Inicio Blog Página 2850

Samsung Electronics Anuncia Resultados del Primer Trimestre 2024

0

Samsung Electronics ha anunciado los resultados financieros del primer trimestre, finalizado el 31 de marzo de 2024. La compañía reportó unos ingresos consolidados de 71.92 billones de KRW, impulsados principalmente por la fuerte venta de los smartphones insignia Galaxy S24 y los elevados precios de los semiconductores de memoria. El beneficio operativo de Samsung aumentó hasta los 6.61 billones de KRW, resaltando el regreso a la rentabilidad de su negocio de Memoria gracias a la demanda de productos de alto valor añadido. Las divisiones de Experiencia Móvil (MX) y de Visual Display y Electrodomésticos Digitales lograron también una mayor rentabilidad.

La debilidad del won coreano frente a las principales monedas tuvo un impacto positivo en el beneficio operativo de la empresa, estimado en unos 0.3 billones de KRW en comparación con el trimestre anterior. Las inversiones de capital de Samsung en el primer trimestre fueron de 11.3 billones de KRW, de los cuales 9.7 billones se destinaron a la División de Soluciones de Dispositivos (DS) y 1.1 billones a Samsung Display Corporation (SDC). En memoria, la inversión se centró en tecnologías de empaquetado y en satisfacer la demanda de productos avanzados como HBM y DDR5.

En la división de Memoria, Samsung reportó unos ingresos consolidados de 23.14 billones de KRW y un beneficio operativo de 1.91 billones de KRW en el primer trimestre, destacando la fuerte demanda de DDR5 y SSDs de alta densidad, así como la atención a productos de alto valor como HBM y memoria para servidores.

Para el segundo trimestre, se espera que la industria continúe sólida, liderada por la demanda de inteligencia artificial (AI). La compañía empezó la producción en masa de HBM3E 8H y planea producir HBM3E 12H y productos DDR5 de 128GB basados en 1b nanómetros dentro del segundo trimestre. Además, comenzó la producción en masa de V9 NAND en la industria.

En cuanto a la división de System LSI, la oferta de SoCs y sensores aumentó, pero la mejora de los beneficios se vio afectada por la desaceleración en la demanda de paneles. Se anticipa que la división se beneficie de la recuperación gradual de la demanda de smartphones y está preparando la introducción de tecnologías avanzadas para nuevos wearables.

La división Foundry sufrió un retraso en la mejora de las ventas debido a la débil demanda del mercado y los ajustes de inventario, aunque las operaciones de fab se volvieron más eficientes. Se está progresando en el desarrollo de tecnologías avanzadas de 3nm y 2nm, lo que ayudó a lograr el mayor nivel de pedidos pendientes.

Para Samsung Display Corporation (SDC), se registraron ingresos consolidados de 5.39 billones de KRW y un beneficio operativo de 0.34 billones en el primer trimestre. La división de displays móviles mantuvo la oferta oportuna de pantallas flexibles para smartphones de alta gama y mejoró la tasa de utilización de pantallas rígidas. A pesar de la competencia, SDC planea incrementar las ventas de paneles grandes y expandir su base de productos premium en el segundo trimestre.

La división de Experiencia Móvil (MX) y Redes reportó ingresos consolidados de 33.53 billones de KRW y un beneficio operativo de 3.51 billones. A pesar de la menor demanda de smartphones en general, la serie Galaxy S24 tuvo fuertes ventas, manteniendo una alta rentabilidad.

Por último, las divisiones de Display Visual y Electrodomésticos Digitales obtuvieron ingresos consolidados de 13.48 billones de KRW y un beneficio operativo de 0.53 billones. Se centraron en productos premium para mejorar la rentabilidad, y se prevé que exploren nuevas oportunidades con eventos deportivos globales en el segundo trimestre, mientras que en la segunda mitad del año, se espera una recuperación gradual de la demanda de televisores.

Samsung mira hacia el futuro con optimismo, esperando que la demanda de AI impulse positivamente las condiciones comerciales en la segunda mitad de 2024, a pesar de las persistentes incertidumbres macroeconómicas y geopolíticas.
vía: Sala de Prensa de Samsung.

