Detectaron una vulnerabilidad en el Kernel que podria permitir el robo de información

Investigadores de Cisco Talos dieron a conocer hace pocos dias una vulnerabilidad en el kernel de Linux que puede explotarse para robar datos y también servir como medio para poder escalar privilegios y comprometer el sistema.

La vulnerabilidad se describe como una «vulnerabilidad de divulgación de información que podría permitir a un atacante ver la memoria de la pila del kernel».

CVE-2020-28588 es la vulnerabilidad que se descubrió en la funcionalidad proc/pid/syscall de dispositivos ARM de 32 bits que ejecutan el sistema operativo. Según Cisco Talos, el problema se descubrió por primera vez en un dispositivo que ejecuta Azure Sphere.

Existe una vulnerabilidad de divulgación de información en la funcionalidad / proc / pid / syscall de Linux Kernel 5.1 Stable y 5.4.66. Más específicamente, este problema se ha introducido en v5.1-rc4 (comete 631b7abacd02b88f4b0795c08b54ad4fc3e7c7c0) y todavía está presente en v5.10-rc4, por lo que es probable que todas las versiones intermedias se vean afectadas. Un atacante puede leer / proc / pid / syscall para activar esta vulnerabilidad, lo que provoca que el kernel pierda contenido de memoria.

Proc es un pseudo-sistema de archivos especial en sistemas operativos similares a Unix que se utiliza para acceder dinámicamente a los datos del proceso que se encuentran en el kernel. Presenta información sobre procesos y otra información del sistema en una estructura jerárquica similar a un archivo.

Por ejemplo, contiene subdirectorios /proc/[pid], cada uno de los cuales contiene archivos y subdirectorios que exponen información sobre procesos específicos, legibles mediante el uso del ID de proceso correspondiente. En el caso del archivo «syscall», es un archivo legítimo del sistema operativo Linux que contiene registros de las llamadas al sistema utilizadas por el kernel.

Para la empresa, los hackers podrían aprovechar la falla y acceder al sistema operativo y al archivo syscall a través de un sistema utilizado para interactuar entre las estructuras de datos del núcleo, Proc. La entrada syscall procfs podría explotarse si los hackers emiten comandos para generar 24 bytes en la memoria de pila no inicializada, lo que conduciría a una omisión de la aleatorización del diseño del espacio de direcciones del kernel (KASLR).

Al observar esta función específica, todo se ve bien, pero vale la pena señalar que el argsparámetro pasado vino desde la proc_pid_syscallfunción y, como tal, en realidad es de tipo __u64 args. En un sistema ARM, la definición de función convierte el tamaño de la argmatriz en elementos de cuatro bytes desde ocho bytes (ya que unsigned longen ARM son 4 bytes), lo que da como resultado que en memcpyse copie en 20 bytes (más 4 para args[0]).

De manera similar, para i386, donde unsigned longson 4 bytes, solo argsse escriben los primeros 24 bytes del argumento, dejando intactos los 24 bytes restantes.

En ambos casos, si miramos hacia atrás en la proc_pid_syscallfunción.

Mientras que en ARM de 32 bits e i386 solo copiamos 24 bytes en la argsmatriz, la cadena de formato termina leyendo 48 bytes de la argsmatriz, ya que la %llxcadena de formato tiene ocho bytes en los sistemas de 32 y 64 bits. Por lo tanto, 24 bytes de memoria de pila no inicializada terminan obteniendo salida, lo que podría conducir a una omisión de KASLR.

Los investigadores afirman que este ataque es «imposible de detectar de forma remota en una red» porque es la lectura de un archivo legítimo del sistema operativo Linux. «Si se usa correctamente, un hacker podría aprovechar esta filtración de información para explotar con éxito otras vulnerabilidades de Linux no parcheadas», dice Cisco.

Al respecto de ello Google dijo recientemente:

“Las fallas de seguridad de la memoria con frecuencia amenazan la seguridad de los dispositivos, especialmente las aplicaciones y los sistemas operativos. Por ejemplo, en el sistema operativo móvil Android también respaldado por el kernel de Linux, Google dice que descubrió que más de la mitad de las vulnerabilidades de seguridad abordadas en 2019 fueron el resultado de errores de seguridad de la memoria».

Por último y no menos importante se recomienda actualizar las versiones 5.10-rc4, 5.4.66, 5.9.8 del kernel de Linux, ya que se ha probado y se ha confirmado que esta vulnerabilidad puede aprovechar las siguientes versiones del kernel de Linux.

Finalmente si estás interesado en conocer más al respecto sobre la publicación, puedes consultar los detalles en el siguiente enlace.

from Linux Adictos https://ift.tt/2PYzcnW
via IFTTT

Red Hat presento nuevos servicios administrados en la nube

Red Hat dio a conocer recientemente un nuevo conjunto de servicios en la nube con los cuales amplía la elección de los clientes para la computación en la nube híbrida abierta, lo que reduce la complejidad y maximiza las inversiones en TI.

