Ex-trabajador del equipo de seguridad de Google publica una vulnerabilidad en sus productos
La vulnerabilidad no ha sido causada por el propio software de Google, pero sí que afecta a dos de ellos,
concretamente a la versión de la 'Google Toolbar' para el navegador web Firefox,
así como 'Google Browser Sync'. Y es que los
usuarios de estas dos extensiones de Firefox, al igual que los de otras muchas extensiones comerciales (las de código
abierto alojadas en 'https://addons.mozilla.org', no), son susceptibles de poder ser víctimas de una vulnerabilidad
descubierta por Christopher Soghoian,
estudiante de doctorado en seguridad informática que colaboró con Google hasta noviembre de 2006, mes en el que
tuvo un incidente con el FBI.
Soghoian ha descubierto que todas estas extensiones comerciales se descargan de sitios web no seguros (sin 'https'),
situación que provoca que un hipotético atacante sea capaz de forzar al sitio web a descargarse las extensiones
desde servidores que simulan ser los originales pero que en realidad están consiguiendo que el usuario se descargue
un software malicioso. En este vídeo se explica cómo, si
el atacante es capaz de hacernos creer (por ejemplo, alterando la configuración DNS de una conexión WiFi
o modificando el fichero '/etc/hosts') que un servidor está en otra dirección, el navegador web se descarga
cualquier software sin comprobar que se trataba del anterior servidor seguro.
Soghoian recomienda desinstalar estas extensiones, y subraya que los usuarios de
'Google Pack' son los más vulnerables. Además, asegura que,
aunque notificó desde hace casi dos meses a los responsables de Google (además de los de otras firmas, como Yahoo!)
de este incidente, aún no se ha lanzado una nueva versión de sus herramientas que solucione este asunto.
Esta vulnerabilidad no está relacionada con la versión de Firefox que se utilice, y solamente depende de la voluntad
de los desarrolladores de extensiones para implementar servidores seguros para la descarga de este software, tal y
como asegura de hecho la Fundación Mozilla en
este comunicado.
Soghoian trabajó en el Departamento de Seguridad de Aplicaciones de Google, entre los meses de junio y noviembre
de 2006, en las oficinas centrales de Google en California. Durante este tiempo, colaboró en tareas como el
desarrollo de herramientas 'anti-phising', servicios verificación de cuentas para dispositivos móviles, o
análisis de logs para la localización del fraude en los clicks.
Publicado el 05 de junio de 2007 | Categoría: problemas
Puedes dejar un comentario sobre la noticia del post rellenando y enviando el siguiente formulario. Los campos marcados con asterisco (*) son obligatorios.
|
