Daboweb

Archive for septiembre, 2011

En Intypedia. Lección 10. Ataques al protocolo SSL

Posted by Dabo on septiembre 30, 2011
Seguridad Informática

Al igual que en anteriores ocasiones, os recomendamos una nueva lección de Intypedia (Enciclopedia de Seguridad de la Información). En este caso, está orientada a los ataques al protocolo SSL, (Interesante también esta información sobre la última vulnerabilidad en SSL y TLS desde Inteco).

Según podemos leer en el resumen de esta lección;

Alicia explica a Bernado los ataques más famosos al protocolo SSL/TLS y como protegerse de ellos. En el vídeo se recomiendan acciones básicas para una navegación más segura utilizando dicho protocolo.

Información de apoyo

Guión [PDF][415KB]
Diapositivas [PDF][134KB]
Ejercicios [PDF][908KB]

Tags: , , , , ,

Mozilla publica diez boletines de seguridad

Posted by vlad on septiembre 29, 2011
Seguridad Informática

La Fundación Mozilla ha publicado hasta diez boletines de seguridad sobre productos suyos acerca de vulnerabilidades que en algunos casos han sido clasificadas como críticas y que en algunos casos ni requerirían la colaboración del usuario afectado. Ejecución de código a través de archivos .ogg, elevación de privilegios a través de JSSubScriptLoader, corrupción de memoria o incluso problemas de instalación de software al presionar la tecla “Intro”, son algunos de los fallos encontrados y motivo principal de estos boletines.

Los responsables del proyecto Mozilla recomiendan la actualización inmediata del cliente de correo Thunderbird, de SeaMonkey y del popular y utilizado navegador opensource Firefox para mayor seguridad de sus usuarios. Mas información aquí.

Tags: , , , ,

Comprometido mysql.com (con posibles consecuencias para sus visitantes).

Posted by Dabo on septiembre 27, 2011
Seguridad Informática

Según leemos en Hack Players, la web de MySQL ha sido víctima de un ataque  cuyo resultado, a falta de más datos sobre los contenidos que aloja, es la posible infección por malware de quienes lo visiten. Es la segunda vez este año que mysql.com sufre un ataque (no ponemos el enlace ya que ahora mismo, no es seguro visitar su web). En Slashdot se ha publicado que vendieron el exploit por 3.000 $.

Se trata de un “iframe” ofuscado en su código, que realiza una redirección a un servidor localizado en Alemania, para acto seguido, llevar al visitante a otro servidor desde donde se ejecuta un exploit. Recomendamos extremar las precauciones si se ha visitado recientemente y realizar un análisis del equipo en busca de posibles rastros de malware.

Tags: , , , ,

[Breves] Firefox 7 versión final, descarga disponible (Windows, GNU/Linux y Mac OS X).

Posted by Dabo on septiembre 26, 2011
[Breves]

Aún sin un anuncio oficial por parte de Mozilla y como en otras ocasiones, gracias a la información de nuestro amigo Gregorio Espadas, ya podemos descargar la versión 7 final de Firefox en castellano vía los FTP de Mozilla.

Según podemos leer en la entrada de gespadas.com, (recomendado, también para ver el resto de descargas e idiomas) el tiempo de ejecución ha disminuido considerablemente, el tan comentado consumo de memoria se ha reducido en un 30% aprox, gracias entre otras cuestiones al también mejorado el motor de Javascript (que ayuda a liiberar memoria innecesaria). La sincronización de marcadores y passwords ahora es instantánea, mejoras en la visualización de fuentes, etc.

Descarga directa de Firefox 7 (es-ES) para Windows | GNU/Linux (32 bits64 bits) | Mac OS X.

Tags: , , , , ,

Windows 8 sí permitirá ejecutar Linux

Posted by vlad on septiembre 23, 2011
Sistemas Operativos

Surgió un rumor que apuntaba la posibilidad de que Windows 8 impidiera que en los equipos donde estuviese instalado se pudieran ejecutar otros sistemas operativos. Con lo que sería imposible que GNU/Linux compartiera máquina con la nueva versión de Windows. Era mediante UEFI (Unified Extensible Firmware Interface) con lo que esta “jugarreta” era posible, pero ahora, desde el propio gigante informático Microsoft se informa (ENG) que esta opción se podrá activar o no en la BIOS del ordenador.

La principal razón que argumentan para la existencia de esta tecnología es la vulnerabilidad de la máquina, con lo que al impedir ejecutar otros sistemas operativos se mejoraría supuestamente su seguridad. De todas formas, se deja a decisión de los fabricantes de hardware (que tienen mucho que decir sobre el tema) incorporar o no UEFI, con lo que podría darse el caso de que un usuario de GNU/Linux tuviera “vetado” adquirir hardware de una determinada marca sólo porque esta decide que únicamente ejecutará Windows en sus máquinas. La polémica sin duda está servida.

Tags: , , , , , , ,

[Breves] Actualización de filtros Nauscópicos para AdBlock Plus, (Firefox y Chrome)

Posted by Dabo on septiembre 23, 2011
[Breves]

Disponible desde el Nauscopio, una nueva actualización de la lista de filtros anti-publicidad del complemento AdBlock Plus tanto para Chrome como para Firefox.

Según nos cuenta Maty (gracias de nuevo por el trabajo realizado);

105 filtros más. La mayoría se refieren a medios de (in)comunicación. No sólo publicidad, también numerosos contadores de visitas, en especial los referidos a impactos publicitarios.

