Daboweb

Archive for agosto, 2011

[Breves] Disponible Drupal 7.8. Importante corrección de errores

Posted by Dabo on agosto 31, 2011
[Breves], Webmaster

El equipo de Drupal acaba de anunciar la disponibilidad de la versión 7.8 del CMS que trae consigo una importante corrección de errores (en este caso no se trata de una actualización de seguridad). Para más información os remitimos a la lista de cambios.

Descarga directa de Drupal 7.8 (tar.gz)..

Tags: , , , ,

Pakistán prohibe el cifrado de datos y anonimato en La Red

Posted by vlad on agosto 31, 2011
Cibercultura

Bajo una supuesta persecución del terrorismo, el gobierno de Pakistán ha ordenado a los proveedores de Internet de ese país, que informen a las autoridades de ese país asiático quienes son los usuarios que utilizan algún método de cifrado o anonimato cuando navegan por la red, lo cual les permite acceder a sitios bloqueados por el gobierno, como es el caso de Facebook, el cual fue prohibido por “contener material contrario a la fe islámica”. Otra “fuente de mal” que los pakistaníes tampoco puede ni oler es el conocido Youtube, censurado también desde hace tiempo, o la página web de la revista Rolling Stone, después de que publicara que gran parte del presupuesto del país se destina a gastos militares.

Actualmente todo la información de Internet es filtrada y bloqueada en Pakistán “al gusto” de sus gobernantes y unicamente mediante estos métodos, un ciudadano puede burlar esa seguridad y visitar sitios web de forma que escapen al control gubernamental. Por suerte, entidades como “callcenters” o bancos estarán excluidos de esta medida, pero sucesos como este, aunque sean lejanos para nosotros, evidencian que la lucha por la libertad de expresión en la red aun no está ganada y que queda un largo camino.

Tags: , , , ,

Disponible Apache 2.2.20 que solventa ataques de denegación de servicio (CVE-2011-3192)

Posted by Dabo on agosto 30, 2011
Seguridad Informática

Como habéis podido leer hoy en Daboweb, hace unas horas os informábamos acerca de los parches que ha aplicado Debian con una nueva versión de Apache que solventaba la vulnerabilidad y los ataque DoS CVE-2011-3192 (además de uno específico en mod_dav) tanto en la rama “oldstable” (Lenny) como en la “stable” (squeeze).

Os informamos que ya está disponible una nueva versión de Apache (2.2.20) que solventa dicho bug por lo que es más que recomendable su actualización a la mayor brevedad posible, además de revertir los posibles cambios (por ejemplo la activación de mod_deflate) relalizados para mitigar el impacto del bug cuando aún no había parches oficiales.

Información sobre cambios y correcciones | Descarga de la nueva versión | Fuente Sans.

Tags: , , , ,

Comprometido el certificado digital “DigiNotar CA” de Google / Gmail. Cómo borrarlo en Firefox

Posted by Dabo on agosto 30, 2011
Seguridad Informática

Se ha encontrado un fallo de seguridad importante en un certificado digital emitido por la entidad Holandesa DigiNotar para Google. Dicho certificado se ha visto comprometido y con él, los usuarios de productos de Google (como puede ser el caso de Gmail) pueden ser víctimas de ataques “man in the middle” recopilando datos privados del usuario con el peligro que ello conlleva.

Google actualizará su navegador eliminando dicho certificado y Microsoft ya  ha procedido a eliminar a DigiNotar de la “Microsoft Certificate Trust List”. Hablando de Firefox / Iceweasel, el equipo de soporte de Mozilla, ha publicado cómo eliminar dicho certificado.

Fuente y más información (Bitelia).

Tags: , , , , , , ,

Debian DSA-22981, solventados dos bugs en Apache que provocan ataques DoS

Posted by Dabo on agosto 30, 2011
Seguridad Informática

Hace unos días os hablamos de la vulnerabilidad que afectaba al servidor web Apache. Esta vulnerabilidad permitía ataques de denegación de servicio y que con un número limitado de peticiones, dicho ataque dejase al servidor web afectado sin recursos por un excesivo consumo de memoria y CPU.

Debian ha puesto a disposición de los usuarios los correspondientes parches que solventan dicha vulnerabilidad  (CVE-2011-3192) (etiquetados como 2.2.9-10+lenny10 y 2.2.16-6+squeeze2.)

