Estas aquiContenido / Windows Server 2008 no tan seguro, afirma investigador
Windows Server 2008 no tan seguro, afirma investigador
En su línea habitual, Microsoft afirma que Windows Server 2008 (que -por cierto- acaba de ser adoptado por MySpace) es el servidor Windows más seguro que nunca ha creado, pero -como también viene siendo habitual- no todo el mundo parece estar de acuerdo.
Así César Cerrudo, fundador y CEO de la empresa argentina Argeniss, afirma haber encontrado algunas debilidades que convertirían en inútiles las mejoras de seguridad de Windows Server 2008.
Para Cerrudo, se trata de problemas de diseño que no fueron identificados por los ingenieros de Microsoft durante el Security Development Lifecycle (SDL) y que permiten que cuentas utilizadas normalmente por servicios Windows puedan utilizarse para una escalada de privilegios que permita el control total del sistema operativo...
Microsoft ha manifestado estar al corriente de los trabajos de Cerrudo, pero no reconoce en ellos ninguna nueva vulnerabilidad, sino que afirma que sólo describen cuestiones de diseño, ya que las cuentas que señala Cerrudo (NetworkService y LocalService) deben ser consideradas al mismo nivel que la de Administrador, sin que Cerrudo describa cómo un atacante podría hacerse con el control de las mismas.
Al parecer Microsoft invitó a Cerrudo a demostrar sus afirmaciones en Blue Hat, pero el investigador (que planea explicar los detalles en HITBSecConf2008 el próximo 17 de Abril) alegó "problemas de agenda" para rechazar la invitación.
Referencias:
Versión para imprimir
Hasta cuando vamos a seguir recibiendo información de que los productos de Microsoft son inseguros?
Sinceramente creo que esta empresa se está cavando su propia tumba muy lentamente...
Saludos
YOGUI
Ni que linux (o mac) fuera lo mas seguro de la tierra
pues casi lo son ya que no hay muchos virus ni menos vulnerabilidad
Vamos a ver... ¡Pero si la propia noticia dice que el ingeniero no consiguió demostrar la vulnerabilidad!. Vale que eso de que solo haya 3 usuarios System, NewtorkService y LocalService para todos los servicios del sistema no es lo mejor, porque si un solo servicio tiene un sistema pos tienes ahi un agujero enorme, pero que demuestre el tio, cuál es el servicio que falla...
Sin animo de ofender, a ver si leemos la noticia entera, "No judgues a un libro por su portada" refrán popular.
Pues eso, que sin una demostración no me creo nada. Veremos qué pasa el 17 de abril y qué dice Microsoft a continuación pero, hasta entonces, dudo de César Cerrudo.
Cubano
Con la tanta inseguridad y una buena dosis de paranoia uno termina por creerse cualquier cosa que alimente la desconfianza.
Por otro lado, creo que Cerruto lazó la noticia sin demostración para poder decir que fue el primero... así no vale. Lo que si es seguro es que esto aliviará la necesidad diaria que muchos tienen de rajar de los productos de Microsoft :)
Yo también esperaré pero entiendo que Cerruto quiera adelantarse. De todos modos el 18 de Abril ya podremos saber si se tiró un pegote y es un mero fantasma. Paciencia.
En cuanto a la necesidad de "rajar" yo no la siento, pero entiendo al que pueda sentirla. Se trata de productos de gran prevalencia, que muchas veces nos hemos visto obligados a adquirir o que el mismo estado adquiere en nombre nuestro y paga con nuestros impuestos.
Lo mínimo a que tenemos derecho es al pataleo.
Hoy mismo Microsoft ha reconocido que conocía una vulnerabilidad (Jet Database Engine) desde hace 3 años y no se ha molestado en arreglarla hasta que los malos han empezado a explotarla:
http://www.computerworld.com/action/article.do?command=viewA...
Así que casi mejor que alguien apremie a los de Redmond...
¿Los productos de Microsoft inseguros? ¡Por Dios, Cerrudo! ¿Qué te estás metiéndo?....
Lo siento, ha sido imposible contenerme...
ahi va...
Windows Server 2008!!! por el culo te la entocho!!!
XDDDD