Daboweb | Seguridad y ayuda informática |

Se ha detectado un fallo de seguridad que permitiría una escalada de privilegios en el popular sistema de administración a través del navegador Webmin, concretamente se trata de un cross site scripting que hace que el archivo useradmin/index.cgi no filtre adecuadamente los datos introducidos, lo cual propiciaría que el atacante falsificase su datos mediante javascript y «engañase» al sistema haciendose pasar por otro usuario de Webmin con mas privilegios que él.
Practicamente de forma inmediata se dió solución a este grave fallo con un parche que elimina esta vulnerabilidad. Lo tenéis disponible en este enlace, pero ojo, según parece desde la página oficial de descarga todavía se ofrece la versión con el error, asi que tened la precaución de haceros con el mencionado parche si la descargáis.

Pues para sorpresa de muchos el proyecto LibreOffice no continurá con OpenOffice despues de que Oracle hiciese público que el desarrollo de la popular y utilizada suite ofimática open source iba a quedar en manos de la comunidad. Se abrió entonces una puerta a la esperanza para que ambos proyectos se fusionases en uno, pero tras unas declaraciones de Charles-H. Schulz, miembro del comité ejecutivo de The Document Foundation, esta posibilidad queda totalmente descartada.

Los responsables de LibreOffice estan dispuestos a acoger a aquellos programadores de OpenOffice que quieran sumarse al proyecto, lo que indica de una forma inequívoca que en ningún momento han dudado de retomar el trabajo y «doblegarse» a la voluntad de Oracle, sino que desean ampliar las posibilidades y futuro de su nuevo cometido. Parece que Oracle han sembrado la semilla de la desconfianza en el mundillo del open source y que nadie ya se fia de las intenciones de este gigante informático.

Finalmente la compañía Oracle ha hecho público cual será el futuro de la suite ofimática de código libre OpenOffice, la cual quedará bajo la responsabilidad de la comunidad de desarrolladores con la ayuda de la multinacional. Se espera que sea la Document Foundation la que recoja el testigo por ser la creadora del fork LibreOffice, con lo que si finalmente sucediera, solo habría una linea de desarrollo y un solo producto con su anterior nombre. Buena noticia para los usuarios ya que se abre la mejor de las puertas hacia la continuidad de OpenOffice, pero habrá que esperar a que la mencionada Document Foundation se haga cargo del mismo.

Así mismo desde Oracle se ha hecho incapié en el apoyo al formato Open Document Format (ODF), lo cual despeja un poco mas las intenciones de Oracle hacia el mundo del software libre, que tantas dudas había generado en los últimos tiempos.

Se encuentra disponible para su descarga la última versión estable del Kernel (o núcleo) de GNU/Linux. Concretamente la número; 2.6.38.

FAQS o preguntas frecuentes sobre el Kernel Linux.

Descargar Kernel Linux.

Se encuentra disponible para su descarga la nueva versión de Wireshark 1.4.4. que soluciona diversas vulnerabilidades de versiones anteriores.

Como la mayoría sabréis, Wireshark es una herramienta multiplataforma para análisis de tráfico de red, producto de la evolución del antiguo Ethereal. Funciona al igual que lo puede hacer cualquier otro sniffer tal como Windump, TCPDump ó dsniff. Pero, al contrario de estos, lo hace mostrando los datos a través de un entorno gráfico y de forma más amigable y entendible. Posee una serie de decodificadores para la mayor parte de protocolos así como plugins y herramientas para el análisis gráfico de las capturas.

Para descargar Wireshark:

• Windows: http://www.wireshark.org/download.html
• Linux: Algunas distribuciones ya contienen Wireshark, de cualquier forma: apt-get install wireshark

Listado de vulnerabilidades solucionadas.

Más información sobre su descarga, instalación y empleo básico del programa en nuestros temas:

• Herramientas para la interpretación de las capturas de red 6/10.

• Captura con Wireshark de ficheros SMB.

Uno de los «clásicos» dentro de las aplicaciones disponibles en todo sistema GNU/Linux que se precie ya tiene nueva versión. Nos referimos a Wine, programa con el que podemos lanzar aplicaciones Windows dentro del sistema operativo del pingüino si aún tenemos que usar obligatoriamente algún software de ese sistema operativo privativo. Wine es uno de los programas que mas y mejor han evolucionado en su desarrollo, ya que el número de aplicaciones «made in Windows» que es capaz de hacer funcionar se ha incrementado en los últimos tiempos.

En esta nueva entrega de este software totalmente libre y con licencia GPL, se han dado solución a diversos problemas encontrados en la versión anterior. Os dejamos este enlace por si queréis mas información al respecto.

Ha sido liberada y se encuentra disponible para su descarga la nueva versión de Nmap 5.51, una interesante herramienta multiplataforma de código abierto para el escaneo de redes y auditorías de seguridad.

Nmap, entre otras, nos va a permitir determinar qué equipos se encuentran disponibles en una red, qué servicios (nombre y versión de la aplicación) ofrecen, qué sistemas operativos (y sus versiones) ejecutan, qué tipo de filtros de paquetes o cortafuegos se están utilizando así como docenas de otras características.

Descarga Nmap, todas las plataformas.
La página con documentación, manuales, etc.
Listado de cambios.

Otra opción muy interesante para comprobar cómo se ve tu equipo desde Internet y poner a prueba vuestro firewall es Nmap online que ya mencionamos hace un tiempo.

Ha sido liberada y se encuentra disponible para su descarga la nueva versión de Nmap 5.50, una interesante herramienta multiplataforma de código abierto para el escaneo de redes y auditorías de seguridad.

