Daboweb | Seguridad y ayuda informática |

Se encuentran disponibles desde Microsoft las actualizaciones o boletines de seguridad publicados para Noviembre de 2010.

En esta ocasión, se compone de 3 actualizaciones de seguridad, 1 catalogada como crítica y 2 catalogadas como importantes que vienen a solventar varias vulnerabilidades que podrían permitir la Ejecución remota de código y elevación de privilegios en los sistemas no actualizados.

La actualización se encuentra disponible desde el propio update automático de Windows o bien, mediante su descarga manual y posterior instalación. Como siempre, recomendamos actualizar los sistemas a la mayor brevedad posible.

También y como cada mes, está disponible una nueva actualización del programa de eliminación de software malintencionado. Esta herramienta no es un sustituto del antivirus, busca infecciones causadas por software malintencionado específico que actualmente existe en equipos con Windows XP, Windows 2000, Windows Server 2003, Windows Vista y 7 instalado, y ayuda a eliminarlas.

# Boletín y descarga de actualizaciones de Noviembre 2010.

¿Quien no ha recibido correos invitando a acceder a determinadas webs, correos sobre personas con problemas económicos, problemas en supuestas compras online realizadas, etc., donde, en la mayoría de los casos, te acaban solicitando tus datos personales y bancarios?.

Estas situaciones y muchas más, son utilizadas a diario en la red por los atacantes para conseguir sus objetivos de fraude.

También y como no, con la instalación en el equipo de rogueware o falsos programas de seguridad que tras un supuesto análisis del equipo te informan de infecciones en el mismo y te proponen un desembolso económico para eliminarlo.

Hoy transcribimos y recomendamos, un interesante estudio que puedes descargar en formato PDF, publicado en INTECO sobre las técnicas que utilizan los atacantes para intentar defraudar a través de la Red.

Los atacantes utilizan diferentes técnicas basadas en ingeniería social para intentar consumar una estafa. Así, los envíos de correos electrónicos para que el receptor visite una página web sospechosa es sin duda una de las técnicas más usadas por los spammers para consumar un timo, ofrecer publicidad fraudulenta a la víctima, o directamente infectar el equipo del usuario.

También, aunque en menor medida, el teléfono móvil es utilizado como medio para el envío de sms o llamadas telefónicas con la búsqueda de causar víctimas de fraude.

Resultados del “Estudio sobre el fraude a través de Internet (2º trimestre de 2010, abarca los meses de abril a junio de 2010)”:

• Un 36,2% de los usuarios recibe peticiones de visitar alguna página web sospechosa.

• Un 29,7% que recibe emails ofertando un servicio no solicitado.

• Un 23,2% asegura haber recibido una oferta de trabajo falsa.

• Un 20,3% ha sido víctima de intento de phishing (recepción de un correo electrónico solicitando claves de usuario).

# Descargar el informe completo en castellano.

En caso de haber sido víctima de un fraude, debe poner inmediatamente la denuncia correspondiente en la comisaria del  Cuerpo Nacional de Policía o la Guardia Civil.

Como recordatorio y añadido al tema, también puedes descargarte en formato PDF  12 guías de ayuda para configurar la privacidad en redes sociales,  que ya vimos en una entrada anterior.

Ha sido liberada la versión 1.5.22 bajo el nombre “senu takaa ama woi” considerada de seguridad y con la recomendación de actualizar inmediatamente.

Es un problema de inyección SQL, calificado como de prioridad baja que afecta a todas las versiones de la rama 1.5.x incluida la 1.5.21

Anuncio oficial | Info sobre el XSS

En una entrevista concedida por Teddy Bautista a heraldo.es, ha afirmado que si se exime del pago del canon digital a las empresas, los particulares tendran que pagar mas, aunque también ha apuntado como es el sistema nórdico de recaudación de derechos de autor, mediante el cual las empresas hacen una autodeclaración de que sus equipos no se utilizarán para ese uso, con lo que de otra forma, también pagan el mencionado canon.

