Daboweb | Seguridad y ayuda informática |

Mozilla ha lanzado una nueva actualización de su navegador Firefox, la versión 16.0.2, que solventa un problema de seguridad de tipo XSS (entre otros problemas), consistente en que los datos de url’s contenidas en el objeto window.location podría ser ofuscados y en combinación con algunos plugins lanzar el ataque de cross-site scripting contra el usuario.

Info completa (en inglés). Lista completa de errores corregidos.

Recomendamos a todos los usuarios actualizar a la mayor brevedad posible a esta nueva versión. Bien desde el actualizador automático o desde el sitio de descargas de Firefox.

Disponible desde el Nauscopio, una nueva actualización de la lista de filtros anti-publicidad del complemento AdBlock Plus tanto para Chrome como para Firefox.

Maty (@nauscopio) ha añadido 39 filtros nuevos. Como siempre, gracias Maty por la gran labor que realiza para que todos podamos navegar de una forma menos intrusiva y segura. (Anuncio original).

• Descarga: http://abp.mozilla-hispano.org/nauscopio/filtros.txt

Información sobre su instalación y dudas

• Nauscopio Scipiorum Archivo “hosts” nauscópico para combatir publicidad, páginas peligrosas, spam, etc
• Nauscopio Scipiorum Adblock Plus Pop-up Addon y lista de filtros antipublicidad (AdBlock) nauscópicos para Firefox
• Nauscopio Scipiorum Filtrado, Bloqueo y Ocultación de la publicidad en navegadores Gecko
• Nauscopio Scipiorum Filtrado, Bloqueo y Ocultación de la publicidad en Google Chrome
• Mozilla Hispano AdBlock Plus: Filtros nauscópicos antipublicidad

Se encuentra disponible para su descarga la última versión estable del Kernel (o núcleo) de GNU/Linux, concretamente la número  3.6.3.

Os invitamos a consultar a través del siguiente enlace el Listado de cambios o “Changelog” de esta nueva entrega del Kernel.

Información sobre el Kernel en la Wikipedia.

FAQS o preguntas frecuentes sobre el Kernel Linux.

Descargar Kernel Linux.

Sólo queríamos haceros saber que la sección «Sniffers y Redes«, donde encontraréis todas las entregas de “Herramientas para la interpretación de capturas de tráfico en Red”, ha sido puesta al día durante este pasado mes tanto en sus contenidos, como en lo gráfico actualizando alguna captura de pantalla.

Volvemos a felicitar a nuestro compañero Alfon de Seguridad y Redes por su gran labor con esta sección que irá actualizando periódicamente.

Como cada mes, ya tenéis disponible en este caso el número 74 de la revista Foto DNG (Año VII), listo para descargar, también para ver en formato Flash online y versión iPad.

Una publicación que está orientada a usuarios que vengan del analógico como del digital. El formato es como siempre en pdf, y están licenciada bajo Creative Commons.

Desde Daboweb os recomendamos la descarga y visualización de Foto DNG, revista electrónica gratuita sobre fotografía, dirigida a todos los aficionados y profesionales de este ámbito.

Oracle ha liberado para sus clientes una nueva actualización de seguridad de varios de sus productos. Estas actualizaciones de Octubre 2012, última de las cuatro previstas para este año 2012, vienen a solventar múltiples vulnerabilidades (109) encontradas hasta la fecha en diferentes productos de la compañía:

Oracle Database, Oracle Application Server, Oracle Secure Backup, Oracle Open Office y StarOffice, Oracle E-Business Suite, Oracle Sun, Oracle WebLogic Server, Oracle PeopleSoft Enterprise, etc.

Desde la empresa recomiendan parchear lo antes posible las diferentes versiones afectadas, ya que el aprovechamiento de esos fallos por parte de usuarios malintencionados podría comprometer seriamente la integridad del sistema.

Más información y descarga de actualizaciones.

Tal y como podemos leer en el sitio web de Drupal, se ha liberado la versión de Drupal 7.16, una versión de mantenimiento que solventa vulnerabilidades en el CMS (SA-CORE-2012-003) por lo que es más que recomendable actualizar a la mayor brevedad posible.

Notas de la versión | Anuncio original.

Tal y como leemos en Hispasec, Mozilla ha actualizado con urgencia su navegador Firefox a la versión 16.0.1 que solventa el grave bug del que nos hicimos eco hace tan sólo unas horas.

Recomendamos a todos los usuarios actualizar a la mayor breve dad posible a esta nueva versión. Bien desde el actualizador automático o desde el sitio de descargas de Firefox.

Tal y como podemos leer en el aviso de INTECO-CERT, se ha reportado una vulnerabilidad catalogada como crítica en Firefox 16 (recién publicado). Dicho fallo de seguridad podría permitir a un sitio web malicioso conocer las páginas que han visitado sus usuarios, teniendo acceso a la URL así como a sus parámetros.

Dado el impacto de esta vulnerabilidad, se recomienda o bien hacer un «downgrade» a la versión 15.1, o utilizar mientras se solvente un navegador alternativo. (La versión 16 de Firefox ya no está disponible para su descarga).

Debido a la gran cantidad de usuarios que pueden verse afectados, es importante conseguir la máxima difusión posible.

Tal y como podemos leer en la web del proyecto Joomla, se acaba de anunciar la inmediata disponibilidad de Joomla 3.0.1. Se trata de una versión de seguridad, por lo que es más que aconsejable su inmediata actualización (os recomendamos documentaros antes del update a la 3.0.1, sobre el «Joomla 3.0.0 Hot Patch«). Esta versión también corrige varios problemas de alta prioridad localizados en la 3.0.0.