Balance mensual de los mercados de SIX muestra crecimiento sostenido

0

El reciente balance mensual de los mercados de SIX, la principal operadora de la bolsa suiza, ha revelado una serie de movimientos significativos que han capturado la atención de los inversionistas. Durante el último mes, los mercados han experimentado una mezcla de alzas y bajas que reflejan las continuas incertidumbres económicas globales.

En primer lugar, se ha observado un aumento en la volatilidad de las acciones, en parte debido a las preocupaciones persistentes sobre la inflación y las tasas de interés. Las acciones del sector tecnológico, que habían disfrutado de un período de crecimiento sostenido, mostraron algunas caídas, mientras que sectores como la energía y los bienes de consumo básico demostraron ser más resilientes ante las fluctuaciones del mercado.

Un punto destacado del informe es el rendimiento de las empresas suizas. Empresas de renombre internacional, como Nestlé y Novartis, registraron movimientos bursátiles interesantes. Nestlé, en particular, reportó un incremento en sus acciones gracias a sólidos resultados trimestrales que superaron las expectativas de los analistas. Por otro lado, Novartis enfrentó una ligera caída debido a ciertos desafíos regulatorios y ajustes en sus pronósticos de crecimiento.

El mercado de bonos también mostró una dinámica interesante. Los bonos soberanos suizos mantenieron su atractivo como refugio seguro en medio de la incertidumbre global. Sin embargo, los rendimientos de los bonos mostraron fluctuaciones, reflejando las expectativas cambiantes sobre las políticas monetarias futuras por parte de los bancos centrales.

En cuanto a las divisas, el franco suizo continuó desempeñándose como una moneda fuerte, apreciándose frente al euro y el dólar estadounidense. Esta fortaleza se debe en parte a la percepción del franco suizo como un activo seguro en tiempos de inestabilidad económica.

Por último, el informe destacó la importancia de la tecnología y la innovación en el sector financiero suizo. Las plataformas de trading y los servicios financieros digitales han seguido ganando terreno, ofreciendo nuevas oportunidades tanto para los inversores individuales como para las instituciones.

En resumen, el balance mensual de los mercados de SIX muestra un panorama mixto, con variaciones significativas en diferentes sectores y tipos de activos. La tendencia hacia la digitalización y el refugio en activos seguros siguen siendo factores clave que moldean el comportamiento del mercado en Suiza. Estos datos servirán de guía para los inversores que buscan navegar en el complejo entorno económico actual.

Cómo La IA Mejora Las Pruebas De Seguridad De Aplicaciones Estáticas (SAST)

En una encuesta realizada por GitHub en 2023, los desarrolladores revelaron que su tarea principal, después de escribir código (32%), era encontrar y corregir vulnerabilidades de seguridad (31%). A medida que los equipos integran controles de seguridad más temprano en el ciclo de vida del desarrollo de software (SDLC, por sus siglas en inglés), los desarrolladores se han convertido en la primera línea de defensa contra las vulnerabilidades.

Lamentablemente, este enfoque temprano ha significado trasladar la carga de las prácticas de seguridad a los desarrolladores, en lugar de ofrecerles beneficios. Sin embargo, con la ayuda de la inteligencia artificial (IA), existe una promesa de mejora: el 45% de los desarrolladores cree que los equipos se beneficiarán del uso de IA para facilitar las revisiones de seguridad.

Con este panorama, entrevistamos a Tiferet Gazit, líder de IA para GitHub Advanced Security, y a Keith Hoodlet, especialista principal en seguridad en GitHub. Ambos hablaron sobre los puntos de dolor en seguridad para los desarrolladores, el valor de utilizar herramientas de seguridad con IA y cómo la IA mejora las pruebas estáticas de seguridad de aplicaciones (SAST).