Con estos nuevos servicios su cartera expande sus tecnologías de nube híbrida abierta con nuevos servicios de nube administrados, Red Hat OpenShift API Management, Red Hat OpenShift Streams para Apache Kafka y Red Hat OpenShift Data Science están diseñados para brindar una experiencia de usuario optimizada y completamente administrada para organizaciones que crean, implementan, administran y escalan aplicaciones nativas de la nube en entornos híbridos.

Estos servicios están estrechamente integrados con Red Hat OpenShift Dedicated y ayudan a aliviar las complejidades operativas de entornos de TI modernos altamente complejos sin sacrificar la productividad del desarrollador, proporcionando un conjunto común de capacidades en toda la amplitud de la nube híbrida abierta y en múltiples nubes.

Los nuevos servicios incluyen:

Red Hat OpenShift Streams para Apache Kafka, diseñado para facilitar la creación, el descubrimiento y la conexión a flujos de datos en tiempo real, independientemente de su ubicación.

Basado en el proyecto de código abierto Apache Kafka, Red Hat OpenShift Streams para Apache Kafka facilita a los equipos de desarrollo la integración de datos de transmisión en sus aplicaciones. Al diseñar aplicaciones de nube híbrida, los flujos de datos son la columna vertebral de la captura, comunicación y procesamiento de eventos para arquitecturas de aplicaciones modernas y distribuidas.

Los datos en tiempo real son una parte esencial del funcionamiento de las aplicaciones de nube híbrida, que brindan experiencias digitales más inmediatas, independientemente de dónde se brinde el servicio. Como servicio Kafka totalmente administrado y alojado, Red Hat OpenShift Streams para Apache Kafka permite a los desarrolladores concentrarse en crear mejores aplicaciones más rápido.

Red Hat OpenShift Data Science para proporcionar a las organizaciones una forma de desarrollar, entrenar y probar modelos de aprendizaje automático (ML) más rápido y exportarlos en un formato listo para contenedores.

Se basa en el proyecto Open Data Hub de código abierto y ayuda a acelerar el desarrollo, la formación y las pruebas de modelos de aprendizaje automático sin los requisitos de infraestructura asociados. Red Hat OpenShift Data Science implementa herramientas comunes de ciencia de datos como base de una plataforma AI-as-a-Service integrada con servicios de nube de socios seleccionados, incluidas las soluciones ISV de Red Hat Marketplace.

Red Hat OpenShift API Management que acelera el tiempo de generación de valor y reduce el costo operativo de la entrega de microservicios y aplicaciones basadas en API. Proporciona una gestión integral del ciclo de vida de la interfaz de programación de aplicaciones (API) para Red Hat OpenShift Dedicated y Red Hat OpenShift Service en AWS.

La combinación de las operaciones gestionadas con la integración nativa de OpenShift permite a las empresas centrarse en la innovación y el desarrollo en la creación, gestión y ampliación de aplicaciones centradas en API y basadas en microservicios en lugar de en la infraestructura. Red Hat OpenShift API Management también permite a los clientes crear su propio programa de administración de API, con capacidades para controlar el acceso, monitorear el uso, compartir API comunes y desarrollar su panorama general de aplicaciones a través de una canalización.

Estos nuevos servicios de nube administrados se basan en la cartera existente de Red Hat OpenShift, que proporciona Kubernetes autogestionado y completamente administrado en las principales nubes públicas.

Esto permite a los clientes y socios de Red Hat crear una estrategia de nube híbrida abierta basada en la plataforma empresarial Kubernetes, independientemente de los activos de infraestructura local o del personal operativo. Red Hat OpenShift Dedicated, una plataforma de desarrollo de aplicaciones completamente administrada por Red Hat y alojada en Amazon Web Services (AWS) o Google Cloud, incluye la administración e integración de componentes tecnológicos de la plataforma Linux empresarial líder en el mundo, Red Hat Enterprise Linux, y servicios como networking,

Además de OpenShift Dedicated, Red Hat OpenShift en IBM Cloud, Red Hat OpenShift Service en AWS y Microsoft Azure Red Hat OpenShift están disponibles como servicios OpenShift administrados y soportados conjuntamente, accesibles como ofertas de consola nativas de la nube en los respectivos proveedores de nube.

from Linux Adictos https://ift.tt/3y1pjHp
via IFTTT

Herramienta Voz a texto de Kdenlive. Esta es mi experiencia

Herramienta voz a texto

La semana pasada, Pablinux les habló de la nueva versión de Kdenlive, la herramienta de edición de videos del proyecto de KDE. Cómo comenté alguna vez, yo prefiero OpenShot que tiene una curva de aprendizaje menor, pero, como me interesó mucho la herramienta de voz a texto que incorpora esta nueva versión, decidí darle una mirada.

Aunque tengo escrita mi cuota de artículos sobre alternativas Linux a tal o cual programa de Windows (Nadie puede llamarse a si mismo bloguero de Linux si no escribió uno de esos) no se trata de un enfoque que me guste. Creo que de los programas debe hablarse por sus propias características. Si tengo que definir Kdenlive de alguna manera, diré que se trata de un editor de video para aficionados que quieren que sus creaciones luzcan profesionales.

