Hace poco un equipo de investigadores dieron a conocer la noticia sobre una nueva variante de BHI, llamado como «Native BHI» y ya catalogado bajo CVE-2024-2201. Este método permite a los sistemas basados en Intel obtener acceso al contenido de la memoria del kernel de Linux al ejecutar un exploit desde el espacio del usuario.

Esta nueva variante fue descubierta por «InSpectre Gadget» una herramienta diseñada por los investigadores para la detección de vulnerabilidades comunes. Utiliza técnicas avanzadas de ejecución simbólica para examinar dispositivos Spectre en detalle y evaluar su capacidad de explotación. Esta herramienta no solo identifica dispositivos explotables, sino que también modela técnicas de explotación sofisticadas para comprender mejor la amenaza que representan estos dispositivos.

La herramienta ha demostrado su efectividad al presentar el primer exploit nativo Spectre-v2 contra el kernel de Linux en CPU Intel de última generación. Este exploit, basado en la reciente variante BHI, es capaz de filtrar memoria del kernel a una tasa significativa, además de que ha demostrado que en el caso de sistemas de virtualización, este ataque podría permitir a un atacante en un sistema invitado acceder al contenido de la memoria del sistema host o de otros sistemas invitados.

Sigue leyendo →

El estado alemán de Schleswig-Holstein, al igual que hiciera Múnich en su día, ha tomado la decisión de cambiar las soluciones de Microsoft y otras privativas por alternativas de código abierto, entre ellas LibreOffice y Linux. El primer paso ya lo hemos mencionado y consiste en migrar 30.000 computadoras gubernamentales a la suite ofimática de The Document Foundation, obviamente manteniendo Windows como sistema operativo en un principio.

El cambio de suite ofimática de Microsoft Office a LibreOffice deriva del resultado de un proyecto piloto que ha sido exitoso en la región. El siguiente paso es migrar miles de ordenadores de Windows a Linux, lo que se traduce en los típicos beneficios de ahorro de costes por no tener que pagar licencias y en un aumento de la transparencia y la soberanía tecnológicas, cosas que resultan críticas sobre todo cuando se trata de los datos. También está el apoyo a tecnologías y especificaciones que son abiertas de iure y a todos los efectos, cosa que no es OOXML ni mucho menos Windows.

Pero como ya hemos dicho, todo esto no se limita a el cambio de la solución ofimática, la transición hacia tecnologías abiertas abarca a soluciones como Nextcloud, Open Xchange/Thunderbird junto con el conector de Univention Active Directory para reemplazar a Microsoft Sharepoint y Microsoft Exchange/Outlook. Todo eso se suma al desarrollo de una solución de telefonía basada en código abierto para reemplazar a Telekom-Flexport.

Sigue leyendo →

Se ha descubierto una vulnerabilidad crítica en las herramientas de compresión XZ, que permite el acceso remoto a través de inicios de sesión remotos SSH. Las distribuciones Linux Rolling Release están particularmente afectadas, ya hay una actualización disponible.

Debido a un uso inusualmente elevado de la CPU y a mensajes de error al utilizar el inicio de sesión remoto a través de SSH, el desarrollador de software Andreas Freund se percató de la existencia de un enorme agujero de seguridad en su instalación de Debian SID. El desarrollador pudo identificar la causa como XZ-Tools, una colección de herramientas de compresión incluidas en muchas distribuciones de Linux y utilizadas por SSH.

La vulnerabilidad, denominada CVE-2024-3094, permite el acceso remoto no autorizado a los sistemas Linux afectados. Las versiones afectadas por la puerta trasera son las utilidades XZ y la biblioteca liblmza asociada en las versiones 5.6.0 desde finales de febrero y 5.6.1 desde el 9 de marzo. Estas versiones XZ comprometidas, introducidas por uno de los propios desarrolladores de XZ, eluden la autenticación SSH, lo que permite a los atacantes hacerse con el control remoto total del sistema.

Sigue leyendo →

VLC, el conocido reproductor multimedia multiplataforma y que está publicado como código abierto, ha superado los cinco mil millones de descargas contando sus versiones para escritorio y móviles, lo que pone en evidencia que se trata de una aplicación que sigue siendo muy popular a pesar de la presencia de las plataformas de vídeo bajo demanda (VOD).

Los comienzos de VLC pueden recordar a los de Linux, ya que tiene su origen en un proyecto académico francés que fue iniciado en 1996. Sin embargo, no se convirtió en software libre hasta el año 2001, cuando su código fuente fue publicado bajo la licencia GPLv2. Desde entonces ha ido creciendo hasta convertirse en un proyecto que se encuentra debajo de VideoLAN, una organización sin ánimo de lucro con sede París que se encarga del desarrollo de códecs y de otras piezas de software como VideoLAN Movie Creator (VLMC), VideoLAN Server (VLS), VideoLAN Manager (VLMa) y VLC Skin Editor.

VLC destacó y destaca por ser software libre y por ofrecer un potente soporte a la hora de soportar formatos de multimedia, principalmente de vídeo (para el audio se usaba y se sigue usando preferentemente otras opciones). Esto, unido a un potente soporte multiplataforma que en un principio abarcó Linux, Windows y macOS (entonces OS X), catapultó a la aplicación a lo más alto e hizo que gozase de una gran popularidad que en la actualidad sigue manteniendo en buena medida.

Sigue leyendo →

Go es un lenguaje de programación concurrente y compilado con tipado estático inspirado en la sintaxis del lenguaje C. La nueva versión de Go 1.22, llega seis meses después de la versión 1.21, con una serie de cambios notables en el conjunto de herramientas, el runtime, mejoras de optimización, mejoras en el compilador y bibliotecas.

Para quienes no conozcan esta herramenta, podemos destacar que se trata de un lenguaje de programación que está siendo desarrollado por Google con la participación de la comunidad como una solución híbrida que combina el alto rendimiento de los lenguajes compilados con ventajas de los lenguajes de scripting como la facilidad para escribir código, velocidad de desarrollo y la protección contra errores.

Sigue leyendo →