Noticias de seguridad

Una nueva investigación demuestra que el contenido de un correo electrónico puede traspasar los límites del mensaje e interferir con la interfaz de correo web. Mediante cadenas de ataque que abarcan Outlook, Gmail, Fastmail, Proton Mail, Yahoo Mail y AOL Mail, estas técnicas pueden capturar contraseñas, tomar el control de cuentas de terceros, filtrar tokens, secuestrar acciones de la interfaz de usuario de confianza y manipular herramientas de IA que leen correos electrónicos. Gareth Heyes, investigador de PortSwigger, presentó este trabajo en Black Hat USA 2026. Una cadena de ataques en Outlook/Firefox suplanta la pantalla de inicio de sesión de Microsoft y captura la contraseña que introduce el destinatario. Una vulnerabilidad de pegado en Yahoo/AOL puede exponer un token de inicio de sesión de correo electrónico de Medium y permitir que un atacante inicie sesión como la víctima. Una cadena de ataques en Gmail/Cowork puede extraer un token de Slack tras la inyección de mensajes y la interacción del usuario. El artículo presenta una investigación de prueba de concepto y no informa sobre explotación maliciosa. Las pruebas de concepto públicas siguen disponibles al 8 de agosto. El investigador indicó que Fastmail corrigió dos errores de mutación de CSS y que una vulnerabilidad de omisión del proxy de Proton Mail dejó de funcionar al volver a probarla, mientras que la vulnerabilidad de secuestro de etiquetas de Outlook y la vulnerabilidad de omisión de `image-set()` de Gmail seguían funcionando cuando se publicó la investigación el 6 de agosto. El documento no especifica si se corrigió la cadena completa de captura de contraseñas de Outlook. Para los proveedores de correo web, el documento recomienda aislar el correo HTML en iframes con entorno aislado y restringir estrictamente el CSS, los atributos personalizados, los menús desplegables y las solicitudes de imágenes. La investigación sigue dos caminos: aprovechar el HTML y el CSS que el correo web ya permite, o crear una discrepancia entre lo que aprueba un sanitizador y lo que el navegador o la aplicación finalmente crea. Ambos pueden traspasar el límite entre un mensaje no confiable y su interfaz confiable. Outlook muestra cómo se pueden combinar estos elementos. Los elementos de etiqueta permitidos pueden activar controles fuera del mensaje, mientras que el JavaScript de la aplicación puede convertir atributos personalizados sanitizados en nuevos nodos DOM que contienen CSS fuera de la lista de permitidos del sanitizador. Un truco de análisis de consultas de medios proporcionó al atacante código CSS arbitrario. La cadena disfraza un elemento select como un campo de contraseña, y Firefox reinicia su temporizador de selección de opciones (de aproximadamente un segundo) cuando el select sale de la pantalla, lo que permite la captura en tiempo real. Yahoo Mail y AOL Mail se vieron expuestos a una ruta diferente. En Firefox, el HTML pegado podía conservar brevemente el CSS activo antes de su saneamiento. En la demostración de Medium, el atacante inicia un flujo de inicio de sesión por correo electrónico, la víctima copia el CSS proporcionado por el atacante al portapapeles y luego lo pega en un borrador de Yahoo o AOL. Las solicitudes resultantes revelan suficiente del token de inicio de sesión de 12 caracteres para que el servidor del atacante lo reconstruya, lo que permite iniciar sesión como la víctima. El artículo también presenta una técnica de exfiltración basada en clics para casos en los que la Política de Seguridad de Contenido (CSP) bloquea los recursos externos. Con la inyección de estilo y un token numérico mostrado como texto en el correo electrónico, el CSS puede determinar qué dígitos aparecen y con qué frecuencia, ocultar los enlaces que no coinciden y dejar visible el enlace correspondiente en la página. Un clic de