Nmap, entre otras, nos va a permitir determinar qué equipos se encuentran disponibles en una red, qué servicios (nombre y versión de la aplicación) ofrecen, qué sistemas operativos (y sus versiones) ejecutan, qué tipo de filtros de paquetes o cortafuegos se están utilizando así como docenas de otras características.

Descarga Nmap, todas las plataformas.
La página con documentación, manuales etc aquí.
Listado de cambios.

Otra opción muy interesante para comprobar cómo se ve tu equipo desde Internet y poner a prueba vuestro firewall es Nmap online que ya mencionamos hace un tiempo.

Oracle ha liberado para sus clientes una nueva actualización de seguridad de varios de sus productos con el nombre de “Critical Patch Update”.

Estas actualizaciones de Enero 2011, primera de las cuatro previstas para este año 2011, vienen a solventar múltiples vulnerabilidades (66) encontradas hasta la fecha en diferentes productos de la compañía:

Oracle Database, Oracle Application Server, Oracle Secure Backup, Oracle Open Office y StarOffice, Oracle E-Business Suite, Oracle Sun, Oracle WebLogic Server, Oracle PeopleSoft Enterprise, etc.

Desde la empresa recomiendan parchear lo antes posible las diferentes versiones afectadas, ya que el aprovechamiento de esos fallos por parte de usuarios malintencionados podría comprometer seriamente la integridad del sistema.

Más información y descarga de actualizaciones.

Se encuentra disponible para su descarga la nueva versión de Wireshark 1.4.3. que soluciona diversas vulnerabilidades de versiones anteriores.

Como la mayoría sabréis, Wireshark es una herramienta multiplataforma para análisis de tráfico de red, producto de la evolución del antiguo Ethereal. Funciona al igual que lo puede hacer cualquier otro sniffer tal como Windump, TCPDump ó dsniff. Pero, al contrario de estos, lo hace mostrando los datos a través de un entorno gráfico y de forma más amigable y entendible. Posee una serie de decodificadores para la mayor parte de protocolos así como plugins y herramientas para el análisis gráfico de las capturas.

Para descargar Wireshark:

• Windows: http://www.wireshark.org/download.html
• Linux: Algunas distribuciones ya contienen Wireshark.  De cualquier forma: apt-get install wireshark

Listado de vulnerabilidades solucionadas.

Más información sobre su descarga, instalación y empleo básico del programa en nuestros temas:

• Herramientas para la interpretación de las capturas de red 6/10.

• Captura con Wireshark de ficheros SMB.

Se encuentra disponible para su descarga la última versión estable del Kernel (o núcleo) de GNU/Linux. Concretamente la número; 2.6.37.

FAQS o preguntas frecuentes sobre el Kernel Linux.

Descargar Kernel Linux.

Oracle ha lanzado una nueva versión del sistema gestor de bases de datos MySQL, que alcanza con esta su versión número 5.5. Entre las principales novedades que trae consigo destaca que InnoDB será a oartir de ahora su sistema de almacenamiento por defecto, así como una mejora generalizada en el rendimiento de esta base de datos con licencia GPL ampliamente usada sobre todo en entornos libres.

La multinacional Oracle ha aprovechado este lanzamiento para reiterar su intención de seguir apoyando el software libre, manifestando que la continuidad de MySQL está asegurada sin que ello suponga algún peligro comercial para su otro gestor de bases de datos. Nuevamente estamos ante otro capítulo de Oracle vs. Software Libre que tanto ha dado que hablar en las últimas fechas.

Así que ahora viene la pregunta del millón: ¿nos fiamos de Oracle?.

Ha sido liberada por parte de Apple una nueva versión del reproductor de audio y vídeo QuickTime7.6.9 , disponible para Mac OS X versiones 10.5.8, así como para sistemas Windows (7, Vista y XP service Pack 2).

Esta nueva versión solventa hasta 15 problemas de seguridad que entre otras, podrían provocar el cierre de la aplicación y la ejecución arbitraria de código.

Dado el impacto de estos fallos y su posible explotación en los sistemas afectados, se recomienda actualizar a la mayor brevedad posible a la nueva versión.

# Listado de vulnerabilidades corregidas.

# Descarga de QuickTime 7.6.9.

Se ha detectado una vulnerabilidad en OpenSSL, el conocido y utilizado sistema de seguridad de transporte de comunicaciones en red de código abierto,  mediante la cual un usuario remoto podría causar una denegación de servicio en el sistema afectado, ejecutando código arbitrario mediante el envío de datos especialmente manipulados y creados para comprometer la seguridad. Las versiones de OpenSSL que soporten TLS estan afectadas por este fallo, con lo que se recomienda la actualización inmediata.

En este enlace tenéis mas información al respecto, tanto de versiones afectadas, parches que solucionan el problema y nuevas versiones que solucionan esta grave vulnerabilidad.

Se encuentra disponible una nueva versión de Wireshark que soluciona diferentes vulnerabilidades de versiones anteriores.

Vulnerabilidades en versiones 1.4.1 y anteriores que bajo determinadas circunstancias, podrían ser explotadas, por lo que se recomienda actualizar a la nueva versión 1.4.2.

Para quienes no conozcáis Whireshark, os comento que es un potente software (libre) analizador de protocolos y capturador de paquetes para filtrar y analizar el tráfico de una red pudiendo actuar en conjunto con muchos otros programas.

Whireshark es muy utilizado por administradores de redes y antiguamente se denominaba Ethereal, estando disponible para GNU/linux, Windows, Solaris, Mac OS X, FreeBSD, NetBSD, OpenBSD o Mac OS X.

Sus funciones son similares a las de tcpdump sólo que añade una intuitiva capa gráfica para su uso.

# Descargar Wireshark 1.4.2.