Antes de compartir las perspectivas de Gazit y Hoodlet, escuchamos a los desarrolladores directamente. En 2019, el equipo de One Engineering System de Microsoft entrevistó a varios desarrolladores para entender sus frustraciones con las normativas de seguridad y cumplimiento. Las principales quejas aún resuenan hoy en día: muchos desarrolladores se ven obligados a usar herramientas de seguridad que no están diseñadas para ellos, lo que impacta negativamente su capacidad para encontrar y abordar vulnerabilidades. Además, se espera que los desarrolladores revisen, entiendan y remedien vulnerabilidades como parte de sus responsabilidades diarias, a pesar de que su prioridad principal es escribir y revisar código.

Esta situación genera lo que se conoce como cambio de contexto, lo cual puede aumentar la carga cognitiva y disminuir la productividad. En resumen, la seguridad no es una parte intrínseca del proceso de desarrollo, y los desarrolladores a menudo se sienten menos seguros de la seguridad de su código.

Sin intervención, estas frustraciones solo aumentarán con el tiempo. Se espera que el 75% de los ingenieros de software empresarial utilicen asistentes de código impulsados por IA para 2028, según Gartner. A medida que los desarrolladores mejoren su productividad y escriban más código con herramientas como GitHub Copilot, habrá aún más código para revisar.

Por otro lado, los expertos en seguridad también están sobrecargados. A menudo se reporta que hay un especialista en seguridad por cada 100 desarrolladores, quien enfrenta la enorme tarea de establecer y hacer cumplir políticas de seguridad. Según un estudio de la ISC2, en 2023 se estima una demanda de cuatro millones más de profesionales de seguridad.

Aunque la IA no reemplaza a los expertos en seguridad, puede ayudarles a aumentar su conocimiento y capacidades, especialmente cuando su experiencia es altamente demandada. Gazit comenta: «La IA puede ayudar con las revisiones de código y seguridad para garantizar que el aumento de la velocidad no conlleve un incremento de vulnerabilidades».

Las herramientas SAST no son las únicas herramientas de seguridad utilizadas por los desarrolladores, pero son de las más populares. La IA puede ayudar a que estas herramientas funcionen de manera más eficiente, mejorando la detección de vulnerabilidades al modelar una amplia gama de marcos y bibliotecas de código abierto.

GitHub ha mostrado cómo la función de autofix de escaneo de código, impulsada por GitHub Copilot y CodeQL, puede sugerir correcciones de código junto con una alerta directamente en una solicitud de extracción, proporcionando explicaciones claras y específicas.

CodeQL realiza un escaneo completo del código cuando se realizan cambios en una base de código, alertando sobre vulnerabilidades antes de que los cambios sean fusionados a la rama principal. Esta capacidad permite a los desarrolladores monitorear continuamente la seguridad de su código, remediando vulnerabilidades durante el desarrollo y antes de que el código llegue a producción.

En conclusión, las organizaciones que adopten herramientas SAST mejoradas con IA pueden ayudar a los desarrolladores a sentirse más apoyados y productivos en sus prácticas de seguridad, permitiéndoles asegurar más código en desarrollo, ser más rápidos y eficaces en remediar vulnerabilidades, y recibir orientación de seguridad directamente en sus entornos de trabajo. Esto no solo protege mejor el SDLC y optimiza recursos, sino que también facilita la innovación continua.
vía: GitHub Security

Vivienda Prefabricada de Madera Premium a Menos de 10,000 Euros

0

En el corazón de la innovación arquitectónica, ha emergido una solución accesible y ecológica que podría revolucionar el mercado de la vivienda: la vivienda prefabricada de madera «premium». Este modelo de hogar, que sorprende tanto por su precio como por su calidad, ha captado la atención debido a su coste inferior a 10.000 euros, un detalle que pone la posibilidad de adquirir una vivienda digna al alcance de muchas más personas.

Estas viviendas prefabricadas no solo presumen de un precio competitivo, sino que también destacan por su diseño y funcionalidad. Con un enfoque en la sostenibilidad, los materiales utilizados para su construcción son en su mayoría de origen natural y reciclable. La madera, principal componente, no solo es una opción renovable, sino que también ofrece un excelente aislamiento térmico y acústico, lo que contribuye a un menor consumo energético y a una mejor calidad de vida para sus habitantes.