Al igual que en anteriores ocasiones, nos hacemos eco de una nueva publicación en el MOOC (Massive Open Online Course) de Crypt4you. En esta ocasión se trata de la octava lección y está dedicada al algoritmo RSA y los ataques por factorización. Según leemos en la nota de prensa que nos ha llegado:

Esta lección tiene como objetivo analizar el problema de la factorización de números grandes y su utilidad dentro del sistema de cifra RSA como elemento de fortaleza del algoritmo, profundizando en los ejemplos prácticos y dejando los aspectos matemáticos del problema en cuestión para próximos cursos de este MOOC

Podéis acceder desde el acceso directo de la lección:

Los apartados son:

Lección 8: Ataque por factorización
Apartado 8.1. Las funciones de un solo sentido y la criptografía
Apartado 8.2. Algoritmos de factorización entera
Apartado 8.3. Ejemplos prácticos de factorización
Apartado 8.4. Estado del arte en la factorización entera
Apartado 8.5. Test de evaluación de la Lección 8
Apartado 8.6. Datos estadísticos de esta lección
Apartado 8.7. Encuesta

La próxima entrega de este curso sobre RSA, Lección 9 de título Ataque por cifrado cíclico, se publicará en noviembre de 2012.

Desde la factoría de la web amiga Security By Default, nos llega esta herramienta de descarga gratuita, SigSpotter, (disponible también el código fuente) para comprobar la integridad de las firmas en Windows (a colación del problema tan comentado del certificado digital de Adobe comprometido).

Desde Daboweb, felicitamos a su creador, Yago Jesús, por crear y poner a disposición del grán público esta herramienta que os ayudará a identificar a los autores de los ficheros ejecutables que tenéis instalados en vuestro Windows, basándose en su certificado digital «authenticode».

Información y descarga en Security By Default.

Se encuentra disponible para su descarga la nueva versión de Wireshark 1.8.3. que soluciona diversas vulnerabilidades de versiones anteriores.

Como la mayoría sabréis, Wireshark es una herramienta multiplataforma para análisis de tráfico de red, producto de la evolución del antiguo Ethereal. Funciona al igual que lo puede hacer cualquier otro sniffer tal como Windump, TCPDump ó dsniff. Pero, al contrario de estos, lo hace mostrando los datos a través de un entorno gráfico y de forma más amigable y entendible. Posee una serie de decodificadores para la mayor parte de protocolos así como plugins y herramientas para el análisis gráfico de las capturas.

Para descargar Wireshark:

• Windows: http://www.wireshark.org/download.html
• Linux: Algunas distribuciones ya contienen Wireshark, de cualquier forma: apt-get install wireshark

Más información sobre su descarga, instalación y empleo básico del programa en nuestros temas:

• Herramientas para la interpretación de las capturas de red 6/10.

• Captura con Wireshark de ficheros SMB.

• Herramientas para la interpretación de las capturas de red 8/10.

Desde la lista de correo «Apple Security«, nos llega el aviso de una actualización de seguridad para OS X Server (v2.1.1).  Esta nueva versión solventa varias vulnerabilidades en PostgresSQL, siendo la de más impacto una que permitiría a usuarios de las bases de datos acceder a ficheros del sistema con privilegios elevados.

También Jabber recibe una actualización para solventar posibles fugas de información en relación con otros servers mejorando la gestión de mensajes. El update está disponible desde el menú «Actualización de Software». Os recomendamos aplicar las correcciones con brevedad, más info sobre estas cuestiones de seguridad en Apple Security Updates.

Un mes más, os recomendamos el recopilatorio de entradas publicadas en Daboweb en Septiembre de 2012 por si en el día a día de la publicación alguna que pudiera interesarte, se te ha pasado por alto.

Todos los comentarios los vamos recogiendo en el foro de noticias que hemos creado para opinar sobre ellas. También te invitamos a participar en nuestros foros para exponer tus dudas o ayudar a despejar las que tengan otros. (Te recomendamos ver nuestro archivo de contenidos publicados).

• 30: Debian Squeeze 6.0.6 disponible (actualización de seguridad).
• 29: [Breves] Actualización de filtros Nauscópicos para AdBlock Plus, (Firefox y Chrome)
• 28: [Breves] Disponible Joomla 3.0.0 y Joomla 2.5.7 (Importante, finaliza el soporte para la rama 1.5x)
• 26: Nueva vulnerabilidad en Java 5, 6 y 7 (Windows, Mac OS X, GNU/Linux y Solaris).
• 26: [Breves] Mirror comprometido de phpMyAdmin sirvió una versión (3.5.2.2) con una puerta trasera
• 22: Actualización de seguridad disponible para el grave bug en Internet Explorer 7, 8 y 9
• 18: Vulnerabilidad 0Day (crítica) en Internet Explorer 7, 8 y 9. Se recomienda usar otro navegador
• 14: [Breves] Disponible Joomla 2.5.7, actualización de seguridad.
• 13: iTunes 10.7 para Windows solventa 163 vulnerabilidades.
• 11: Actualizaciones de Microsoft Septiembre de 2012
• 06: WordPress 3.4.2, actualización de mantenimiento y seguridad disponible
• 03: Publicado en Daboweb, Agosto 2012.