Seguridad
Defensa contra el malware
Tener una sólida estrategia de defensa contra el malware es fundamental para cualquier empresa que quiera evitar el tiempo de inactividad.
admin
febrero 7, 2023
Las recientes actualizaciones de Apple Safari y Google Chrome han sido noticia porque han corregido misteriosos exploits de día cero que se estaban utilizando activamente. Sin embargo, esta semana también se ha realizado la última actualización de Firefox, que llegó como siempre el martes, cuatro semanas después del último lanzamiento programado con un número de versión completo.
Como es habitual, el equipo de Mozilla asignó dos números CVE generales a los fallos que encontraron y corrigieron utilizando técnicas proactivas como el fuzzing, en el que el código con fallos se analiza automáticamente en busca de fallos, se documenta y se parchea sin esperar a que alguien descubra lo peligrosos que pueden ser esos fallos:
Como de costumbre, Mozilla es lo suficientemente claro como para hacer el simple pronunciamiento de que:
Algunos de estos fallos mostraban evidencias de corrupción de memoria y suponemos que con suficiente esfuerzo algunos de ellos podrían haber sido explotados para ejecutar código arbitrario.
Como hemos explicado antes, la versión de soporte extendido de Firefox está dirigida a los usuarios domésticos conservadores y a los administradores de sistemas corporativos que prefieren retrasar las actualizaciones de características y los cambios de funcionalidad, siempre y cuando no se pierdan las actualizaciones de seguridad por hacerlo.
Los números de versión de ESR se combinan para indicar qué conjunto de características tiene, además de cuántas actualizaciones de seguridad ha habido desde que salió esa versión.
Así, para ESR 102.2, tenemos 102+2 = 104 (la versión actual).
Del mismo modo, para la ESR 91.13, tenemos 91+13 = 104, para dejar claro que, aunque la versión 91 sigue con el conjunto de características de hace un año, está al día en cuanto a parches de seguridad.
La razón por la que hay dos ESRs en cualquier momento es para proporcionar un periodo sustancial de duplicación entre las versiones, de modo que nunca se está atascado con la adopción de nuevas características sólo para obtener correcciones de seguridad, siempre hay un solapamiento durante el cual se puede seguir utilizando la antigua ESR mientras se prueba la nueva ESR para prepararse para el cambio necesario en el futuro.
Las dos vulnerabilidades específicas y aparentemente relacionadas que obtuvieron la calificación alta este mes fueron
Como puedes imaginar, estos fallos significan que el contenido fraudulento obtenido de un sitio que parece inocente podría terminar con Firefox engañándote para que confíes en páginas web que no deberías.
En el primer fallo, Firefox podría ser engañado para presentar el contenido servido desde un sitio desconocido y no fiable como si viniera de una URL alojada en un servidor que ya conocías y en el que confiabas.
En el segundo fallo, el contenido web de un sitio X no fiable mostrado en una subventana (un IFRAME, abreviatura de inline frame) dentro de un sitio fiable podría terminar con permisos de seguridad “prestados” de la ventana principal Y que no esperarías que se pasaran (y que no concederías a sabiendas) a X, incluyendo el acceso a tu cámara web y micrófono.
En ordenadores de sobremesa o portátiles, ve a Ayuda > Acerca de Firefox para comprobar si estás actualizado.
Si no lo estás, la ventana “Acerca de” te pedirá que descargues y actives la actualización necesaria: buscas la 104.0, o la ESR 102.2, o la ESR 91.13, dependiendo de la serie de versiones que utilices.
En tu teléfono móvil, comprueba en Google Play o en la App Store de Apple que tienes la última versión.
En Linux y los BSD, si confías en la versión de Firefox empaquetada por tu distribución, comprueba con el fabricante de tu distribución la última versión que han publicado.
Tener una sólida estrategia de defensa contra el malware es fundamental para cualquier empresa que quiera evitar el tiempo de inactividad.
El malware es un tipo de software diseñado para dañar gravemente o deshabilitar los sistemas informáticos, puede provocar el robo de datos.