Daboweb | Seguridad y ayuda informática |

Uno de los quebraderos de cabeza de quien mantiene un sitio web puede ser la instalación de añadidos o «mods» en el CMS que utilizan. Se trata normalmente de módulos creados por terceros o por el mismo equipo que desarrolla el gesto de contenidos para implementar nuevas funcionalidades o mejoras.

En este caso, refiriéndonos al sistema de foros phpBB, acaban de liberar la versión 1.0.0-RC 2 (Release Candidate, versión no final) de AutoMOD, una herramienta para instalar módulos en phpBB de forma automatizada sin tener que editar nada manualmente por parte de quien los implementa. Ellos en buena lógica avisan que no se use en sitios web en producción, si para hacer pruebas localmente o por parte de quien esté desarrollando módulos para phpBB.

En la sección de descargas también hay traducciones para otros idiomas diferentes al inglés. Sólo recordar que en ocasiones, un módulo creado por terceros, puede que por una falta de actualización lleve a sufrir problemas de seguridad en vuestro CMS. Por este motivo, hay que estar al tanto del estado de desarrollo de los módulos que se usen al igual que se hace con el propio CMS.

Más información en el blog de phpBB | Sección de AutoMOD | Cambios nueva versión (ENG).

Se han reportado por parte de JPCERT/CC dos vulnerabilidades en el gestor de contenidos Movable Type. Dichos bugs son explotables remotamente y están considerados como de riesgo moderado para el CMS.

Concrétamente se trata de un desbordamiento del búfer y un salto de las restricciones de seguridad del software que podrían llevar a ataques Cross Site Scripting o desvelar información sensible del site. El hilo conductor de estos fallos viene dado por errores de validación de entrada en el script «mt-wizard.cgi».

Aún estando catalogados como de riesgo moderado, se recomienda actualizar Movable Type a la mayor brevedad posible, siendo las versiones afectadas las anteriores a la 4.26.

Sección de descarga de Movable Type | Fuente VUPEN Security.

Tal y como viene siendo habitual, Maty nos ofrece una más que completa lista recién actualizada de sus filtros para el complemento de Firefox Adblock Plus.

Para quienes no lo conozcan, este complemento se muestra como la mejor solución para navegar sin ver la publicidad en la mayoría de los sitios web que visitamos habitualmente.

Esto es concretamente lo que nos cuenta Maty sobre Adblock y sus filtros;

Adblock Plus permite bloquear elementos de una página web que sean molestos, como cualquier tipo de publicidad. Tiene una opción de filtros con comodines y expresiones regulares, así como también una lista blanca de páginas web que se no verán afectadas por los filtros.

Además, podemos hacer uso de otras funcionalidades implementadas en los navegadores que renderizan con Gecko, con lo que se reduce y generaliza el número de reglas/filtros.

En esta nueva actualización, se ha tenido en cuenta el filtrado en las búsquedas que utilizan los motores de Ask, Google y Yahoo! También se han solucionado los problemas de visualización en dos digitales: elplural.com y avui.cat, así como la inclusión de nuevas reglas para otros sitios.

Una vez más volvemos a dar la enhorabuena a Maty por el gran trabajo realizado -;).

Se ha liberado la versión 2.0.172.33 de Google Chrome y según nos informan desde el blog de Chrome, solventa una vulnerabilidad catalogada como crítica en un navegador que cada vez va adquiriendo más cuota de mercado, siendo por tanto más que aconsejable su inmediata actualización.

Concretamente, el bug parcheado se trataba de un desbordamiento del búfer procesando respuestas HTTP debidamente manipuladas para tal fin. Esas peticiones recibidas de un servidor web podían llevar a cerrar el navegador y en el peor de los casos permitían a atacantes remotos ejecutar código arbitrario en el sistema afectado.

Más información en Google Chrome Releases.