La rápida instalación es otro de los aspectos más atractivos de estas viviendas. Gracias a la prefabricación, los tiempos de construcción se reducen notablemente, permitiendo tener la casa lista en cuestión de días. Esto se traduce en una menor interrupción del entorno y una rápida transición hacia un nuevo hogar. Además, debido a su naturaleza modular, estas viviendas ofrecen la posibilidad de futuras ampliaciones o modificaciones, adaptándose a las cambiantes necesidades familiares.

Por si fuera poco, el diseño no sacrifica la estética a favor de la economía. Estas viviendas suelen presentar acabados modernos y elegantes, con interiores luminosos y bien distribuidos que optimizan el espacio disponible. Los fabricantes también ofrecen una variedad de opciones personalizables, desde configuraciones de habitaciones hasta la elección de acabados y colores, permitiendo a los compradores ajustar la vivienda a sus gustos y necesidades específicos.

El bajo costo no implica una disminución en la seguridad o la durabilidad. Estas viviendas están diseñadas para cumplir con estrictos estándares de calidad y resistencia. La madera utilizada suele ser tratada para resistir la humedad, plagas y otros factores ambientales, asegurando que el hogar tenga una larga vida útil y requiera un mantenimiento mínimo.

En una época en la que muchas familias luchan por encontrar una vivienda asequible, este tipo de soluciones emergen como una opción eficaz y humanitaria. Al combinar asequibilidad, calidad y sostenibilidad, las viviendas prefabricadas de madera «premium» presentan una prometedora alternativa en el mercado inmobiliario, desafiando las convenciones y ofreciendo a muchas personas la posibilidad de acceder al sueño de una casa propia sin incurrir en deudas asfixiantes.

Este avance en la tecnología y diseño de viviendas representa no solo una respuesta a la crisis de vivienda, sino también un paso hacia un futuro más sostenible y accesible para todos.

Samsung Lanza Oficialmente la Campaña Olímpica y Paralímpica en la Cuenta Regresiva Final hacia París 2024

0

A menos de 100 días para los Juegos Olímpicos de París 2024, Samsung Electronics, socio mundial de los Juegos Olímpicos y Paralímpicos, ha lanzado oficialmente su campaña «Open always wins». Esta iniciativa celebra los valores compartidos de apertura que la marca tiene en común con los Juegos Olímpicos y Paralímpicos. Además, Samsung anunció la gran inauguración de su exhibición Olympic™️ rendezvous @ Samsung en los Champs-Elysees 125, en el corazón de París.

La campaña «Open always wins», presentada en enero, destaca la creencia de Samsung de que la apertura permite nuevas perspectivas y posibilidades infinitas. La campaña debutó con las historias de miembros del equipo Samsung Galaxy, como el skater Aurélien Giraud (Francia), el velocista paralímpico Johannes Floors (Alemania) y la bailarina de breakdance Sarah Bee (Francia), demostrando cómo la apertura permite hacer cosas extraordinarias.

TM Roh, Presidente y Director del Negocio de Experiencia Móvil en Samsung Electronics, expresó: «Como socio mundial de los Juegos Olímpicos y Paralímpicos, Samsung ha impulsado la innovación y brindado tecnología y experiencias de vanguardia en los Juegos durante casi 40 años. La forma en que disfrutamos de los Juegos ha evolucionado dramáticamente con el tiempo, y la tecnología juega un papel crucial en traer el espíritu olímpico a la vida. Estamos entusiasmados de acercar a los aficionados y atletas más que nunca, abriendo nuevas experiencias y conexiones significativas en París 2024 con nuestra campaña ‘Open always wins’.»

Samsung también reveló una nueva exhibición, Olympic™️ rendezvous @ Samsung | Champs-Elysees 125, diseñada por el reconocido arquitecto ganador del Premio Pritzker, Jean Nouvel. Inspirado en los Salones parisinos de la Era de la Ilustración, el espacio celebra la apertura a nuevas perspectivas y posibilidades a través de reflejos e ilusiones ópticas que evocan sensaciones de apertura, armonía y conexión.