Información sobre su instalación y dudas


Tags: , , , , , , ,

Disponible actualización crítica de seguridad para Adobe Flash Player (Windows, GNU/Linux, Mac y Android)

Posted by Dabo on septiembre 21, 2011
Seguridad Informática

Adobe acaba de publicar una nueva versión de su reproductor Flash Player que solventa varias vulnerabilidades catalogadas como críticas para los sistemas afectados. En Windows, GNU/Linux, Mac OS X o Solaris, si tienes la versión 10.3.183.7 o una anterior, debes actualizar a la 10.3.183.10. En plataformas Android, si tienes la versión 10.3.186.6 o una anterior, debes actualizar a la versión 10.3.186.7.

Si quieres saber la versión de Flash Player que utilizas, puedes comprobarlo desde este enlace.

Concretamente, los bugs corregidos son los siguientes; CVE-2011-2426, CVE-2011-2427, CVE-2011-2428, CVE-2011-2429, CVE-2011-2430, CVE-2011-2444. Hablamos de vulnerabilidades serias caso de ser explotadas, como puede ser la ejecución de código arbitrario en los equipos afectados (AVM stack overflow), ataques cross-site scripting a través de webs o e-mails previamente manipulados para tal fin, en funciones de streaming, etc.

Información detallada en Adobe de los parches incluidos y bugs (ENG) | Descarga de Flash Player.

 

Tags: , , , , , , , , , ,

Cómo proteger Mac OS X Lion frente a un ataque local contra la contraseña de usuario.

Posted by Dabo on septiembre 21, 2011
Seguridad Informática

Se está hablando mucho estos días del bug y el cambio de passwords en Lion tal y como podemos leer en Ontinet y nos han llegado varias consultas sobre cómo actuar hasta que Apple publique una actualización que lo solvente.

Aclaramos en el título lo de “un ataque local”, ya que se requiere acceso físico a la máquina para poder llegar a efectuar dicho ataque con sólo tipear el siguiente comando en el terminal; dscl localhost -passwd /Search/Users/NombreUsuario.

Esta vulnerabilidad / debilidad en la gestión de las contraseñas de Mac OS X no es nueva tal y como nos recuerdan desde Genbeta (donde también se dan buenos consejos), ahora, con el lanzamiento de Lion, vuelve a estar de actualidad y es lógica la preocupación de los usuarios de OS X frente a un ataque de este tipo.

Realmente no es algo tan complejo de paliar y obviamente, ayuda que sea un ataque para el que se necesite estar frente al equipo caso de querer efectuarlo. También en LifeHacker (ENG) un usuario ha preguntado lo mismo y vamos a dar un repaso a las medidas a poner en práctica.

Desde el terminal;

  • Desactivar los permisos de dscl (como root) tipeando; chmod 100 /usr/bin/dscl

Desde Preferencias del Sistema – Seguridad;

  • #Nota. Puedes ver esta imagen de LifeHacker para ver mejor los cambios
  • Desactiva el inicio de sesión automático.
  • Activa la opción “solicitar password inmediatamente” cuando se active el salvapantallas o la suspensión.
  • (Sobre este punto comentar que en Preferencias- Energía podéis bajar el tiempo de esos valores, recomendable).
  • Solicitar la contraseña de administrador para desbloquear cualquier preferencia del sistema bloqueada.
  • No olvides bloquear el candado en la zona inf izquierda.

Desde Preferencias del Sistema – Usuarios y grupos;

  • Desactivar la cuenta de invitado
  • (También recomendable en “compartir” desactivar el acceso a carpetas compartidas)

Ahora sólo es cuestión de esperar y ver el “tiempo de respuesta” por parte de Apple para parchear este agujero de seguridad.

Tags: , , , , , , , , ,

Disponibles Foros SMF 2.0.1 y 1.1.15 (solventan vulnerabilidades críticas).

Posted by Dabo on septiembre 21, 2011
Webmaster

El equipo de desarrollo del sistema de foros SMF ha liberado las versiones 2.0.1 y 1.1.15, con parches que solventan vulnerabilidades catalogadas como críticas encontradas en versiones anteriores (concretamente dos en la 2.x y una en la rama 1.x) y que podrían permitir conseguir privilegios externos en el área de moderación/administración.

Anuncio oficial | Sección de descargas | Info detallada sobre CSRF en SMF 2 (uno de los bugs).

Para actualizar (además de un backup del foro y base de datos) se pone el foro en idioma “Inglés, se actualiza instalando los nuevos ficheros, luego se ejecuta /foro/upgrade.php y después, no olvidéis borrar el fichero de actualización upgrade.php

Tags: , , , ,

Linux Mint Debian 201109

Posted by vlad on septiembre 19, 2011
Sistemas Operativos

Disponible una nueva entrega de esta distribución linuxera basada en Debian Testing, con Gnome y XFCE como entornos de escritorio disponibles, mediante la cual podemos tener todas las funcionalidades de Linux Mint pero con el añadido de poder usar las mismas aplicaciones que la versión en pruebas de Debian. Se distribuye en formato live-DVD y no es necesaria su instalación (aunque siempre lo puedes instalar) en disco duro, por lo que es una candidata ideal para aquellos que aun hoy no han probado toda la fuerza y posibilidades de GNU/Linux.

Se han corregido errores y añadido nuevas características, entre las que destaca la capacidad multi-núcleo y multi-proceso en los kernels para la arquitectura de 32 bits, así como mejor compatibilidad con los temas GTK2 y GTK3. En este otro enlace esta la lista completa de cambios.

Tags: , , , , ,