El equipo de desarrollo del cliente de correo de Mozilla acaba de anunciar la nueva versión 2.0.0.22 de Thunderbird. Concretamente, esta release solventa hasta 7 vulnerabilidades alguna de ellas clasificada como de alto riesgo para el sistema.

Esta versión está disponible ya para sistemas Windows, GNU/Linux y Mac OS X y puede descargarse a través del menú «Ayuda» del cliente de correo «Buscar actualizaciones». Dados los bugs que solventa se recomienda actualizar el software a la mayor brevedad posible.

Vulnerabilidades solucionadas en Thunderbird 2.0.0.22;

MFSA 2009-33 Crash viewing multipart/alternative message with text/enhanced part
MFSA 2009-32 JavaScript chrome privilege escalation
MFSA 2009-29 Arbitrary code execution using event listeners attached to an element whose owner document is null
MFSA 2009-27 SSL tampering via non-200 responses to proxy CONNECT requests
MFSA 2009-24 Crashes with evidence of memory corruption (rv:1.9.0.11)
MFSA 2009-17 Same-origin violations when Adobe Flash loaded via view-source: scheme
MFSA 2009-14 Crashes with evidence of memory corruption (rv:1.9.0.9)

Más información en Mozilla.org | Vía H-Online | Tutorial de Thunderbird (en Daboweb)

Hoy es el día del estreno de una nueva versión de ESET Online Scanner, un potente antivirus en línea gratuito que cuenta con la avalada tecnología «ThreatSense (c) que impulsa al conocido antivirus NOD32 (tutorial).

Os recordamos que está disponible para sistemas Windows (98, Me, NT 4.0, 2000, XP y Vista) y se ejecuta desde navegadores como Internet Explorer 5.0 o posteriores (Vía Controles ActiveX), Firefox 2.x o 3.x (salvo 3.5 RC), Opera, Safari, Netscape navigator y Chrome. Su instalación es muy sencilla y cuenta con la misma base de datos de virus conocidos y otros riesgos potenciales para vuestros equipos que NOD32 (virus, gusanos, troyanos, phising o spyware) de una actualización permanente.

Apuntar que no proporciona una protección «residente» o permanente en vuestro equipo, como puede ser la que ofrece un antivirus tradicional instalado en el sistema, pero esta herramienta puede ser muy útil cuando se trata de intentar limpiar un equipo infectado o para comprobar en sistemas Windows con antivirus que no estén debidamente actualizados, si existe alguna amenaza no detectada.

Es capaz de escanear todo tipo de archivos, incluyendo los comprimidos (rar, zip, etc), ejecutables empaquetados o en mensajes de correo electrónico, por lo que puede ser un buen complemento tanto para vuestro antivirus habitual (ya que no entrará en conflicto con él al no instalarse más que como un «subprograma») como en el caso que comentaba antes en sistemas de poca o nula actualización o el que no exista un antivirus.

Las mejoras de esta nueva versión son;

Soporte como hemos citado arriba para múltiples navegadores, motor de ESET NOD32 v4 (incluyendo la tecnología Anti-Stealth para detección anti-rootkit), escaneos configurables por el usuario (posibilidad de elegir en que carpetas se buscará), soporte para plataformas de 64 bits, nueva interfaz gráfica mejorada, información sobre antivirus instalado en el sistema y la posibilidad de colocar los ficheros afectados en una carpeta de cuarentena para después poder restaurarlos o eliminarlos definitivamente.

Acceso a ESET Online Scanner (sólo con privilegios de admin) | Más información sobre la nueva versión.

Como mucho sabréis, anteayer fue el día del lanzamiento de la esperada versión 3.0 del iPhone OS, sistema operativo que incorpora el teléfono de Apple, con nuevas funcionalidades y mejoras, pero también el de una gran corrección de bugs (muchos compartidos en el iPod Touch).