La inauguración de Olympic™️ rendezvous @ Samsung | Champs-Elysees 125 contó con una ceremonia de corte de cinta a la que asistieron TM Roh y embajadores del equipo Samsung Galaxy, como la surfista francesa Joanne Defay, el breakdancer británico Karam Singh y el nadador paralímpico francés Ugo Didier. También estuvieron presentes Anne-Sophie Voumard, Directora General de Televisión y Servicios de Marketing del Comité Olímpico Internacional, Pierre Rabadan, Subdelegado del Alcalde encargado de los Juegos Olímpicos y Paralímpicos para la Ciudad de París y Étienne Thobois, Director General del Comité Organizador de París 2024.

Anne-Sophie Voumard comentó: «Estamos emocionados de ver nuestros valores compartidos celebrados en estos ‘Juegos de puertas abiertas’ en este Olympic™️ rendezvous @ Samsung. Samsung ha jugado un papel crucial en elevar la experiencia de los fanáticos de los Juegos Olímpicos a través de su tecnología innovadora durante décadas, y estamos impresionados de verlos llevar esto al siguiente nivel con esta exhibición y las muchas maneras en las que apoyarán la realización de los próximos Juegos Olímpicos y Paralímpicos aquí en París.»

La exhibición Olympic™️ rendezvous @ Samsung, ubicada en el 125 Avenue des Champs-Élysées, abrirá sus puertas al público el 3 de mayo y estará disponible hasta el 31 de octubre, de 10:00 a 20:00 de lunes a sábado y de 11:00 a 20:00 los domingos. Durante el verano se llevarán a cabo eventos especiales y estará abierta a todos los que deseen sumergirse en los Juegos Olímpicos y Paralímpicos de París 2024. Además, Samsung abrirá más espacios Olympic™️ rendezvous @ Samsung por toda la ciudad, incluidos el Parque Olímpico, la Villa Olímpica y Paralímpica y el Centro de Prensa Principal, así como estaciones de carga Samsung Galaxy en los principales lugares de los Juegos.
vía: Sala de Prensa de Samsung.

BME se asocia con Spainsif para promover la sostenibilidad entre sus grupos de interés

0

BME ha formalizado su asociación a Spainsif con el objetivo de promover la sostenibilidad, uno de los pilares de su estrategia empresarial. Spainsif es una plataforma que opera como asociación sin ánimo de lucro referencia en materia de finanzas sostenibles y responsables en España. Su misión se centra en fomentar la integración de criterios ambientales, sociales y de buen gobierno en las políticas de inversión mediante el diálogo con los diferentes grupos sociales para contribuir al desarrollo sostenible, así como concienciar e impulsar cambios en los procesos de inversión en la comunidad inversora, las Administraciones Públicas, las empresas y la ciudadanía en general.

Los ejes de actividad de Spainsif son la representación institucional, la promoción, la comunicación y la formación con sus entidades miembro, formada por 116 instituciones públicas y privadas de primer nivel.

La asociación de BME con Spainsif está alineada con la estrategia de sostenibilidad de SIX, grupo al que pertenece.

“Formar parte de Spainsif dará impulso a las acciones que promueve el mercado español para impulsar la sostenibilidad, ya que una de las prioridades estratégicas es convertirse en un centro para las finanzas sostenibles. En este sentido, BME está comprometido en el fomento de productos y servicios financieros ESG para sus clientes, como los bonos verdes o los índices ESG, además de ofrecer apoyo a los intervinientes de mercado con herramientas para el reporting no financiero”, señala Javier Hernani, CEO de BME.

“Estamos encantados de dar la bienvenida a BME al foro. En un momento en que la disponibilidad de datos, el análisis de riesgos y la construcción de índices de sostenibilidad son cada vez más relevantes, su adhesión fortalece la capacidad de Spainsif para promover prácticas de financiación e inversión responsables y sostenibles en España, y nos acerca a alcanzar objetivos compartidos en favor del desarrollo sostenible», indica Andrea González, Directora General de Spainsif.