la víctima envía los dígitos y su frecuencia al servidor del atacante. El correo electrónico conectado a la IA crea una ruta alternativa. La función de reserva `image-set()` de Gmail podría realizar una solicitud externa a pesar de la sanitización. Pete Hendy, colega de Heyes y PortSwigger, la encadenó a un correo electrónico con inyección indirecta de mensajes, procesado por Claude Cowork de Anthropic a través de un conector de Gmail. En la configuración demostrada, después de que el atacante activara un correo electrónico de confirmación de token de Slack y la víctima solicitara a Cowork que procesara los correos, las instrucciones inyectadas provocaron que recuperara el token y lo colocara en un borrador HTML; al visualizar el borrador, se filtró el token. Una demostración de Fastmail se dirigió al navegador Atlas de OpenAI. Pseudoelementos CSS y la opacidad permitieron que el usuario viera texto inofensivo mientras el modelo leía instrucciones ocultas. Cuando el usuario solicitó a Atlas que tradujera el texto visible, el mensaje oculto provocó que abriera pestañas y codificara el nombre de la víctima en fragmentos de URL. OpenAI está descontinuando Atlas y ha anunciado que dejará de funcionar el 9 de agosto de 2026. Entre otros hallazgos se incluye la técnica de "conexión directa de CSS" en Fastmail, que puede redirigir clics a acciones de interfaz de usuario no deseadas y de varios pasos. Una vulnerabilidad de Fastmail que permite eludir el proxy de imágenes mediante una barra invertida escapada se basa en un dominio user.fm incluido en la lista de permitidos para revelar cuándo se visualiza un correo electrónico. Heyes demostró por separado una vulnerabilidad en Proton Mail que exponía la dirección IP del destinatario. La documentación actual de Proton sobre protección contra rastreadores indica que el servicio está diseñado para ocultar la dirección IP personal del usuario y la hora exacta de apertura del correo electrónico. El repositorio público contiene pruebas de concepto (PoC) de las técnicas reveladas. Las medidas de seguridad comienzan con un aislamiento estricto, seguido de listas de caracteres permitidos para la validación de CSS, comprobaciones de gadgets CSS antes de permitir atributos personalizados, el bloqueo de menús desplegables y selectores peligrosos, y la prevención de solicitudes de imágenes controladas por el atacante y dominios incluidos en la lista de permitidos. Fuente: THN

PortSwigger afirma que HTTP Terminator, un sistema de investigación asistido por inteligencia artificial (IA) desarrollado por James Kettle, generó y demostró nuevas técnicas de desincronización HTTP tras explorar 30.000 vectores de desincronización potenciales. PortSwigger indicó que una cascada de descubrimiento independiente, guiada por humanos, también reveló una vulnerabilidad de día cero en Apache Traffic Server. Kettle explicó que HTTP Terminator analizó 30.000 sitios web con autorización para el escaneo mediante programas de recompensas por detección de errores o divulgación de vulnerabilidades, y encontró aproximadamente 700 objetivos vulnerables antes de una validación más exhaustiva y una investigación sobre RQP. Kettle señaló que estos hallazgos afectaron a bancos, infraestructura gubernamental, productos de seguridad y un aeropuerto. La investigación produjo nuevos desencadenantes de desincronización, un patrón de coincidencia doble de longitud de contenido y una técnica de "byte colgante" diseñada para aumentar la fiabilidad del envenenamiento de la cola de respuesta (RQP). El RQP puede provocar que un front-end pierda el rastro de qué respuesta del back-end pertenece a cada usuario, exponiendo potencialmente la respuesta de otro usuario, incluyendo cookies de sesión o claves API. Los investigadores también revelaron la Confusión de Analizador Compartido, un concepto de ataque más amplio