Días atrás, ya os resumimos la lista de novedades del iPhone 3 GS y de esta versión 3.0 del software, lo que en ese momento nadie salvo Apple sabía, es que traía consigo la solución a 46 vulnerabilidades (inexplicablemente) heredadas de versiones anteriores, algunas conocidas y otras no. Hace no mucho yo mismo opiné sobre la falta de seriedad en asuntos de seguridad de la que últimamente está haciendo gala Apple (véase el tiempo que han tardado en parchear su bug en Java).

La lista parches aplicados es muy amplia, sirvan como ejemplo las 23 que se han solventado en WebKit y Safari, que se lleva la palma respecto posibles ejecuciones de código arbitrario en sitios web especialmente manipulados para explotar dichos bugs. Además de en Safari, se han corregido vulnerabilidades en CoreGraphics, Exchange, ImageIO, ICU, IPSec, libxml, PDF, Mail, Codecs de vídeo MPEG-4, etc, por lo que es más que recomendable actualizar a la mayor brevedad posible vía iTunes.

Por David Hernández (Dabo).

Fuente Vupen.

Lo del título viene a colación por el nombre («Morro») del que será el futuro antivirus que Microsoft ofrecerá gratuitamente a sus usuarios. Está cerca de recibir la consideración de «Beta» y actualmente, Morro, está siendo probado por empleados de Microsoft y gente del grupo de desarrollo, se está hablando de que ofrecerá una protección básica contra virus, troyanos, spyware y demás malware.

En muchos sitios se ha hablado del fiasco que supuso «Windows Live OneCare», un antivirus de la casa por el que había que pagar y que no consiguió como esperan con Morro (que es un nombre clave y puede llamarse de otro modo cuando salga a la luz) quitar cuota de mercado a dos grandes del sector como McAfee o Symantec.

También se ha comentado que no se ofrecerá empaquetado dentro de Windows sino como una descarga, previsiblemente para no tener problemas con los diferentes tribunales de la competencia como le ha pasado con Explorer, aún no hay fechas para su lanzamiento pero es posible que su puesta de largo coincida con el lanzamiento de Windows 7 antes de que acabe el año.

Personalmente, no creo que usuarios que estén acostumbrados a usar productos un tanto más profesionales como Nod32 o Kaspersky tengan pensado cambiar, pero si que además de las versiones de pago de McAfee o Symantec, a quienes más puede afectar puede ser a productos que se distribuyen también de forma gratuita como versiones de Bit Defender, u otros antivirus gratuitos como Avast Home Edition, AVG Anti-virus, Antivir Personal Free.

El tiempo lo dirá, pero creo que es una buena noticia hablando de seguridad que Microsoft se ponga las pilas en estos temas y más aún desde su posición dominante en el mercado además de que mantenga una actitud responsable en estas cuestiones, práctica a la que no nos tiene muy acostumbrados históricamente pero que en los últimos tiempos parece que algo está cambiando.

Fuente Reuters. (ENG)

Por David Hernández, (Dabo)

Ya vimos como crear un CD de Windows XP booteable con el SP2 integrado, realizado por nuestro compañero Pegma.

Ahora lo vamos a crear de otro modo, y aun más completo si cabe, vamos a crear un CD personalizado con nuestro Windows XP, al que le vamos a integrar o añadir Service Pack  y también todas las actualizaciones críticas que han aparecido hasta hoy, además, le vamos a quitar a Windows todo aquello que no usamos y que normalmente quitamos después de instalar.
Naturalmente el CD será también booteable. Por supuesto, quienes tengan el CD de Windows ya con el Servipack 2 pueden integrarle las actualizaciones y personalizarlo a su modo.

Todo esto lo vamos a realizar con un programa gratis, que viene con la opción de ponerlo en castellano, pequeño, de tan sólo 2,6 megas, llamado nLite que podemos bajar de su página oficial http://www.nliteos.com.

El programa, es muy fácil de usar, con un menú donde escoger la opción u opciones y mediante un asistente que nos irá guiando, tanto para la integración de actualizaciones como para quitar permanentemente componentes de Windows, de forma que, cuando la próxima vez reinstalemos Windows, no tendremos que quitar nada, puesto que ya no se instalará.
Como añadido, el programa viene con una opción para crear una imagen iso, que como dije, será bootable, lista para grabar en CD con el software que normalmente usemos para ello.