Ante la posibilidad de que aquí en España se adoptase la postura europea de declarar ilegal el pago del canón digital por parte de las empresas y de la posibilidad de que la SGAE tuviese que devolver el dinero cobrado, Bautista afirmó que ninguna ley tiene caracter retroactivo y que en ningún momento se está juzgando la legalidad misma del controvertido canon por copia. Así mismo, el conocido directivo de la SGAE, mostró nuevamente su malestar por el impacto mediático que ha supuesto que se conociese la cuantía de su jubilación, la cual asciende a la cantidad de 24.000 euros al mes aproximadamente, pero que en realidad según afirma en esta entrevista, responde a un acuerdo por el que le pagarán el 60% de su sueldo.

Casi un año después recibimos una nueva actualización para la rama estable de desarrollo de SMF, en este tiempo se ha estado trabajando principalmente en la versión 2.

Esta nueva versión corrige una buena cantidad de bugs (no parece haber ninguno especialmente reseñable) y problemas con la interfaz (especialmente en Curve); se puede consultar el listado completo en el changelog.

Tutorial para actualizar foros SMF (by Dabo).

1– Ponéis el foro en mantenimiento y el idioma en Inglés (si no, os dará fallo).

2- Hago una copia exacta del foro actual por si necesito algo después (si habéis modificado el tema “default” os instala siempre una nueva versión y con ello plancha lo que hayáis personalizado o las imágenes añadidas por vosotros)

cp -prfv foro_actual foro_copia

3- Hago una copia de la base de datos por si cuando una vez actualizado el foro, al ejecutar el “upgrade.php” que toca la base de datos hay algún error.

mysqldump –opt -Q -u (nombre_usuario_mysql) -p base_datos > base_datos.sql (os pedirá el password y hará el volcado o “dump”)

4- Una vez descargado el fichero de actualización, lo coloco en la ráiz del foro y descomprimo el .zip o .tar.gz. De este modo se sobreescriben todos los ficheros antiguos por los nuevos. (Es lo mismo que descomprimir localmente en vuestro ordenador el archivo que os bajéis y subirlo al foro sustituyendo unos por otros para quienes lo hagáis vía FTP)

unzip smf_1-1-7_update.zip o tar -xvzf smf_1-1-7_update.tgz según el fichero de actualización descargado (.zip o .tar.gz)

Escribís “A” (opción All, todos) cuando os pregunte sobre los ficheros a sobreescribir.

5- Ahora ya está el foro actualizado, queda ejecutar www.vuestro_dominio_foro/upgrade.php desde el navegador para que haga los cambios en la base de datos, pero tenéis que dar permisos de escritura a Settings.php y Setting_bak.php para que funcione chmod 777 Settings.php Settings_bak.php. (Podéis hacerlo también desde vuestro programa FTP). Sed pacientes porque puede llevar tiempo el upgrade y para no cargar el server, SMF hace pausas en esta operación.

6 – Borráis el fichero upgrade.php (ya os sale un aviso arriba de que es un riesgo para la seguridad), ponéis de nuevo el foro en idioma español y quitáis la opción “en mantenimiento”. También recordad cambiar los permisos a Settings.php y Settings_bak.php con un chmod 644.

Como consejo final, os recomiendo vaciar la caché de vuestro navegador por si ha pasado algo con la plantilla usada y también hacer un “repair” y “optimize” a la base de datos;

mysqlcheck -r -u (nombre_usuario_mySQL) -p base_datos (os pide el password y hará la reparación)

mysqlcheck -o -u (nombre_usuario_mySQL) -p base_datos (os pide el password y hará la optimización)

Pero también podéis hacerlo vía el panel de admin del foro en la zona inferior “mantenimiento del foro”, (Buscar errores y reparar y optimizar las tablas de la base de datos).

Si tenéis alguna duda con este tutorial, por favor, planteadla en nuestro foro de Webmasters.

Página de descarga. Anuncio oficial.

Ya hace unos días mencionábamos en esta entrada un grave fallo de seguridad que afectaba a Adobe Reader y Acrobat y para Adobe Flash Player. La explotación de esta vulnerabilidad podría permitir a un atacante tomar el control de los sistemas afectados.

