Microsoft encuentra 1.800 agujeros en Office


Los desarrolladores de Office han localizado más de 1.800 agujeros en Office 2010 sin solucionar tras ejecutar millones de pruebas de las denominadas fuzzing. Microsoft aclara que no todos los fallos comprometen la seguridad de la suite.





Según explica Tom Gallagher, del equipo Trustworthy Computing de Microsoft, estas pruebas fuzzing son una práctica que llevan a cabo tanto los desarrolladores de software como los investigadores de seguridad cuando buscan agujeros en las aplicaciones. Para ello, insertan datos en analizadores de formatos de archivos para ver dónde fallan los programas. Debido a que algunos errores pueden ser posteriormente atacados con éxito para romper el software, permitiendo a un atacante insertar código maligno en la aplicación, estas prácticas fuzzing son de gran interés tanto para los investigadores, ya sean criminales o con objetivos legítimos, a la hora de localizar vulnerabilidades de seguridad.

“Hemos localizado, y solucionado, 1.800 agujeros en el código de Office 2010", explica Gallagher, quien, tras reconocer que es “un gran número”, destaca que “lo importante es que no significa que hayamos encontrado 1.800 problemas de seguridad, puesto que también hemos solucionado aspectos que no conciernen a la seguridad de la aplicación”.

Gallagher declinó, en cualquier caso, cuantificar el número de agujeros localizados por estas técnicas que sí podrían ser considerados vulnerabilidades. Algunas de ellas ya han sido solucionadas en versiones anteriores de la suite ofimática puesto que la información obtenida con los análisis fuzzing del código de Office 2010 fue contrastada con el código de esas versiones anteriores (como Office 2007 y 2003) y parcheadas durante el desarrollo de Office 2010.
Así, los agujeros descubiertos en la última versión que no afectan a la seguridad pero que ya existían en versiones anteriores serán solucionados en los próximos Service Pack que prepara la compañía, asegura Gallagher.

Microsoft ha sido capaz de encontrar tal cantidad de agujeros utilizando no sólo máquinas de su laboratorio, si no también PC infrautilizados o sin trabajo dentro de la empresa. Un concepto que tampoco es nuevo. El proyecto Search for Extraterrestrial Intelligence fue el primero en popularizar esta práctica, que también se utiliza en investigaciones médicas o para localizar el mayor número primo.

Tal y como explica Gallagher, “lo llamamos una red botnet para fuzzing”, en referencia a lo que la propia Microsoft ha denominado Distributed Fuzzing Framework (DFF). Así, el software cliente instalado en las máquinas de la red de Microsoft automáticamente detecta cuándo un PC está sin trabajo, como los fines de semana, y lo aprovecha para realizar estos tests fuzzing. “Podemos hacer millones de operaciones de este calibre cada semana”, explica Gallagher, quien calcula que, en algunos casos, se superan los 12 millones de operaciones.

Aunque todo el equipo de desarrollo de Office utiliza esta red DFF, no todos los grupos dentro de Microsoft explotan sus posibilidades. En estos momentos, SharePoint, MSN y las búsquedas con Fast han probado este sistema, pero no los desarrolladores de Windows, por ejemplo.

Fuente:
Autor: PCWORLD PROFESIONAL
http://www.csospain.es



Otras noticias de interés:

Redes eléctricas vulnerables a ataques informáticos
HoustonChronicle.com ha publicado(*) que después del apagón sufrido en agosto en regiones de la costa este estadounidense se han puesto en marcha mejoras que dejan el suministro de electricidad vulnerable a diferentes tipos de peligros....
Alertan de webs que conectan con 906 y teléfonos de tarificación adicional
La Unión de Consumidores de Aragón (UCA-UCE) alerta a los usuarios de Internet de la existencia de sitios web que conectan a un número 906 de tarificación adicional sin previo aviso. Este hecho da lugar cada año a centenares de denuncias y supon...
Microsoft publicará dos boletines de seguridad
Siguiendo con su ciclo habitual de publicación de parches de seguridad los segundos martes de cada mes, Microsoft publicará el próximo 10 de mayo dos boletines de seguridad, correspondientes a los boletines MS11-035 y MS11-036, con un número inde...
DistroWatch: Linux Mint, ya es número la 1
Era de esperar que esta genial distribución despúes de la locura de Canonical de usar Unity como su escritorio por defecto, muchos de los usuarios migraran a esta excelente distribución. Cabe decir que LinuxMint está basada en Ubuntu....
Crecen estafas al enviar SMS a páginas de descargas de software
En principio la obtención del programa se anuncia como gratuita, pero después se obliga a pagar al usuario, que no siempre recibe la descarga....
Phishing 2.0, nuevas formas de ataque por medio de DNS
Investigadores del Instituto de Tecnología de Georgia, en conjunto con Google, están estudiando una nueva forma de ataque virtualmente indetectable y que permite controlar lo que alguien hace en Internet....
Rechazan apelación de Microsoft sobre patente de FAT
Una vez más, la Oficina Estadounidense de Patentes y Marcas ha rechazado la solicitud de Microsoft de patentar FAT. Sin embargo, los círculos de desarrolladores de Linux aún no pueden cantar victoria. ...
VENENUX nueva distribución GNU/Linux Venezolana
VENENUX esta basada en Debian, es un live cd originalmente, tambien es una metadistro instalable, con repositorios y paquetes de software desarrollados propiamente para fines especiales que distingen y potencian la distro....
El 50% de los ISP temen la seguridad de IPv6
Casi la mitad de los proveedores de Internet (ISP) creen que podrían surgir nuevas amenazas con el despliegue de la nueva versión del Protocolo Internet (IPv6)....
Qué es Crimeware?
Crimeware es un tipo de software o programa informático que ha sido específicamente diseñado para la ejecución de delitos financieros en entornos on-line. El término fue creado por Peter Cassidy, Secretario General del Anti-Phishing Working Grou...

Brindanos
un o una


Redes Sociales

Publicidad


Gana Bitcoins desde tu casa

Categorías


Planeta Vaslibre

Blog Roll




Nube de tags

  • agujeros
  • anonimato
  • anonimo
  • antivirus
  • apache
  • blog
  • bsd
  • bug
  • centos
  • chrome
  • cifrado
  • computer
  • debian
  • encuentra
  • exploits
  • fedora
  • fice
  • firefox
  • forense
  • freebsd
  • gentoo
  • github
  • gnome
  • gnu
  • gpl
  • gtk
  • hack
  • hacking
  • hosting
  • informatica
  • internet
  • isos
  • libre
  • licencias
  • linux
  • linuxmint
  • lxde
  • micros
  • mint
  • mit
  • mozilla
  • mysql
  • noticia
  • opensource
  • pgp
  • php
  • sabayon
  • seguridad
  • system
  • tecnologia
  • thunar
  • thunderbird
  • tor
  • troyanos
  • tware
  • ubuntu
  • underground
  • vaslibre
  • virus
  • viserproject
  • vivaldi
  • vulnerabilidades
  • web
  • website
  • windows
  • xanadu
  • xfce
  • xombra