Webtagr - Resumen de noticias de tecnología

Una década de exploits de deserialización de Ruby Marshal: Historia y camino a seguir

2025-08-24

Este artículo profundiza en la saga de una década de vulnerabilidades de deserialización del módulo Ruby Marshal. Rastreando la evolución, desde los informes de errores iniciales en 2013 hasta las técnicas de explotación más recientes en 2024, revela un juego continuo del gato y el ratón entre investigadores de seguridad y atacantes. El autor destaca las limitaciones de un enfoque puramente basado en parches y aboga por la eventual depreciación del módulo Marshal en favor de alternativas más seguras, con el objetivo de eliminar esta amenaza de seguridad recurrente.

(blog.trailofbits.com)

Desarrollo Seguridad Ruby Vulnerabilidad de Deserialización

Ataques de escalado de imágenes: Una nueva vulnerabilidad en sistemas de IA

2025-08-21

Investigadores han descubierto una nueva vulnerabilidad de seguridad en IA: la exfiltración de datos se puede lograr enviando imágenes aparentemente inofensivas a modelos de lenguaje grandes (LLM). Los atacantes aprovechan el hecho de que los sistemas de IA a menudo reducen el tamaño de las imágenes antes de procesarlas, insertando inyecciones de prompt maliciosas en la versión reducida que son invisibles a resolución completa. Esto permite eludir la conciencia del usuario y acceder a los datos del usuario. La vulnerabilidad se ha demostrado en varios sistemas de IA, incluido Google Gemini CLI. Los investigadores desarrollaron la herramienta de código abierto Anamorpher para generar y analizar estas imágenes creadas, y recomiendan evitar el escalado de imágenes en sistemas de IA o proporcionar a los usuarios una vista previa de la imagen que el modelo realmente ve para mitigar el riesgo.

(blog.trailofbits.com)

IA escalado de imágenes inyección de prompt

Explotación de dispositivos de red fuera de servicio: victoria en la competición Junkyard

2025-07-29

Los investigadores obtuvieron el segundo lugar en la competición Junkyard de DistrictCon al explotar con éxito dos dispositivos de red descontinuados: un router Netgear WGR614v9 y un BitDefender Box V1. Sus cadenas de explotación pusieron de manifiesto los riesgos de seguridad persistentes del hardware en fin de vida (EOL), donde las vulnerabilidades no parcheadas siguen siendo explotables después de que finaliza el soporte del fabricante. Los investigadores detallaron varias vulnerabilidades, incluyendo omisiones de autenticación, desbordamientos de búfer e inyecciones de comandos, lo que llevó al acceso root remoto en ambos dispositivos. Esta investigación subraya la importancia de considerar los ciclos de vida de soporte del fabricante y las opciones de firmware de la comunidad al seleccionar dispositivos y destaca los continuos desafíos de seguridad que plantean los dispositivos IoT EOL.

(blog.trailofbits.com)

Tecnología seguridad de IoT

Riesgos de seguridad en analizadores Go: explotación de comportamientos inesperados en JSON, XML y YAML

2025-06-21

Los analizadores JSON, XML y YAML de Go presentan riesgos de seguridad, permitiendo que los atacantes exploten comportamientos inesperados para eludir la autenticación, sortear la autorización y exfiltrar datos sensibles. La publicación detalla tres escenarios de ataque: (1) (Des)serialización de datos inesperados: exponiendo datos que los desarrolladores pretendían mantener privados; (2) Diferenciales de analizadores: discrepancias entre analizadores que permiten eludir los controles de seguridad; y (3) Confusión de formato de datos: explotando el manejo de cargas útiles entre formatos. Las mitigaciones incluyen el uso de `DisallowUnknownFields` y funciones personalizadas para compensar las vulnerabilidades en la biblioteca estándar de Go.

(blog.trailofbits.com)

Desarrollo seguridad Go

Passkeys: La Revolución Criptográfica en la Autenticación

2025-05-14

Este artículo profundiza en la criptografía detrás de las passkeys, explicando cómo utilizan pares de claves para crear firmas digitales sin transmitir información sensible a los servidores, previniendo así el phishing y la reutilización de contraseñas. La especificación WebAuthn mejora la seguridad mediante el enlace de origen, garantizando que las passkeys solo se utilicen en el sitio web correcto. Se exploran diferentes tipos de autenticadores, junto con cómo las extensiones WebAuthn pueden generar y almacenar claves criptográficas. Se discuten las amenazas potenciales, como los ataques de navegador y los autenticadores comprometidos, junto con las estrategias de mitigación. Si bien no es una solución perfecta, las passkeys ofrecen una seguridad significativamente mejorada y representan un futuro prometedor para la autenticación.

(blog.trailofbits.com)

Tecnología

Warehouse de PyPI: Suite de pruebas un 81% más rápida con optimizaciones sencillas

2025-05-12

Trail of Bits mejoró drásticamente el rendimiento de la suite de pruebas de Warehouse de PyPI, reduciendo el tiempo de ejecución de 163 segundos a 30 segundos, mientras que aumentaba el conteo de pruebas de 3.900 a más de 4.700. Esta mejora del 81% se logró a través de varias optimizaciones clave: la paralelización de la ejecución de pruebas con pytest-xdist, el aprovechamiento de sys.monitoring de Python 3.12 para una instrumentación de cobertura eficiente, la optimización del descubrimiento de pruebas y la eliminación de importaciones innecesarias. Estas técnicas son fácilmente aplicables a muchos proyectos Python que luchan con suites de pruebas lentas, ofreciendo ganancias significativas de rendimiento con un costo mínimo.

(blog.trailofbits.com)

Desarrollo Optimización de Pruebas

Nueva API ASN.1 de PyCA Cryptography: Velocidad y Seguridad

2025-04-18

El equipo de PyCA Cryptography está desarrollando una nueva API ASN.1 que utiliza un analizador puro en Rust para un rendimiento significativamente mejorado y una reducción de los riesgos de seguridad derivados de las diferencias con otros analizadores ASN.1. La nueva API también presenta una interfaz declarativa de estilo dataclasses para mejorar la legibilidad y el mantenimiento del código. Esto aborda las deficiencias de las bibliotecas ASN.1 existentes en Python en cuanto a rendimiento y seguridad, y proporciona un mejor soporte para ecosistemas emergentes como Sigstore.

(blog.trailofbits.com)

Desarrollo

Robo de criptomonedas de 1.500 millones de dólares: Un ataque sofisticado expone fallas en la seguridad operativa

2025-02-22

El 21 de febrero de 2025, el exchange Bybit sufrió el mayor robo de criptomonedas de la historia, con pérdidas estimadas en 1.500 millones de dólares. Los atacantes no explotaron vulnerabilidades en contratos inteligentes, sino que comprometieron dispositivos de múltiples firmantes utilizando malware sofisticado para manipular sus interfaces de billetera y obtener firmas sin su conocimiento. Las investigaciones apuntan a actores patrocinados por el estado norcoreano (como TraderTraitor y Jade Sleet), que utilizaron ingeniería social avanzada para atacar al personal clave e implementaron un kit de herramientas multiplataforma. Esto destaca el riesgo crítico de descuidar la seguridad operativa, enfatizando los sistemas de firma con aislamiento físico, la autenticación multifactorial y la capacitación regular en seguridad. Es probable que continúen ataques similares a menos que las empresas de criptomonedas mejoren significativamente sus prácticas de seguridad operativa.

(blog.trailofbits.com)

Tecnología hackers de Corea del Norte seguridad operativa