Además, se añade un parche específico para la versión “oldstable” (Lenny) que solventa un bug que afecta a mod_dav (CVE-2010-1452) que también podía derivar en ataques de DoS en el servidor web.

Más información sobre el anuncio (Debian DSA-22981 Apache 2) en Debian.

En estos momentos, en el sitio web oficial de Apache aún no hacen mención a una nueva relase que corrija estos bugs, pero se espera que en unas horas esté disponible una versión con el parche para su instalación/compilación.

Tags: , , , , , ,

Vulnerabilidad seria en phpMyAdmin (XSS en versiones de la 3.3.0 a la 3.4.3.2)

Posted by Dabo on agosto 25, 2011
Seguridad Informática

Se ha reportado por parte de Norman Hipper una vulnerabilidad catalogada como “seria por el equipo de phpMyAdmin que afecta a versiones desde la 3.3.0 a la 3.4.3.2 (CVE-2011-3181).

La explotación del XSS vía un ataque “cross-site scripting“, puede hacer posible que un atacante remoto consiga conectarse al popular gestor de bases de datos Open Source con el peligro que ello conlleva.  Para paliarlo, se recomienda encarecidamente actualizar el software a las versiones 3.3.10.4 or 3.4.4 o aplicar los parches que se han puesto a disposición de los usuarios.

Más información y parches; en phpMyAdmin | The H Security.

Visto en; UnixenMac

Tags: , , , , ,

Actualización del kernel de Ubuntu Linux

Posted by vlad on agosto 25, 2011
Seguridad Informática, Sistemas Operativos

Fueron detectados hasta nueve problemas de seguridad dentro del kernel de Ubuntu 8.04 LTS que con esta actualización lista para ser descargada quedan solucionados. Concretamente se trataba de vulnerabilidades en el sistema de archivos /proc, en Bluetooth, el filtrado de red, la pila de red DCCP, dispositivos TPM, el subsistema IRDA y redes X.25, que con la versión 2.6.24-29.93 han pasado a la historia. Si aún usáis esta distribución de “soporte largo” debéis proceder a la actualización de su nucleo a la mayor celeridad.

Se trata de fallos de graves cuyas consecuencias pueden ir desde una denegación de servicio hasta incluso la obtención de permisos de root por parte de un atacante. Os dejamos este enlace a la fuente de la noticia donde hay mas información acerca de esta importante actualización de seguridad.

Tags: , , , ,

[Breves] Sobre el ataque a PrestaShop, cómo proceder si eres uno de los afectados.

Posted by Dabo on agosto 25, 2011
[Breves], Seguridad Informática, Webmaster

Ayer por la noche, el sitio web de PrestaShop fue víctima de un ataque. Este hecho, vía un script para automatizar el proceso, según la información que proporciona PrestaShop, derivó en la transcripción de noticias en la parte administrativa de las tiendas.

Si tu tienda está entre las afectadas, consulta esta información (en castellano) para solventar el problema.

Fuente; IntecoCert.

Tags: , , , ,

Seguridad básica en Daboweb. Cerrar sesión

Posted by Destroyer on agosto 25, 2011
Seguridad Básica

Una nueva entrada en nuestra sección de Seguridad Básica para los que empiezan, en esta ocasión vamos a insistir en CERRAR SESIÓN al abandonar o cerrar una página en la que nos hemos logueado (iniciado sesión) o accedido mediante contraseña.

Y es que, la seguridad de nuestras acciones no solo se deben basar en disponer de contraseñas efectivas y sólidas, utilizar un sistema operativo u otro, programas de seguridad, etc., sino también en cuidar de estos pequeños detalles.

A continuación, reflejamos la entrada que hemos publicado en nuestro otro blog Basicoyfacil sobre este tema.

Es habitual que, para acceder a multitud de servicios online de los que utilizamos casi a diario como, nuestras cuentas de correo electrónico, foros, blogs, MSN, Twitter, Tuenti, Facebook, Cuentas bancarias, etc., precisemos loguearnos o iniciar sesión (introducir un Nick y una contraseña) para su uso, de este modo podremos utilizar el servicio sin problemas.

Debemos incidir en un detalle al que no siempre se le presta la debida atención y no es otro que CERRAR SESIÓN al abandonar o cerrar una página en la que nos hemos logueado (iniciado sesión) o accedido mediante contraseña.

