Como muchos sistemas operativos con calidad de producción, FreeBSD publica Security
Advisories (advertencias de seguridad. Estas advertencias suelen enviarse por correo a
las listas de seguridad e incluidas en la Errata solamente después de que la versión
apropiada haya sido corregida. Esta sección tiene como fin explicar en qué consiste una
advertencia de seguridad, cómo entenderla y qué medidas hay que tomar para parchear el
sistema.
Las advertencias de seguridad de FreeBSD tienen un aspecto similar a la que se muestra
aquí. Fué enviada a la lista de correo freebsd-security-notifications.
=============================================================================
FreeBSD-SA-XX:XX.UTIL Security Advisory
The FreeBSD Project
Topic: denial of service due to some problem
Category: core
Module: sys
Announced: 2003-09-23
Credits: Person@EMAIL-ADDRESS
Affects: All releases of FreeBSD
FreeBSD 4-STABLE prior to the correction date
Corrected: 2003-09-23 16:42:59 UTC (RELENG_4, 4.9-PRERELEASE)
2003-09-23 20:08:42 UTC (RELENG_5_1, 5.1-RELEASE-p6)
2003-09-23 20:07:06 UTC (RELENG_5_0, 5.0-RELEASE-p15)
2003-09-23 16:44:58 UTC (RELENG_4_8, 4.8-RELEASE-p8)
2003-09-23 16:47:34 UTC (RELENG_4_7, 4.7-RELEASE-p18)
2003-09-23 16:49:46 UTC (RELENG_4_6, 4.6-RELEASE-p21)
2003-09-23 16:51:24 UTC (RELENG_4_5, 4.5-RELEASE-p33)
2003-09-23 16:52:45 UTC (RELENG_4_4, 4.4-RELEASE-p43)
2003-09-23 16:54:39 UTC (RELENG_4_3, 4.3-RELEASE-p39)
FreeBSD only: NO
For general information regarding FreeBSD Security Advisories,
including descriptions of the fields above, security branches, and the
following sections, please visit
http://www.FreeBSD.org/security/.
I. Background
II. Problem Description
III. Impact
IV. Workaround
V. Solution
VI. Correction details
VII. References

- El campo Topic indica cuál es exactamente el problema.
Básicamente es la introducción de la advertencia de seguridad actual e indica el uso
malintencionado que puede darse a la vulnerabilidad.

- Category se refiere a la parte afectada del sistema, que
puede ser core, contrib o ports. La categoría core significa que la
vulnerabilidad afecta a un componente central del sistema operativo FreeBSD. La categoría
contrib significa que la vulnerabilidad afecta a software que no
ha sido desarrollado por el proyecto FreeBSD, como sendmail.
La categoría ports indica que la vulnerabilidad afecta a
software incluido en la colección de ports.

- El campo Module se refiere a la ubicación del componente,
por ejemplo sys. En este ejemplo vemos que está afectado el
módulo sys; por lo tanto esta vulnerabilidad afecta a
componentes utilizados dentro del kernel.

- El campo Announced refleja la fecha de publicación de la
advertencia de seguridad fué publicada o anunciada al mundo. Esto significa que el equipo
de seguridad ha verificado que el que el problema existe y que se ha incluido un parche
que soluciona el problema en el repositorio de código fuente de FreeBSD.

- El campo Credits le da el crédito al individuo u
organización que descubrió y reportó la vulnerabilidad.

- El campo Affects explica a qué versiones de FreeBSD afecta
esta vulnerabilidad. En el caso del kernel una rápida revisión de la salida de ident en los ficheros afectados ayudará a determinar la versión. En el
caso de de los ports el número de versión aparece después del nombre del port en
/var/db/pkg. Si el sistema no se sincroniza con el repositorio
CVS de FreeBSD y se reconstruye diariamente,
existe la posibilidad de que esté afectado por el problema de seguridad.

- El campo Corrected indica la fecha, hora, zona horaria y
versión de FreeBSD en que fué corregido.

- El campo FreeBSD only indica si la vulnerabilidad afecta
solamente a FreeBSD o si afecta también a otros sistemas operativos.

- El campo Background informa acerca de qué es exactamente la
aplicación afectada. La mayor parte de las veces se refiere a por qué la aplicación
existe en FreeBSD, para qué se usa y un poco de información de cómo llegó llegó a ocupar
el lugar que ocupa en el sistema o el árbol de ports.

- El campo Problem Description explica el problema de
seguridad en profundidad. Puede incluir información del código erróneo, o incluso cómo
puede usarse maliciosamente el error para abrir un agujero de seguridad.

- El campo Impact describe el tipo de impacto que el problema
pueda tener en un sistema. Por ejemplo, esto puede ser desde un ataque de denegación de
servicio, hasta una escalada de privilegios de usuario, o incluso ofrecer al atacante
acceso de superusuario.

- El campo Workaround ofrece una solución temoral posible para
los administradores de sistemas que tal vez no puedan actualizar el sistema. Esto puede
deberse a la falta de tiempo, disponibilidad de de red, o a muchas otras razones. A pesar
de todo la la seguridad no se debe tomar a la ligera y un sistema afectado debe
parchearse al menos aplicar una solución temporal para el agujero de seguridad.

- El campo Solution ofrece instrucciones para parchear el
sistema afectado. Este es un método paso a paso, probado y verificado para parchear un
sistema y que trabaje seguro.

- El campo Correction Details despliega la rama del
CVS o el nombre de la versión con los puntos
cambiados a guiones bajos. También muestra el número de revisión de los ficheros
afectados dentro de cada rama.

- El campo References suele ofrecer fuentes adicionales de
información: URL, libros, listas de correo y
grupos de noticias.