propuesto por el sistema y validado por Kettle. La defensa no ha cambiado: PortSwigger recomienda evitar HTTP/1.1 en la capa de origen. Cuando no se puede eliminar HTTP/1.1, recomienda permitir los métodos en ambas capas y restringir qué métodos pueden transportar cuerpos de solicitud. En el informe técnico, Kettle indicó que alimentó HTTP Terminator con 138 RFC de HTTP y SMTP. Estos RFC se dividieron en aproximadamente 15.000 fragmentos pequeños y se utilizaron como inspiración para generar 30.000 vectores candidatos únicos. Una técnica de Content-Type: multipart/byteranges funcionó en múltiples implementaciones de servidor y expuso más de 200 sitios web en el conjunto de prueba, incluyendo un banco estadounidense sin nombre. La investigación autónoma probó 16 ideas para mejorar RQP. Solo la técnica del byte colgante superó la evaluación. Esto provoca que una solicitud mal formada quede incompleta con un byte menos, impidiendo que la segunda respuesta del servidor se genere hasta que una solicitud de la víctima proporcione el byte faltante. Esto elimina una condición de carrera que, de otro modo, haría que RQP no fuera confiable en muchos sitios. En la cascada guiada por humanos, una solicitud mal formada expuso finalmente la desincronización de día cero en Apache Traffic Server. Los investigadores indicaron que el problema ya se ha corregido y se le ha dado seguimiento como CVE-2026-63078. Una verificación realizada el 7 de agosto aún no encontró ningún registro público de CVE-2026-63078 en CVE.org ni en NVD, y el aviso de Apache de julio, que abarcaba 34 vulnerabilidades, no lo incluyó. Esto deja una laguna en la verificación del caso Apache: los registros públicos citados aún no permiten a los expertos en seguridad vincular CVE-2026-63078 con una versión específica corregida de Traffic Server. Kettle explicó que la vulnerabilidad Shared-Parser Confusion surgió cuando HTTP Terminator detectó que las reglas de procesamiento de respuestas podían aplicarse incorrectamente a las solicitudes cuando los servidores reutilizaban la lógica de análisis. El sistema propuso el concepto, pero Kettle, director de investigación de PortSwigger, lo validó y generalizó. "Ninguno de los dos lo habría descubierto por sí solo", afirmó. Esta distinción define el límite de autonomía en esta investigación: el sistema generó y proporcionó varias técnicas sin intervención humana directa, mientras que la vulnerabilidad de día cero de Apache y Shared-Parser Confusion aún requirieron la intervención de Kettle. PortSwigger ha publicado HTTP Terminator como código abierto. El artículo no especifica qué modelo o versión generó cada descubrimiento autónomo. La implementación publicada utiliza Claude para la extracción de documentos y la generación de casos de prueba, mientras que su fase de investigación requiere Claude Code. Por otro lado, los investigadores responsables de los ataques de desincronización basados ​​en CRLF publicaron herramientas para estudiar este tipo de ataque, incluyendo crlf-desyncs y crlf-powered-desync-scanner. Kettle probó por separado modelos más recientes en una prueba de redescubrimiento y reportó una tasa de éxito del 30% para GPT-5.6 Sol cuando se le proporcionó una técnica de inspiración. Fuente: THN

Los atacantes accedieron a la base de datos Oracle de una organización mediante una vulnerabilidad de inyección SQL en una aplicación web pública. Posteriormente, instalaron un kit de herramientas de post-explotación sin escribir ningún ejecutable en el disco. Introdujeron código fuente Java en la base de datos, permitieron que Oracle lo compilara en objetos de esquema almacenados y ejecutaron comandos desde el motor de la base de datos. Huntress, que rastrea el kit de herramientas como khunt, investigó tras las detecciones de robo de credenciales el 27 de julio de 2026 y rastreó la cadena hasta la