También podemos integrar controladores, y haciéndolo un poco más complicado, integrar en el mismo DVD las aplicaciones que nosotros queramos, y digo DVD porqué lógicamente en un CD ya no sería posible por el tamaño, aunque para hacer eso debemos modificar los archivos de extensión .inf de los propios programas, de ahí que en este tutorial no lo vayamos a ver.

Esto, no sólo nos viene bien para instalar un Windows a la carta, también para poder correrlo en aquellas máquinas poco potentes que todavía quedan, y también, algo importante a mencionar, la instalación dura bastante menos.

Como se trata de un manual muy largo, se ha dividido en secciones o manuales independientes para hacer más sencilla su lectura y puesta en práctica.

INDICE DE MANUALES:
INSTALACIÓN E INTEGRACION DE SERVICE PACK Y ACTUALIZACIONES CON nLITE
CREAR Y GRABAR IMAGEN ISO DE nLite
ELIMINAR COMPONENTES y AJUSTES
INTEGRAR DRIVERS O CONTROLADORES
INSTALACIÓN DESATENDIDA
OPCIONES Y PARCHES

Continue reading…

Se encuentra disponible para su descarga la última versión estable del Kernel (o núcleo) de GNU/Linux. Concretamente la número; 2.6.30.

FAQS o preguntas frecuentes sobre el Kernel Linux.

Descargar Kernel Linux.

Desde la fundación Mozilla nos informan que está disponible una nueva actualización de seguridad para Firefox etiquetada con el número de versión 3.0.11.

Esta actualización de Mozilla Firefox viene a corregir entre otras, cuatro vulnerabilidades críticas, una alta, dos moderadas y dos bajas del navegador.

Se recomienda a todos los usuarios que actualicen a la mayor brevedad posible sus navegadores para estar protegidos ante la posible explotación de alguna de estas vulnerabilidades.

Vulnerabilidades notificadas:

• MFSA 2009-32: JavaScript chrome privilege escalation

• MFSA 2009-31: XUL scripts bypass content-policy checks

• MFSA 2009-30: Incorrect principal set for file: resources loaded via location bar

• MFSA 2009-29: Arbitrary code execution using event listeners attached to an element whose owner document is null

• MFSA 2009-28: Race condition while accessing the private data of a NPObject JS wrapper class object

• MFSA 2009-27: SSL tampering via non-200 responses to proxy CONNECT requests

• MFSA 2009-26: Arbitrary domain cookie access by local file: resources

• MFSA 2009-25: URL spoofing with invalid unicode characters

• MFSA 2009-24: Crashes with evidence of memory corruption (rv:1.9.0.11)

El navegador web Mozilla Firefox está disponible para varios sistemas e idiomas incluido el español.
La actualización puede realizarse desde el propio navegador mediante la actualización automática a través del menú Ayuda -> Buscar actualizaciones si no tenéis configurada la detección automática de nuevas versiones, o bien, realizar la descarga manualmente e instalar posteriormente.

Descarga de Firefox 3.0.11 | Notas de la versión | Bugs corregidos.

Otro mes más os recomendamos la lectura de la veterana revista electrónica de seguridad (IN)SECURE Magazine, es de libre descarga, escrita en Inglés y el formato en que se distribuye es en PDF.

En el caso de que quieras descargar alguno de los números anteriores puedes hacerlo desde la sección «archivo«, allí encontraras la ilustración de la portada y el un índice de contenidos del número elegido.