He dicho en el pasado y lo mantengo (vengan de a uno) que el software libre y de código abierto tiene bibliotecas para trabajo multimedia que hacen quedar a los productos de Adobe y Blackmagic como meros juguetes. El gran problema es que nadie se interesó en juntar esas herramientas con una interfaz simple y atractiva y una documentación completa y fácil de entender. Aunque Kdenlive está lejos de haber logrado su objetivo, sus desarrolladores van por el camino correcto.

En el caso de la capacidad para convertir voz a texto, Kdenlive recurre a dos herramientas del arsenal del repositorio del Índice de paquetes de Python.

Vosk es un conjunto de herramientas de reconocimiento del habla de código abierto y sin conexión. Ofrece modelos de reconocimiento del habla para 17 idiomas y dialectos: inglés, inglés indio, alemán, francés, español, portugués, chino, ruso, turco, vietnamita, italiano, holandés, catalán, árabe, griego, farsi y filipino.

Kdenlive utiliza los modelos de Vosk mediante un módulo escrito en Python.

Sin embargo, no basta con tener la transcripción. También hay que sincronizarla con el video. Para esto necesitamos otro módulo en Python para la creación de subtítulos.

Kdenlive comprobará que tienes instalado estos módulos. Para hacerlo necesitas primero instalar el paquete python3-pip en tu distribución y después ejecutar los comandos:

pip3 install vosk

pip3 install srt

A continuación, tenemos que instalar los modelos de voz. Para esto abrimos Kdenlive y vamos a Preferencias Configurar Kdenlive Speech to Text.

Para cargar los modelos tienes dos opciones: o descargar los modelos de esta página y cargarlos manualmente (Debes marcar primero el recuadro Custom modem folders) o pegar el enlace de la lista que te muestra esa misma página.

Usando la herramienta Voz a texto

  1. Asegúrate en el menú Ver que tienes activada la opción de subtítulos. A continuación, carga el video que quieres transcribir.
  2. Mueve el video a la primera pista de video y desliza la línea azul a lo largo de la duración que quieres transcribir.
  3. Pulsa en la pestaña subtítulos y a continuación en el signo +
  4. En la parte superior se agrega una pista. Pulsa en el icono que está a la izquierda del ojo.
  5. Selecciona el modelo de transcripción y si quieres transcribir un clip, todos los clips de una línea de tiempo o una parte de la línea de tiempo. Pulsa en Process

Comparé Speech to tech con la versión gratuita de una herramienta en la nube, y he visto videos auto subtitulados de Youtube y de plataformas de cursos de pago. Tengo que decir que no es perfecta, pero no es peor que las alternativas mencionadas. Tiene problemas cuando los que hablan no tienen buena dicción o lo hacen sobre música o algún otro sonido. Pero, imaginando la pregunta que me están haciendo, si, puede usarse para subtitular una serie o película. Aunque, por las limitaciones señaladas puede que haya que completarlos a mano.

Y, si los muchachos de Kdenlive se ponen un poco las pilas e integran algún módulo de traducción, la cosa sería perfecta.

Hay algo que podría mejorarse. Hoy por hoy, si quieres cambiar la apariencia de los subtítulos, deberás insertar código. Y, no hay forma de exportarlos. Solo podrás verlos incrustados en el video.

Pero, como dije más arriba, sin dudas el proyecto va por el buen camino.

from Linux Adictos https://ift.tt/3vRZaZF
via IFTTT

Anti-Virus

Make sure you have anti-virus software installed on your computer and that it is automatically updating. However, keep in mind that no anti-virus can catch all malware; your computer can still be infected. That is why it’s so important you use common sense and be wary of any messages that seem odd or suspicious.

from SANS Institute Security Awareness Tip of the Day https://ift.tt/3eXoXJ3
via IFTTT

Google Play anuncia una sección de privacidad que obligará a las aplicaciones a informar de cómo usan tus datos

Google Play anuncia una sección de privacidad que obligará a las aplicaciones a informar de cómo usan tus datos

Google quiere garantizarnos como usuarios la transparencia de cómo se usan nuestros datos no solo en sus productos sino también en todo el ecosistema de Android, y para ello la compañía anuncia una nueva sección de seguridad en Google Play para garantizar su tienda como un espacio seguro y confiable.

Para ello, Google Play nos ayudará a saber qué datos que afectan a nuestra privacidad y la seguridad van a ser recopilados y cómo por cada aplicación antes de descargarla. Es la evolución a la lista de permisos.


Continue reading

Google lanza su teclado Gboard en los relojes Wear OS

Google lanza su teclado Gboard en los relojes Wear OS

Este año podría ser muy importante para Wear OS. Tras un par de años prácticamente en “stand-by” con novedades y relojes que llegan con cuenta gotas. Hoy Google anuncia una novedad que llegará a los relojes en los próximos días e informa que están ansiosos por compartir todas las novedades que llegarán a Wear OS en 2021.

Google llevaba años sin lanzar una nueva aplicación para Wear OS, con lo que hoy nos ha sorprendido con el anuncio de Gboard para Wear OS. El famoso teclado de Google llega a sus relojes inteligentes.


Continue reading