De introducir los datos nos acordamos siempre porque, o introducimos los datos de acceso, o no podremos acceder al servicio en cuestión, pero de lo que no nos acordamos siempre es de cerrar sesión al terminar de utilizar el servicio, en muchas ocasiones, nos limitamos a tan solo cerrar la ventana o pestaña del Navegador Web.

Cerrar la ventana o pestaña del navegador no siempre garantiza que se haya cerrado la sesión, por lo que, si entre otras, otro usuario posteriormente usara tu equipo, podría acceder a esos servicios sin introducir los datos de acceso.

Por tanto, para mantener la seguridad y privacidad de nuestros servicios, es muy importante utilizar los botones de CERRAR SESION o SALIR habilitados en todos estos servicios antes de cerrar la ventana del navegador.

Si tenéis alguna duda, podéis echar un vistazo a alguno de estos manuales para registrarse o crear cuentas en diferentes servicios como: Hotmail, Yahoo, WordPress, Foro, etc., donde ya mencionábamos estas indicaciones de Salir o Cerrar sesión.

Como añadido os recomiendo además Limpiar los rastros de nuestra navegación por la red antes de apagar el equipo y emplear algún programa para limpiar los temporales generados en el equipo y que podréis encontrar en este artículo de nuestro otro blog Cajon desastres.

En basicoyfacil.

Hasta la próxima entrega.

Tags: , , , , , ,

[Breves] ¿Cansado de ser “auto-etiquetado en Facebook? Ahora más privacidad.

Posted by Dabo on agosto 24, 2011
[Breves]

A través de un Twitt de DarkOperator, nos enteramos del cambio en la política de privacidad referente al etiquetado de fotografías por parte de terceros. Ahora, para ser “etiquetado” en una foto, tiene que ser mediante tu aprobación previa. Algo lógico y que muchos usuarios demandaban.

La noticia al completo.

Tags: , , , , ,

Vulnerabilidad “0-day” y ataques DoS en Apache 2.0, 2.2 y 1.3. Medidas para paliarlos

Posted by Dabo on agosto 24, 2011
Seguridad Informática

Concretamente, la vulnerabilidad ha sido catalogada como “Range header DoS vulnerability in Apache 1.3 and Apache 2” (CVE-2011-3192:). El tema es serio ya que con un número relativamente bajo de peticiones, pueden producirse ataques de denegación de servicio, debido a un excesivo consumo de memoria y CPU.

Como prueba de concepto, está el script escrito en Perl  denominado”killapache“. Para comprobar si vuestro servidor es susceptible de recibir este tipo de ataques, os recomendamos leer la entrada sobre el tema de Jordi Prats en”systemadmin.es

Este bug, del que se espera que en 96 h aproximadamente esté parcheado (aunque hablan de parches para las versiones 2.0x y 2.2x, no para la 1.3x según informan), afecta especialmente a Apache junto a módulos relativos a la compresión de ficheros, como puede ser el caso de uno tan popular como mod_deflate. Debido a la falta de actualizaciones, se proponen varias medidas para paliar los efectos del bug.

Estas actuaciones se pueden combinar con otras soluciones de “apoyo” como podrían ser Mod-Evasive, Mod-Security, (D) DoS Deflate, la configuración de vuestro firewall, etc.

(#Disclaimer; En la fuente original ya se informa que estas medidas pueden afectar al normal uso de los sitios webs en los que se implementen. Vídeo por streaming, sesiones activas, ciertas descargas, cookies y otras peticiones legítimas).

1) Utilizar “mod_headers“; (Ponedlo debajo de la directiva “ServerRoot”)

RequestHeader unset Range

2) Usar “mod_rewrite” para limitar el número de intervalos:

RewriteCond % {HTTP:range} ^bytes=[^,]+(,[^,]+) {0,4}$
RewriteRule. *-[F]

3) Reducir el tamaño en bytes de las peticiones; (mejor con la opción 1)

LimitRequestFieldSize 200

4) Usar temporalmente un módulo de “recuento” como mod_rangecnt.c. (esta opción mejor la última…)

http://People.Apache.org/~dirkx/mod_rangecnt.c (descarga directa)

5) Quitar “mod_deflate” temporalmente, la “menos mala” quizás.