Se acaba de publicar una actualización para Flash Player que soluciona esta vulnerabilidad, en concreto se trata de la versión 10.1.102.64, por tanto, se recomienda actualizar ala mayor brevedad posible a esta nueva versión.

En este manual puedes ver como Comprobar y actualizar la versión de Flash Player instalada en tu equipo con Windows.

Por otro lado la vulnerabilidad en Acrobat y Reader se mantiene, por lo que debéis seguir tomando las debidas precauciones en tanto sean publicados los parches o actualizaciones que las solucionen en los próximos días, o bien, utilizar otros programas visores de archivos PDF.

Se ha notificado una vulnerabilidad que afectaría a las versiones de 6, 7 y 8 de Internet Explorer, que podría permitir la ejecución remota de código si se dan una serie de condiciones.

Desde Microsoft ofrecen algunas soluciones para tratar de mitigar los efectos de esta vulnerabilidad, a su vez, informan que se está estudiando el impacto de la misma y llegado el caso se ofrecerá una actualización o parche que solucione el problema, bien dentro del ciclo habitual de actualizaciones (segundo martes de cada mes) o si la situación lo requiere, con anterioridad.

[EDITADO 5/10/10]

Microsoft ha dispuesto una solución temporal para minimizar los riesgos para los usuarios que deseen aplicarlo, pero recuerda que no es una actualización para la vulnerabilidad.

Se acaba de publicar una  actualización del kernel de las distribuciones linuxeras OpenSUSE v11.2 y OpenSuse v11.3, en la que se corrigen dos vulnerabilidades que podían desencadenar una elevación de privilegios (hasta nivel de root), debido a un problema con los sockets RDS y con el tratamiento de video4linux para dispositivos de vídeo en sistemas con arquitectura x86_64.

Desde OpenSuse se recomienda actualizar a la última versión del kernel si usais estas versiones de este sistema operativo a la mayor prontitud posible. Os recordamos que este proceso es muy fácil llevar a cabo a través de la herramienta automática de actualización YaST Online Update (YOU). Os dejamos este enlace con el anuncio oficial de OpenSuse del lanzamiento de esta importante actualización de seguridad.

Un mes más, os recomendamos el recopilatorio de entradas publicadas en Daboweb en Octubre de 2010 por si en el día a día de la publicación alguna que pudiera interesarte, se te ha pasado por alto.

Todos los comentarios los vamos recogiendo en el foro de noticias que hemos creado para opinar sobre ellas. También te invitamos a participar en nuestros foros para exponer tus dudas o ayudar a despejar las que tengan otros. (Te recomendamos ver nuestro archivo de contenidos publicados).

Octubre 2010

• Seguridad básica en Daboweb. Analiza siempre tus descargas con el antivirus
• ¿Reclama Oracle un “copyright” sobre el API de Java?
• ¿Llave USB “inutilizada” tras emplear Time Machine?
• Vulnerabilidad crítica en Adobe Acrobat, Reader y Flash Player
• Vulnerabilidad crítica en Firefox, urge actualizar
• Manuales Fentlinux (Apache, Autoconf y Automake, archivos src.rpm y Ubuntu)
• Herramientas para la interpretación de capturas de red. (5/10)
• Liberado Kernel Linux 2.6.36
• Actualizaciones de seguridad para Mozilla Firefox y Thunderbird
• Linux Mint 10 RC
• [Breves] Protección en servidores GNU/Linux contra ataques de fuerza bruta con BFD
• Htaccess Tools, te ayudará a proteger tu sitio web
• Disponible actualización para Suse Linux
• Actualizaciones de Microsoft Octubre 2010
• Ubuntu 10.10 Maverick Meerkat ya disponible
• Disponible Joomla 1.5.21, solventa vulnerabilidad XSS.
• Manuales de Fentlinux
• Actualizados Adobe Acrobat y Reader, urge actualizar
• Hazte con el CD de Ubuntu 10.10 Maverick Meerkat
• Publicado en Daboweb, Septiembre de 2010
• WordPress 2.6 para iPhone, iPad e iPod Touch