Exploit 0-Day para Firefox parchea!

Los delincuentes han estado explotando una vulnerabilidad 0-Day en Firefox para desenmascarar a usuarios del navegador Tor, similar a la que había explotado el FBI durante la investigación de un sitio de pornografía infantil.

El exploit 0-Day se aprovecha de un Javascript diseñado para ejecutar código de forma remota en Windows y a través de un defecto de corrupción de memoria en Firefox.El exploit fue hecho publicó por un administrador en la lista de correo Tor-Talk.

El mensaje revela que el exploit afecta a Firefox y se está utilizando contra los usuarios del navegador Tor Browser, versión re-empaquetada de Mozilla Firefox que permite conexiones a través de la red Tor, para ocultar la dirección IP pública del usuario.

"[El código] consiste en un HTML y un archivo CSS. La funcionalidad exacta se desconoce, pero permite el acceso a VirtualAlloc en kernel32.dll". Esto significa que, cuando se explota con Javascript activado en un equipo Windows, se aprovechar de una vulnerabilidad de corrupción de memoria para hacer llamadas directas a kernel32.dll, lo que permite que el código se ejecute con permisos elevados en Windows.

Los investigadores también encontraron que el exploit realiza conexiones a la IP XXX.39.27.226, un servidor remoto alojado en OVH en Francia. Este servidor ya no está respondiendo en este momento.

Aunque los investigadores aún están analizando el código, un vistazo rápido permite determinar que es muy similar al utilizado por el FBI el año 2013, para tener acceso a sitios de pornografía infantil.

Hasta el momento se cree que la vulnerabilidad afecta desde Firefox 41 hasta la versión actual 50.

Todavía no se sabe quién está detrás del Javascript. Actualiza a Firefox 50.0.2.

Fuente: The Hacker News

Configura tu navegador para mejorar tu privacidad

Como ya comentamos en post anteriores los navegadores web modernos no han sido diseñados para asegurar la privacidad de la web. Los navegadores envía información que te hace único entre millones de usuarios y por lo tanto fáciles de identificar. En un post anterior estuvimos hablando sobre WebRTC y como mejorar la privacidad de nuestro navegador.




En esta ocasión nos daremos unas nociones básicas para configurar nuestro navegador, veamos:

Escribir en la barra de direcciones del navegador about:config
Aparecerá un mensaje alertando que tengamos cuidado con lo que tocamos, no se vaya a romper ni caso, hacer clic en “tendré cuidado, lo prometo”.



A continuación seguimos las siguientes instrucciones:


-privacy.trackingprotection.enabled = true
Se trata de Mozilla una nueva construcción en el seguimiento de protección.
-geo.enabled = false
Deshabilita la geolocalización.
-browser.safebrowsing.enabled = false
Desactiva la protección de phishing y navegación segura de Google.
-browser.safebrowsing.malware.enabled = false
Desactiva el check de malware de Google.
-dom.event.clipboardevents.enabled = false
Digamos que desactiva si alguien, pega o corta algo de una página web, y permite saber que parte de la página había sido seleccionado.
-network.cookie.cookieBehavior = 1
-Deshabilita cookies.
0 = acepta todas cookies por defecto.
1 = sólo se aceptan desde el sitio de origen (bloquea cookies de terceros).
2 = bloquea todas las cookies por defecto.
-network.cookie.lifetimePolicy = 2
Las cookies se eliminan al final de la sesión.
0 = se acepta cookies normalmente.
1 = prompt para cada cookie.
2 = se acepta sólo para la sesión actual.
3 = se acepta para N días.
-browser.cache.offline.enable = false
Deshabilita la caché sin conexión.
-browser.send_pings = false
El atributo podría ser útil para permitir que sitios web de seguimiento de clics de los visitantes.
-webgl.disabled = true
WebGL es un riesgo de seguridad potencial.
-dom.battery.enabled = false
Propietarios de sitios web pueden rastrear el estado de la batería de nuestros dispositivos.
-browser.sessionstore.max_tabs_undo = 0





Fuentes: http://kb.mozillazine.org/Category:Security_and_privacy-related_preferences


http://security.stackexchange.com/questions/13799/is-webgl-a-security-concern