(Alguna consideración sobre su desactivación aparte de un “a2dismod” en Debian y derivados)

Removing any AddOutputFilterByType/SetOutputFilter DEFLATE entries. Disable it with “BrowserMatch .* no-gzip

Ante las dudas que os puedan surgir, os recomendamos permanecer atentos a posibles parches y leer la fuente original de este artículo o está información de “Debian Security” en el que hablan del bug y cómo afecta a Apache en su versión estable. También es recomendable seguir este hilo para contrastar e ir leyendo más información.

Por David Hernández (Dabo).

Tags: , , , , , , ,

[Breves] Actualización de filtros Nauscópicos para AdBlock Plus, (Firefox y Chrome)

Posted by Dabo on agosto 23, 2011
[Breves]

Noticias brevesDisponible desde el Nauscopio, una nueva actualización de la lista de filtros anti-publicidad del complemento AdBlock Plus tanto para Chrome como para Firefox.

Según nos cuenta Maty (de nuevo enhorabuena por tu trabajo);

Casi 140 filtros nuevos más y otros eliminados. Mañana otro añadido vía fichero hosts. En unos días escribiré una anotación índice que incluya todos los sistemas nauscópicos utilizados para filtrar la publicidad en estos momentos.

Descarga de la lista de filtros.

Información sobre su instalación y dudas


Tags: , , , , , , ,

El “ping de la muerte” otra vez en escena

Posted by vlad on agosto 23, 2011
Seguridad Informática, Sistemas Operativos

Curiosa la noticia que leemos en la red acerca del viejo y conocido “ping de la muerte” que afectaba allá por la década de los noventa a sistemas Windows y que todos creíamos desaparecido. Al parecer Microsoft publicó el boletín de seguridad MS11-064 en el que corrige un fallo de similares características en la pila TCP/IP de Windows Vista y Windows 7, el cual mediante paquetes ICMP especialmente diseñados pueden provocar una denegación de servicios en el sistema afectado. Llama la atención que Windows XP no se vea afectado por esta vulnerabilidad y que sin embargo, los dos últimos sistemas operativos del gigante informático si que “incorporen” este grave fallo.

Sin duda uno de los mas conocidos bugs de la gama de productos made in Microsoft, tanto por la facilidad en su ejecución como por los efectos inmediatos que producía: cuelgue del equipo que lo sufría y la aparición de la tan temida “pantalla azul”. Para los que no conozcais este clásico entre los clásico dentro de lo que es su día se dio a conocer como el “IRC War”, os dejamos este enlace a la Wikipedia donde podéis leer mas al respecto. Y si sois usuarios de los mencionados Windows Vista y Windows 7, pues ya sabéis lo que procede…

Tags: , , , , , , , ,

Arch Hurd 2011-08-17, nucleo Hurd en pruebas

Posted by vlad on agosto 18, 2011
Sistemas Operativos

Nueva versión en formato live cd de esta distribución que sustituye el habitual nucleo Linux por el todavía en fase de desarrollo Hurd, auspiciado por la Free Software Foundation y que es para algunos “la quintaesencia” de lo que sería un sistema operativo plenamente fiel a los principios del movimiento GNU. Hurd es totalmente funcional en algunos aspectos, con lo que aquellos que se decidan en probar este “otro corazón”, tienen en Arch Hurd una buena manera de hacerlo.

En este otro enlace tenéis mas información acerca de este proyecto y en este otro la nota oficial de su lanzamiento, en la cual también encontraréis links de descarga. Ideal para los “testeros” ávidos de probar todo aquello que caiga en sus manos y para los que quieran comprobar en primera persona que hay proyectos libres en marcha por todo el mundo.

 

 

Tags: , , ,

Primera actualización de Lion. Disponible Mac OSX Lion 10.7.1

Posted by Dabo on agosto 17, 2011
[Breves]

Pocos días después de su lanzamiento Apple pone a disposición de los usuarios a través de la funcionalidad “Actualización de software” la versión 10.7.1 de OS X.

Esta actualización solventa los siguientes errores;

Mejora la conectividad con redes Wi-fi, se palía un problema con la transferencia de datos, preferencias y ajustes de otra instalación de OS X, soluciona problemas de audio usando la salida óptica o HDMI y también un fallo de su navegador Safari que podía dejar al sistema “congelado” visionando un vídeo.

Fuente; Planeta Mac.

Tags: , , , , , ,