A continuación, la lista de temas de Junio;

– Malicious PDF: Get owned without opening
– Review: IronKey Personal
– Windows 7 security features: Building on Vista
– Web 2.0 emerging threats
– Using Wireshark to capture and analyze wireless traffic
– Q&A: Paul Cooke on Windows 7
– RSA Conference 2009
– Your applications are trying to tell you something – are you listening?
– Q&A: Hord Tipton on certification and (ISC)2
– «Unclonable» RFID – a technical overview
– The application security maturity (ASM) model
– Secure development principles
– Enterprise risk and compliance reporting
– Q&A: Ron Gula on Nessus and Tenable Network Security
– Infosecurity Europe 2009
– Establish your social media presence with security in mind
– HTTPS is bad?
– A historical perspective on the cybersecurity dilemma
– Q&A: Brent Huston on security in general, CEO challenges and Microsolved
– Black Hat Europe 2009
– Germany: The current debate on the Internet filter
– A risk-based, cost effective approach to holistic security

Descarga de (IN)SECURE Magazine nº21.

Bajo el nombre del trompetista y vocalista Chet Baker, ha sido liberada para descarga, instalación y/o actualización la versión estable y, de momento, definitiva de WordPress, la 2.8

Como es costumbre por estos lares recordamos como actualizar el más popular de los CMS para su uso en blogs:

Para actualizar haremos lo siguiente, previa copia de seguridad, especialmente de aquellos archivos que hayamos modificado y del archivo wp-config.php:

• Desactivamos los plugins.
• Renombramos las carpetas wp-admin/ y wp-includes/ como wp-adminOLD/ y wp-includesOLD/
• Subimos los ficheros nuevos y sobreescribimos todo.
• Ejecuta en el navegador http://tusitio/wp-admin/upgrade.php
• Si necesitas actualizar algún plugin hazlo ahora y reactívalos.

Eso es todo, si no falla nada puedes borrar las carpetas renombradas.

Podéis leer también nuestra guía para actualizar WordPress (sin sustos)

Página de descarga.

Saludos y buenas instalaciones/actualizaciones.

Se encuentran disponibles desde Microsoft las actualizaciones o boletines de seguridad publicados para Junio de 2009.

En esta ocasión, se compone de diez (10) actualizaciones de seguridad, seis (6) catalogadas como críticas, tres (3) como importantes y una (1) moderada, que vienen a solventar varias vulnerabilidades, que podrían permitir la Ejecución remota de código, elevación de privilegios y divulgación de información, en los sistemas no actualizados.

La actualización se encuentra disponible desde el propio update automático de Windows o bien, mediante su descarga manual y posterior instalación. Como siempre, recomendamos actualizar los sistemas a la mayor brevedad posible.

Críticas:

• Boletín de seguridad de Microsoft MS09-018: Vulnerabilidades en Active Directory podrían permitir la ejecución remota de código (971055).

• Boletín de seguridad de Microsoft MS09-022: Vulnerabilidades en el administrador de trabajos en cola de Windows podrían permitir la ejecución remota de código (961501)

• Boletín de seguridad de Microsoft MS09-019: Actualización de seguridad acumulativa para Internet (969897).

• Boletín de seguridad de Microsoft MS09-027: Vulnerabilidades en Microsoft Office Word podrían permitir la ejecución remota de código (969514).

• Boletín de seguridad de Microsoft MS09-021: Vulnerabilidades en Microsoft Office Excel podrían permitir la ejecución remota de código (969462).

• Boletín de seguridad de Microsoft MS09-024: Una vulnerabilidad en los convertidores de Microsoft Works podría permitir la ejecución remota de código (957632).

Importantes:

• Boletín de seguridad de Microsoft MS09-026: Una vulnerabilidad en RPC podría permitir la elevación de privilegios (970238).

• Boletín de seguridad de Microsoft MS09-025: Vulnerabilidades del kernel de Windows podrían permitir la elevación de privilegios (968537).

• Boletín de seguridad de Microsoft MS09-020: Vulnerabilidades en Internet Information Services (IIS) podría permitir la elevación de privilegios (970483).

Moderada:

• Boletín de seguridad de Microsoft MS09-023: Una vulnerabilidad en Búsqueda de Windows podría permitir la divulgación de información (963093).

