Como muchos sistemas operativos con calidad de producción,
FreeBSD publica “Security Advisories” (advertencias de
seguridad. Estas advertencias suelen enviarse por correo a las
listas de seguridad e incluidas en la Errata solamente después
de que la versión apropiada haya sido corregida. Esta
sección tiene como fin explicar en qué consiste una
advertencia de seguridad, cómo entenderla y qué
medidas hay que tomar para parchear el sistema.
Las advertencias de seguridad de FreeBSD tienen un aspecto
similar a la que se muestra aquí. Fué enviada a la
lista de correo freebsd-security-notifications.
=============================================================================
FreeBSD-SA-XX:XX.UTIL Security Advisory
The FreeBSD Project
Topic: denial of service due to some problem
Category: core
Module: sys
Announced: 2003-09-23
Credits: Person@EMAIL-ADDRESS
Affects: All releases of FreeBSD
FreeBSD 4-STABLE prior to the correction date
Corrected: 2003-09-23 16:42:59 UTC (RELENG_4, 4.9-PRERELEASE)
2003-09-23 20:08:42 UTC (RELENG_5_1, 5.1-RELEASE-p6)
2003-09-23 20:07:06 UTC (RELENG_5_0, 5.0-RELEASE-p15)
2003-09-23 16:44:58 UTC (RELENG_4_8, 4.8-RELEASE-p8)
2003-09-23 16:47:34 UTC (RELENG_4_7, 4.7-RELEASE-p18)
2003-09-23 16:49:46 UTC (RELENG_4_6, 4.6-RELEASE-p21)
2003-09-23 16:51:24 UTC (RELENG_4_5, 4.5-RELEASE-p33)
2003-09-23 16:52:45 UTC (RELENG_4_4, 4.4-RELEASE-p43)
2003-09-23 16:54:39 UTC (RELENG_4_3, 4.3-RELEASE-p39)
FreeBSD only: NO
For general information regarding FreeBSD Security Advisories,
including descriptions of the fields above, security branches, and the
following sections, please visit
http://www.FreeBSD.org/security/.
I. Background
II. Problem Description
III. Impact
IV. Workaround
V. Solution
VI. Correction details
VII. References

- El campo Topic indica cuál es
exactamente el problema. Básicamente es la
introducción de la advertencia de seguridad actual
e indica el uso malintencionado que puede darse a la
vulnerabilidad.

- Category se refiere a la parte afectada del
sistema, que puede ser
core, contrib o
ports. La categoría
core significa que la vulnerabilidad afecta
a un componente central del sistema operativo FreeBSD. La
categoría contrib significa que la
vulnerabilidad afecta a software que no ha sido desarrollado por
el proyecto FreeBSD, como sendmail.
La categoría ports indica que la
vulnerabilidad afecta a software incluido en la colección
de ports.

- El campo Module se refiere a la
ubicación del componente, por ejemplo
sys. En este ejemplo vemos que está
afectado el módulo sys;
por lo tanto esta vulnerabilidad afecta a componentes
utilizados dentro del kernel.

- El campo Announced refleja la fecha
de publicación de la advertencia de seguridad fué
publicada o anunciada al mundo. Esto significa que el equipo
de seguridad ha verificado que el que el problema existe y que
se ha incluido un parche que soluciona el problema en el
repositorio de código fuente de FreeBSD.

- El campo Credits le da el crédito al
individuo u organización que descubrió y reportó
la vulnerabilidad.

- El campo Affects explica a qué
versiones de FreeBSD afecta esta vulnerabilidad. En el caso del
kernel una rápida revisión de la salida de
ident en los ficheros afectados
ayudará a determinar la versión. En el caso de
de los ports el número de versión aparece
después del nombre del port en
/var/db/pkg. Si el sistema no se
sincroniza con el repositorio CVS de
FreeBSD y se reconstruye diariamente, existe la posibilidad de
que esté afectado por el problema de seguridad.

- El campo Corrected indica la fecha, hora,
zona horaria y versión de FreeBSD en que fué
corregido.

- El campo FreeBSD only indica si la
vulnerabilidad afecta solamente a FreeBSD o si afecta
también a otros sistemas operativos.

- El campo Background informa acerca de
qué es exactamente la aplicación afectada.
La mayor parte de las veces se refiere a por qué la
aplicación existe en FreeBSD, para qué se usa y
un poco de información de cómo llegó
llegó a ocupar el lugar que ocupa en el sistema o el
árbol de ports.

- El campo Problem Description explica el
problema de seguridad en profundidad. Puede incluir
información del código erróneo,
o incluso cómo puede usarse maliciosamente el error
para abrir un agujero de seguridad.

- El campo Impact describe el tipo de
impacto que el problema pueda tener en un sistema. Por ejemplo,
esto puede ser desde un ataque de denegación de servicio,
hasta una escalada de privilegios de usuario, o incluso
ofrecer al atacante acceso de superusuario.

- El campo Workaround ofrece una
solución temoral posible para los administradores
de sistemas que tal vez no puedan actualizar el sistema.
Esto puede deberse a la falta de tiempo, disponibilidad de
de red, o a muchas otras razones. A pesar de todo la
la seguridad no se debe tomar a la ligera y un sistema
afectado debe parchearse al menos aplicar una
solución temporal para el agujero de
seguridad.

- El campo Solution ofrece instrucciones
para parchear el sistema afectado. Este es un método paso
a paso, probado y verificado para parchear un sistema y que
trabaje seguro.

- El campo Correction Details despliega
la rama del CVS o el nombre de la
versión con los puntos cambiados a guiones bajos.
También muestra el número de revisión de
los ficheros afectados dentro de cada rama.

- El campo References suele ofrecer fuentes
adicionales de información:
URL, libros, listas de correo y grupos
de noticias.