• Tweet

Investigadores divulgaron hoy en una lista de correos pública sobre seguridad tres vulnerabilidades en el sitio web de la empresa de seguridad McAfee, al cual se le han encontrado varios errores con anterioridad.

El YGN Ethical Hacker Group dijo a la lista Full Disclosure que habían informado de los problemas a McAfee el 10 de febrero y dos días después, la compañía dijo que estaba trabajando para resolverlos. El grupo de divulgación los publicó después de notar que permanecían abiertos este fin de semana - un mes y medio más tarde-.

McAfee dice que está consciente de las vulnerabilidades y está trabajando para solucionarlas. "Es importante destacar que estas vulnerabilidades no exponen a ninguno de los clientes de McAfee, socio o información corporativa," dijo la compañía en un comunicado. "Además, no hemos visto ninguna explotación maliciosa de las vulnerabilidades".

McAfee caracterizó las vulnerabilidades como:

• Cross Site Scripting en download.mcafee.com. "En el peor caso esta vulnerabilidad podría permitir ataques de suplantación de la marca McAfee mediante la presentación de una dirección URL que parece que se dirige a un sitio web de McAfee, pero en realidad dirige a otra parte."
• Divulgación de información en www.mcafee.com. "Este problema proporciona algunos detalles sobre una aplicación de uso interno para medir el tráfico web, pero no revela ninguna información confidencial o alguna información de los clientes".
• Divulgación de información en download.mcafee.com. "Este problema proporciona acceso al código fuente de algunas páginas interactivas de nuestro sitio web, pero no proporciona ninguna información sensible o de algún socio".

"McAfee tiene políticas estrictas propias para sus sitios web y los servicios prestados por terceros", dijo la empresa. "Estamos investigando cómo estas vulnerabilidades en particular no fueron identificadas en nuestro proceso de investigación, si es necesario ajustaremos nuestros procesos".

McAfee ha tenido problemas con los huecos en sus sitios con anterioridad, como en 2009, cuando ciertas cuentas de clientes fueron expuestas por cross-site scripting y vulnerabilidades de cross-site request forgery, así como en 2008 y el año pasado.