ejecución de código a nivel de sistema en el servidor Windows subyacente. Tras realizar una inyección SQL, el atacante logró subir a la base de datos un kit de herramientas de post-explotación llamado khunt. Esta técnica ya se había comentado y descrito a lo largo de los años, incluso mediante una técnica denominada oraexec; sin embargo, su uso en la práctica rara vez se ha documentado. La vulnerabilidad residía en la aplicación, donde un campo de búsqueda con autocompletado enviaba datos no validados a la base de datos a través de una conexión JDBC (Java Database Connectivity). La cuenta detrás de esa conexión tenía privilegios suficientes para crear objetos Java. Ningún parche de Oracle corrige la vulnerabilidad de la aplicación ni los privilegios de la cuenta que la sustentaba. Encontrar el kit de herramientas requiere una búsqueda exhaustiva: se deben buscar en la instalación de Oracle nombres de objetos que comiencen con Khunt y en los registros SQL el término KHUNT%. Una clase Java compilada en un objeto de esquema de base de datos no es un proceso, un binario ni un archivo en el sistema de archivos, y los productos de detección y respuesta de endpoints generalmente no inspeccionan los detalles internos de Oracle. Según Huntress, la base de datos deja de ser un objeto que los atacantes consultan y se convierte en una cabeza de playa desde la que atacan. Oracle incluye una máquina virtual Java integrada, y la instrucción CREATE JAVA SOURCE permite al usuario proporcionarle código Java que la base de datos compila y almacena como un objeto de esquema. En el esquema del usuario, la documentación de Oracle establece que el requisito es un único privilegio del sistema: CREATE PROCEDURE. La creación de un proceso del sistema operativo a partir de ese código se realiza a través de Runtime.exec, que necesita su propio permiso de ejecución de archivos, y Oracle afirma que estos permisos solo los otorgan los administradores con privilegios. Huntress no especifica qué permiso otorga la cuenta comprometida, ni si los atacantes tuvieron que añadir alguno. La cadena de ataques tuvo éxito, por lo que contaba con los permisos necesarios para ambos casos. Esta técnica tiene al menos dos décadas de antigüedad. El archivo raptor_oraexec.sql de Marco Ivaldi, de 2006, crea un objeto fuente de Oracle con métodos de ejecución de comandos y lectura de archivos, y luego los publica en SQL mediante adaptadores PL/SQL. Los objetos khunt utilizan la misma arquitectura básica. "El uso de esta técnica en la práctica rara vez se ha documentado", afirmó Huntress. El conjunto de herramientas estaba compuesto por seis objetos Java y varios adaptadores PL/SQL khunt_*: KhuntCmd cargaba cmd.exe y ejecutaba comandos arbitrarios del sistema operativo pasados ​​como SQL. KhuntHash leía nombres de usuario y hashes de contraseñas de la tabla interna de usuarios de Oracle y los escribía en un archivo. KhuntFS y KhuntFS2 listaban, leían, buscaban y medían el tamaño de los archivos. KhuntT confirmaba que el conjunto de herramientas era accesible, y KhuntUnzip descomprimía archivos comprimidos. Al ejecutar cmd.exe /c whoami a través de KhuntCmd, se obtenía SYSTEM. Los atacantes utilizaron PowerShell y reg.exe para copiar los subárboles de registro SECURITY y SYSTEM en F:\Oracle, ejecutaron tasklist /svc en khunttasks.txt y copiaron los subárboles SAM y SECURITY con esentutl.exe. Hunters observó que los archivos se almacenaban localmente, pero no pudo confirmar su exfiltración. La empresa no identificó al responsable de la amenaza y rastreó las solicitudes maliciosas hasta 178.162.151[.]229. Estos indicadores son específicos de este conjunto de herramientas, por lo que ninguna búsqueda de Khunt o KHUNT% revelará la técnica subyacente. La solución consiste en consultas parametrizadas y validación de entrada en la aplicación, además del principio de mínimo privilegio: una cuenta que administra una aplicación pública no debería poder crear código fuente Java ni ejecutar procedimientos almacenados a los que no tenga motivos para acceder. Fuente: THN

