Dos Nuevas Vulnerabilidades Críticas en TrueCrypt

Bogotá D.C. octubre 02 de 2015.

En el momento de elegir las herramientas a usar en la era digital, los usuarios se fían de las alternativas y la seguridad que ellas presentan. Es por esto que cada una de las empresas actualiza sus herramientas a diario, reduciendo el nivel de vulnerabilidad para controlar la seguridad de los datos personales de los usuarios.

Halladas dos vulnerabilidades críticas en TrueCrypt.

Luego de dos años de análisis, se ha podido confirmar que la famosa herramienta de cifrado, TrueCrypt, podría exponer los datos del usuario a los atacantes, mediante la explotación de dos vulnerabilidades de seguridad críticas.

TrueCrypt ya había sido auditado anteriormente, sin haber encontrado vulnerabilidades críticas no backdoors. Ahora, James Forshaw, investigador de seguridad de Google Project Zero ha encontrado un par de defectos que permiten la elevación de privilegios en el paquete original de TrueCrypt.

Al parecer, las vulnerabilidades no permitirían a un atacante descifrar directamente los datos de la unidad.

En cambio, su explotación exitosa permite la instalación de malware en la máquina de la víctima, que sería suficiente para averiguar la clave de descifrado de TrueCrypt y otros datos sensibles.

Detalles de la vulnerabilidad

Las dos vulnerabilidades de TrueCrypt han sido clasificadas como críticas

• CVE-2015-7358: Esta vulnerabilidad se produce porque el driver de TrueCrypt no valida correctamente el enlace simbólico usado para asignar las letras de la unidad de los volúmenes cifrados.

Como resultado, un atacante puede obtener acceso a un proceso en ejecución y obtener privilegios administrativos completos.

• CVE-2015-7359: El driver del controlador de TrueCrypt no valida el usuario en el contexto de seguridad, y un atacante podría suplantar a un usuario autenticado.

El investigador James Forshaw no ha anunciado públicamente ningún detalle sobre las fallas, pero dijo en su cuenta de Twitter que las vulnerabilidades se publicarían luego de ser revisadas por los proyectos actuales.

Por lo tanto, es hora de migrar a nuevas herramientas actualizadas como CipherShed y Veracrypt. Esta última ya ha publicado la versión VeraCrypt 1.15 con las vulnerabilidades solucionadas.

En el momento que se generan vulnerabilidades en las herramientas y empresas, sus competidores buscan la alternativa de mejoramiento y así llegar a nuevos usuarios quienes a diario mejoran la seguridad en sus equipos protegiendo sus datos personales, documentos y archivos.

Fuente: The Hacker News. Segu.Info