Actualización Sobre Nuestro Compromiso con la IA Generativa Segura y Responsable

Amazon reafirma su compromiso con la inteligencia artificial responsable

Amazon ha reiterado su compromiso con el desarrollo de inteligencia artificial (IA) responsable, un valor fundamental desde el principio de sus operaciones. La compañía ha integrado medidas de seguridad, equidad, robustez, seguridad y privacidad en sus procesos de desarrollo, además de educar a sus empleados en estas áreas. La práctica responsable de la IA no solo busca mejorar la vida de los clientes de Amazon, sino también garantizar los salvaguardas necesarios para su protección.

Hasta la fecha, Amazon ha desarrollado más de 70 herramientas y mecanismos que fomentan la IA responsable, ha publicado o financiado más de 500 investigaciones y formado a sus empleados con decenas de miles de horas de capacitación en IA responsable. Además, Amazon sigue ampliando su oferta de cursos gratuitos sobre IA responsable para personas de todas las edades y niveles de experiencia.

En abril de 2024, Amazon anunció la disponibilidad general de las «Guardrails for Amazon Bedrock» y la «Evaluación de Modelos en Amazon Bedrock». Estas herramientas permiten a los clientes implementar protecciones de seguridad y privacidad para sus aplicaciones de IA generativa, logrando bloquear hasta un 85% del contenido dañino.

En mayo, la compañía presentó una nueva «AI Service Card» para Amazon Titan Text Premier, un recurso que ofrece información detallada sobre los casos de uso, limitaciones y mejores prácticas de diseño y despliegue de sus servicios de IA. Hasta el momento, Amazon ha creado más de 10 AI Service Cards para garantizar la transparencia en el desarrollo de sus modelos y servicios de IA.

Amazon también ha introducido técnicas de watermarking en las imágenes generadas por Amazon Titan Image Generator para confirmar si el contenido es generado por IA, ayudando a combatir la desinformación. Esta medida incluye una API que verifica la existencia de una marca de agua en una imagen.

En términos de colaboración, Amazon ha unido fuerzas con el U.S. Artificial Intelligence Safety Institute Consortium y el «Tech Accord to Combat Deceptive Use of AI in 2024 Elections». Amazon ha donado $5 millones en créditos de cómputo AWS para desarrollar herramientas y metodologías que evalúan la seguridad de los modelos de IA.

En su misión de usar la IA para el bien común, Amazon ha apoyado iniciativas como Brainbox AI, que utiliza IA generativa para optimizar el uso de energía y reducir las emisiones de carbono en edificios comerciales, y Gilead, que acelera el desarrollo de medicamentos salvavidas utilizando IA.

Amazon continúa promoviendo la educación en IA responsable, ofreciendo formación gratuita y lanzando nuevos cursos sobre el uso seguro y responsable de la IA en sus plataformas educativas. Como líder en innovación de IA, Amazon se compromete a trabajar con otros actores para garantizar el desarrollo seguro y confiable de esta tecnología.
vía: AWS machine learning blog

Diez Años del Programa de Recompensas por Errores de Seguridad de GitHub

En 2024, GitHub celebra un importante hito: ¡10 años del Programa de Recompensas por errores de seguridad de GitHub! Este programa, que reconoce y recompensa a investigadores que encuentran y reportan vulnerabilidades, ha crecido y evolucionado significativamente desde su lanzamiento en 2014.

En sus primeros años, el programa usaba un sistema basado en correos electrónicos para gestionar los reportes, pero dos años después, en 2016, se migró a la plataforma HackerOne para una mejor gestión. En 2017, GitHub duplicó las recompensas y comenzó a participar en eventos como Hack the World. Para 2018, las investigaciones de los participantes estaban protegidas por la política Legal Safe Harbor, reduciendo las barreras de entrada para nuevos investigadores.

El programa ha visto un aumento del 40% en las presentaciones en 2019, año en que también se amplió su alcance para incluir más productos como GitHub Actions y GitHub Mobile. En 2020, GitHub fue reconocido como uno de los diez mejores programas de recompensas en HackerOne basado en varios criterios, incluyendo el monto acumulado de recompensas otorgadas.

