataques de SSRF (Server Side Requests Forgery) y evadir la protección HTMLOnly que impide la manipulación de las cookies con JavaScript. 2.- Practical Web Cache Poisoning: Redefining ‘Unexploitable La técnica número dos viene de James Kettle, empleado de PortSwigger, y aunque en un primer momento él mismo se autodescartó, la comunidad decidió que su calidad era merecedora de romper las reglas de la propia clasificación (que impiden que los empleados de PortSwigger compitan en el ranking con sus investigaciones). En este caso, James, muestra cómo explotar la caché web (exacto, la misma caché que la entrada anterior) para envenenarla y causar la inyección de contenido arbitrario en terceros. Interesante técnica e investigación con un gran impacto en la seguridad de las arquitecturas web actuales. 1.- Breaking Parser Logic: Take Your Path Normalization off and Pop 0days Out! El ganador de la edición de este año, presentado en la DEF CON pasada por Orange Tsai (presentación en slides disponible aquí). Una nueva técnica de explotación apoyada en la normalización de rutas que, aunque pretende adecuar el uso de URLs y rutas para evitar abusos, su inherente complejidad y múltiples implementaciones termina por pasarle factura. Desde frameworks, librerías, lenguajes de programación, etc, cada implementación propia de la normalización de rutas esconde un potencial problema de seguridad que puede ser explotado. Incluso en algunos casos con una tremenda simpleza, dando lugar a impactos que van desde la evasión de restricciones y controles de seguridad hasta la ejecución de código arbitrario. Por cierto, no perdáis de vista el trabajo de este investigador que también fue el ganador de la edición 2017 del ranking. Hasta aquí nuestro repaso a las mejores técnicas de 2018 en seguridad web. Como hemos comprobado, cada vez aumenta más la complejidad de este tipo de técnicas, en consonancia con el vertiginoso progreso de las tecnologías web. Tanto para un investigador de seguridad web o para un auditor o devops que tenga por cometido defender la infraestructura, es crucial estar al día con este tipo de técnicas, puesto que no podemos dudar que serán usadas y aprovechadas para explotarlas para lucrarse con ello. Primera parte del análisis: » Un repaso a las mejores técnicas de hacking web que nos dejó el 2018 (I) ¿Cómo hemos vivido la RSA Conference 2019? Haciendo la seguridad más humanaLa falacia de la tasa base o por qué los antivirus, filtros antispam y sondas de detección funcionan peor de lo que prometen
Gonzalo Álvarez Marañón Criptografía chivata: cómo crackear dispositivos inviolables La llave de seguridad Titan de Google o la YubiKey de Yubico son el último grito en seguridad de autenticación multifactor. Según la propia página de Google: «Las llaves cuentan...
ElevenPaths Boletín semanal de ciberseguridad 16-22 enero Actualización del compromiso de SolarWinds Se han dado a conocer nuevos detalles acerca del compromiso a la cadena de suministro de software desvelado en diciembre: Los investigadores de FireEye han publicado...
Diego Samuel Espitia Detectando los indicadores de un ataque En seguridad siempre optamos por implementar mecanismos de prevención y disuasión, más que de contención. Sin embargo, la implementación de estos mecanismos no siempre son eficaces o sencillos de...
Amador Aparicio CVE 2020-35710 o cómo tu RAS Gateway Secure revela el espacio de direccionamiento interno de tu organización Parallels RAS (Remote Application Server), es una solución de entrega de aplicaciones e infraestructura de escritorio virtual (VDI) que permite a empleados y clientes de una organización acceder y...
Área de Innovación y Laboratorio de ElevenPaths #CyberSecurityReport20H2: Microsoft corrige muchas más vulnerabilidades, pero descubre bastantes menos Existen muchos informes sobre tendencias y resúmenes de seguridad, pero en ElevenPaths queremos marcar una diferencia. Desde el equipo de Innovación y Laboratorio acabamos de lanzar nuestro propio informe...
ElevenPaths ElevenPaths Radio 3×07 – Entrevista a Mercè Molist ¿Conoces la historia del hacking en España? Primero debemos conocer su ética, su forma de vida y de pensamiento, su cultura… Para hablar sobre hackers y hacking en España, tenemos...