Una vulnerabilidad de corrupción de memoria en la ruta de datos de Open vSwitch del kernel de Linux permite a usuarios locales comunes obtener acceso de administrador en una amplia gama de distribuciones con configuración predeterminada. Un exploit público se distribuye con registros precompilados para aproximadamente 800 compilaciones del kernel. La vulnerabilidad, identificada como CVE-2026-64531 (CVSS: 7.8) y denominada OVSwrap por su descubridor, fue revelada por el investigador de seguridad Asim Manizada el 28 de julio de 2026. El fallo reside en la ruta de datos del kernel, no en el demonio ovs-vswitchd del espacio de usuario. En un informe técnico, Manizada afirmó que un atacante no necesita "un puente OVS existente, ni un demonio ovs-vswitchd en ejecución, ni permisos CAP_NET_ADMIN a nivel de host". Manizada describió el resultado como una vulnerabilidad de corrupción de memoria con una fiabilidad comparable a la de un error lógico. En los sistemas afectados donde la ruta de datos del kernel de OVS está disponible y los espacios de nombres de usuario sin privilegios están habilitados, un usuario común puede crear espacios de nombres de usuario y de red privados con `unshare -Urn`, obtener privilegios de administrador de red (CAP_NET_ADMIN) dentro de ese espacio de nombres y acceder a la ruta de instalación vulnerable. Si el módulo `openvswitch` está instalado pero no cargado, la resolución de su nombre de familia `Generic Netlink` puede cargarlo automáticamente. Una salida vacía de `lsmod` no significa que el sistema sea seguro. La corrección se incluyó en las ramas estables el 24 de julio. Si aún no está disponible un kernel del proveedor parcheado y no se requiere Open vSwitch, bloquee las futuras cargas de módulos; si el módulo ya está presente, descárguelo o reinicie el sistema. Manizada indicó que informó del problema a [email protected] y a los responsables de OVS el 19 de junio. Las primeras versiones corregidas son Linux 5.15.212, 6.1.178, 6.6.145, 6.12.97, 6.18.40 y 7.1.5. Las series 6.13 a 6.17, 6.19 y 7.0, que ya no tienen soporte, no recibirán correcciones estables. Estas cifras no son suficientes por sí solas. Los kernels de las distribuciones incluyen retrocompatibilidades y cambios posteriores, por lo que el sistema de seguimiento de errores del proveedor es la fuente de información más fiable. El exploit encadena tres primitivas a partir del envoltorio: una fuga de puntero del kernel mediante una acción OUTPUT falsa, una lectura arbitraria del kernel mediante una acción SET de túnel falsificada y un decremento dirigido mediante la limpieza de un puntero tun_dst falsificado. Utiliza estas primitivas para encontrar las credenciales de un proceso host y, en kernels modernos, decrementar fsuid y fsgid a cero. La prueba de concepto publicada es explícitamente destructiva. También requiere la instalación de la compatibilidad con OVS conntrack, la herramienta auxiliar FTP conntrack y sudo. Si tiene éxito, corrompe las credenciales de un kernel activo, modifica /etc/sudoers.d o /etc/sudoers, abre una shell de root y deja procesos y estado de OVS para evitar una limpieza insegura. El repositorio PoC incluye registros de aproximadamente 800 compilaciones exactas del kernel x86-64 e intentos de derivación dinámica a partir de símbolos o BTF para compilaciones no detectadas. La matriz de pruebas no exhaustiva de Manizada encontró explotación de default-config en AlmaLinux 9 y 10, Alpine 3.22 a 3.24, Amazon Linux 2023, Arch, CentOS Stream 9 y 10, Debian 12 y 13, Fedora 42 a 44, Gentoo, Kali 2026.1, Linux Mint 22.3, NixOS, openSUSE Tumbleweed, Pop!