En 2021, GitHub igualó más de 64.000 dólares en donaciones hechas por investigadores, beneficiando a diversas organizaciones benéficas. Un año después, se lanzó la tienda de artículos promocionales del Programa de Recompensas, permitiendo a los investigadores canjear sus recompensas por productos de GitHub.

El año 2023 fue especialmente destacable, con GitHub otorgando su recompensa individual más alta hasta la fecha de 75.000 dólares y superando los 4 millones de dólares en recompensas totales entregadas desde el inicio del programa. Además, GitHub también ha lanzado iniciativas como divulgaciones limitadas de reportes y mejoras en la transparencia y la comunicación con los investigadores.

En el futuro, GitHub tiene planes de mejorar aún más sus procesos de pago, avanzar hacia nuevas fases de divulgaciones públicas, y proporcionar más consistencia y oportunidades de capacitación para su comunidad VIP. Con estas iniciativas, GitHub continúa su compromiso con la seguridad, la comunidad de desarrolladores y sus clientes.

El Programa de Recompensas de GitHub sigue siendo una pieza fundamental en el esfuerzo de la empresa por mejorar la seguridad y construir productos más seguros con la colaboración activa de la comunidad de investigadores de seguridad.

Para más detalles sobre el programa, reglas y recompensas, se puede visitar su sitio web.

vía: GitHub Security

Comprende Cómo Funcionan las Vulnerabilidades de Deserialización Insegura en Proyectos Ruby

En un reciente análisis exhaustivo sobre vulnerabilidades informáticas, se ha demostrado cómo un atacante puede ejecutar comandos arbitrarios en un servidor remoto simplemente enviando JSON. Esto es posible si el código ejecutado contiene vulnerabilidades de deserialización insegura. Aunque esta característica puede parecer magia, en realidad trata de una combinación de técnica y esfuerzo.

En esta investigación se ha profundizado en cómo funcionan las vulnerabilidades de deserialización insegura y se ofrecen métodos para detectarlas en proyectos Ruby. Los ejemplos presentados utilizan la librería de serialización JSON para Ruby, Oj, aunque estas vulnerabilidades no se limitan a esta librería en particular. También se han presentando ejemplos que funcionan con otras librerías como Ox (XML), Psych (YAML) y Marshal (formato binario personalizado).

La clave de estas vulnerabilidades radica en la capacidad de las librerías de deserialización para soportar el polimorfismo, lo que implica la capacidad de instanciar clases arbitrarias o estructuras similares especificadas en los datos serializados. Un atacante puede encadenar estas clases para ejecutar código en el sistema objetivo.

El ejemplo presentado detallaba cómo construir un gadget de detección de deserialización insegura para Oj. Este gadget llama a una URL externa y está basado en un dispositivo universal de deserialización para Marshal y Ruby 3.0.3 adaptado para Oj y Ruby 3.3. Este gadget se utiliza para demostrar cómo invocar métodos de una clase de Ruby manipulando datos deserializados, permitiendo así la ejecución de comandos mediante métodos como hash.

En el caso de Oj, la deserialización insegura se podría explotar de la siguiente manera: al instanciar una clase con un campo member contenido en un JSON, se puede especificar la clase y el contenido de tal manera que, al colocarse dentro de un hash(map) como clave, se ejecuten comandos al invocar el método hash.

Además, se presentó un ejemplo donde un código JSON específico fue deserializado con Oj para abrir una calculadora en macOS como prueba de concepto. Al convertir este JSON en un objeto y colocar este objeto en un hash(map), se demostraba cómo un atacante podría manipular el comportamiento del programa para ejecutar comandos arbitrarios.

También se describieron los métodos para garantizar una ejecución más sólida de estos comandos mediante la construcción de cadenas de gadgets más complejas. Se especificó cómo usar métodos presentes en las clases estándar de Ruby para lograr el objetivo.