También y como cada mes, está disponible una nueva actualización del programa de eliminación de software malintencionado de Microsoft para sistemas Windows Xp, Windows 2000, Windows 2003 Server y Windows Vista.

Esta herramienta no es un sustituto del antivirus, busca infecciones causadas por software malintencionado específico que actualmente existe (como Blaster, Sasser y Mydoom) en equipos con Windows XP, Windows 2000, Windows Server 2003 y Windows Vista instalado, y ayuda a eliminarlas.

# Boletín y descarga de actualizaciones de Junio 2009.

En la Keynote de ayer Lunes Apple ha superado con creces las expectativas creadas por la mayoría de sitios web dedicados íntegramente al mundo Mac.

Y es que no es para menos, hoy no estaba Steve Jobs en el escenario, pero los «fan boys» de Apple pueden estar contentos por la gran cantidad de novedades presentes y futuras que se han presentado en una Keynote que será recordada como de las más extensas, vamos a dar un repaso a todo lo nuevo que sobre el papel pinta muy bien.

Safari 4 para Mac OS X y Windows versión final;

La versión final del navegador Safari de Apple ha salido hoy a la luz, con un respeto mayor por los estándares (100/100 en el test Acid3), más velocidad y estabilidad, Safari 4 cuenta con el nuevo motor de Javascript «nitro» que es casi 5 veces más rápido que el que incorporaba Safari 3x, nuevas funcionalidades como «Top Sites», búsqueda en todo el historial, vista tipo «Cover Flow» así como un mayor soporte para HTML 5, mejoras en CSS, etc.

Información y descarga de Safari 4 final para Mac y PC (Disponible en el menú «Actualización de Software»)

Nuevo iPhone 3GS y para los actuales, la esperada versión 3.0 del software;

Algunas funcionalidades del nuevo iPhone 3GS, el 19 de Junio (la «S» es de speed, velocidad) son compartidas en la versión 3.0 del software (el 17 de Junio estará disponible para los antiguos) e increíblemente no las incorporaban, vamos a repasar lo que trae el nuevo iPhone 3GS y algunas novedades del software 3.0.

La demandada función de copiar, pegar, cortar y deshacer texto entre aplicaciones ya disponible.
Nueva cámara de 3 megapixeles con auto-focus, geolocalización y grabación de vídeo (calidad VGA) 30fps
Control de voz, brújula digital junto con el GPS, batería con mayor duración (un 30 % más), algo necesario si se activa el 3G.
Envío de mensajes multimedia (MMS) ya desde su lanzamiento, escritura y vista horizontal para aplicaciones (como mail).
Nueva versión del navegador Safari con soporte para audio y vídeo HTML 5, streaming con el nuevo QuickTime de audio y vídeo.
«Find my phone» para usuarios de MobileMe, se puede ver en un mapa la situación del teléfono caso de haber sido robado y borrar sus datos.
Soporte de OpenGL ES 2.0 para videojuegos, soporte igualmente para HSDPA de 7.2 Mbps, una navegación más rápida.
Otra que no sé si Telefónica aprobará, la función «Tethering» el uso del iPhone como modem vía USB o Bluetooth usando la tarifa del teléfono. De todos modos esto ya se puede hacer con el «JailBreak».

Como dato complementario la empresa Tom Tom ya ha desarrollado su versión de navegador para el iPhone y ha sido aprobado (por fin) por Apple por lo que se podrá disfrutar de un navegador «de verdad».

Nuevos MacBooks Pro de 13 «, novedades para el resto y rebajas en los «Air»;

La sorpresa del día vino con los MacBook de aluminio (antes Unibody), que ahora se llamarán MacBook Pro, creando de este modo una nueva gama de 13 pulgadas (hasta ahora los «pro» eran de 15 ). El nuevo MacBook Pro de 13 pulgadas (desde 1.100 eur) incorpora

Continue reading…