_OS, Rocky Linux 9 y 10, y Ubuntu 22.04. En los sistemas Ubuntu 24.04 probados, AppArmor bloqueó la creación directa de espacios de nombres, pero la solución alternativa aa-exec -p trinity del PoC restauró la accesibilidad. Ubuntu 26.04 estándar bloqueó la ruta de usuario ordinario. Deshabilitar la restricción de espacio de nombres de usuario de AppArmor hizo que los sistemas probados fueran vulnerables. Amazon Linux 2, Debian 11, Rocky Linux 8 y Ubuntu 20.04 conservaron rutas de código antiguas y no fueron vulnerables por esta vía. Instale un kernel del proveedor parcheado, si está disponible. Si no se requiere Open vSwitch, el paso intermedio más rápido es bloquear el módulo: echo 'install openvswitch /bin/false' > /etc/modprobe.d/ovswrap.conf La anulación bloquea los intentos futuros de carga de módulos; un módulo que ya reside en memoria aún debe eliminarse o limpiarse. Fuente: THN

El Proyecto de Seguridad Cuántica de OWASP indica apropiadamente "Prepárate hoy. Protege mañana.". Este nuevo proyecto oficial de la comunidad, Top 10 de OWASP para Riesgos de Seguridad Cuántica mapea los riesgos de seguridad de la era cuántica de forma práctica, independiente de proveedores y basada en riesgos: el antídoto contra la exageración y el miedo. El NIST, el NCSC del Reino Unido y las instituciones de la UE han publicado guías concretas sobre criptografía postcuántica, criptoagilidad y mitigación de la estrategia "recopila ahora, descifra después", mientras que los sistemas cuánticos pasan de la investigación a los entornos de nube y empresariales. Sin embargo, los equipos de seguridad aún enfrentan tres deficiencias: Falta una visión concisa y priorizada de los riesgos de seguridad cuántica. Falta un modelo de amenazas ampliamente adoptado para plataformas cuánticas. La preparación organizacional y la seguridad de la plataforma se tratan por separado. Este proyecto subsana esas deficiencias con un trabajo que es: Práctico e inmediato: ayuda a los defensores a actuar ante el riesgo cuántico hoy mismo, no dentro de una década. Sistemático y basado en el riesgo: mapea el panorama de forma estructurada y priorizada. Aplicable y fundamentado: vinculado a las directrices reconocidas del NIST, el NCSC y la UE. Una sola comunidad: conecta la investigación, la industria y los profesionales en un esfuerzo conjunto. Los 10 principales riesgos de seguridad cuántica de OWASP QS01: Exposición al modelo Harvest-Now-Decrypt-Later (Hoja de ruta de la UE, finales de 2030); NCSC 2031; NSM-10. QS02: Datos sensibles de larga duración (Desigualdad de Mosca); Hoja de ruta de la UE, finales de 2030. QS03: Firmas y firmas de código vulnerables (NSA, CNSA 2.0 para 2030). Anexo I de la CRA QS04: Inventario criptográfico ausente y CBOM NCSC 2028; Hoja de ruta de la UE, finales de 2026. QS05: Fallos de criptoagilidad NIS2 Artículo 21(2)(h); Grupo de trabajo PQUIP/TLS del IETF QS06: Migración insegura y mal uso híbrido Hoja de ruta de la UE, finales de 2030, prohibición clásica independiente. QS07: Raíces de confianza de hardware NCSC, hito de 2028; Anexo IV de la CRA. Aborda la superficie de migración: riesgos para las organizaciones cuya criptografía clásica actual debe reemplazarse por equivalentes postcuánticos. QS08: Fallos de aislamiento de inquilinos de QPU Li et al. NDSS 2025; Xu et al. CCS 2023. Abordan la superficie de la plataforma: riesgos para las organizaciones que ejecutan cargas de trabajo en plataformas de computación cuántica QS09: Compromiso con la cadena de herramientas y el compilador Suresh et al. HASP 2021; Chu et al. ICASSP 2023. QS10: Exposición de canal lateral y plano de control Mi et al. CCS 2022; Xu et al. CCS 2023. Cada entrada sigue una plantilla común: descripción, ejemplos comunes, prevención, ejemplos de escenarios de ataque, referencias y un mapeo de normas y reglamentos. Adicionalmente, se puede consultar la lista Awesome Post-Quantum Fuente: OWASP