Para detectar estas vulnerabilidades sin tener acceso al código fuente, se puede emplear una cadena de gadgets de detección que llame a una URL especificada, marcada por servicios como Canarytokens o Burp Collaborator para recibir notificaciones cuando la URL sea llamada.

Finalmente, se presentó una cadena de gadgets para lograr la ejecución de código remoto (RCE), indicando cómo adaptar y mejorar exploits previos para versiones más recientes de Ruby. La búsqueda se centró en unir métodos y clases dentro de Ruby que permitieran la llamada de comandos arbitrarios o la manipulación de flujos de datos de manera controlada.

Para detectar vulnerabilidades de deserialización insegura con acceso al código fuente, y sin conocimientos previos de seguridad ni errores de implementación, se recomienda el uso de CodeQL y las herramientas de escaneo de código de GitHub. Esta metodología proporciona una manera sistemática de identificar y mitigar estas vulnerabilidades de manera efectiva.

vía: GitHub Security

Ataque de los Clones: Obtención de RCE en el Renderizador de Chrome con Propiedades de Objeto Duplicadas

El pasado marzo de 2024, un investigador reportó dos vulnerabilidades críticas en el motor de JavaScript de Chrome, v8, catalogadas como CVE-2024-3833 y CVE-2024-3832. Ambas vulnerabilidades, que permitían la ejecución remota de código (RCE) al visitar un sitio malicioso, fueron corregidas con la actualización a la versión 124.0.6367.60/.61 del navegador.

En particular, la vulnerabilidad CVE-2024-3833 se originaba en un fallo de corrupción de objetos que permitía crear propiedades duplicadas en objetos de v8. Esta técnica permitía la ejecución remota de código en el entorno aislado (sandbox) del renderizador de Chrome mediante un único acceso a un sitio malicioso.

El investigador describió cómo las nuevas características en Chrome a veces se implementan como características de prueba de origen antes de estar disponibles para el público en general. Los desarrolladores web pueden registrarse para probar estas características en sus sitios y proporcionar retroalimentación a Chrome. Sin embargo, este proceso contiene riesgos de seguridad inherentes. Un ejemplo previo de una vulnerabilidad similar involucraba la gestión de excepciones de WebAssembly, reportada como CVE-2021-30561. En ese caso, se pudo producir una confusión de tipos al crear propiedades de excepción duplicadas en WebAssembly, lo que también permitía ejecutar código arbitrario.

El nuevo fallo, CVE-2024-3833, implicó la adición de la integración de promesas de JavaScript en WebAssembly como una característica de prueba de origen. El investigador ilustró un método para generar propiedades duplicadas en objetos WebAssembly utilizando esta integración de promesas, similar al mecanismo que se explotó en la CVE-2021-30561. Al cambiar la variable global WebAssembly a un objeto diferente y luego activar la prueba de origen, se podía crear un objeto con propiedades duplicadas.

El investigador también explicó cómo un parche de endurecimiento previo había impedido la creación de objetos rápidos con propiedades duplicadas directamente. Sin embargo, detalló cómo podía aprovechar el fallo para crear objetos de diccionario con propiedades duplicadas y luego convertirlos en objetos rápidos.

Al explotar la vulnerabilidad, se podría conseguir una escritura fuera de los límites (OOB) en la PropertyArray de un objeto v8 específico. Este tipo de escritura OOB permite la reconfiguración de objetos en la memoria de v8, llevando potencialmente a una confusión de tipos y proporcionando un acceso fuera de los límites.

Finalmente, el investigador señaló que a pesar de que v8 ahora tiene un sandbox de memoria que aísla el heap de v8 del resto de la memoria del proceso, pudo eludir esta medida de seguridad. Manipuló la tabla de funciones importadas en instancias de WebAssembly para redirigir la ejecución a ubicaciones de memoria controladas, logrando así la ejecución de código arbitrario.

Este conjunto de vulnerabilidades ilustra los riesgos y complejidades involucradas en la implementación y prueba de características de nuevos navegadores, subrayando la importancia de la seguridad durante el desarrollo de software.

vía: GitHub Security