Daboweb | Seguridad y ayuda informática |

El equipo de desarrollo del sistema de foros SMF, ha liberado dos nuevas versiones para las ramas 2.x y 1.1x que solventan vulnerabilidades catalogadas por ellos como críticas. Debido a este hecho, se recomienda parchear los foros a la mayor brevedad posible.

Recordad que para actualizar hay que poner el foro en mantenimiento, después como idioma «english» y una vez parcheado, hay que ejecutar el script (y luego borrarlo) www/miforo/upgrade.php. Más info y descarga de las versiones 2.0.2 y 1.1.16.

Según podemos leer en Hispasec, se ha detectado un  fallo de seguridad en el navegador web del popular sistema operativo de móviles y tablets Android. Esta vulnerabilidad permite a un atacante, mediante una web especialmente diseñada, conseguir que esta contenga el certificado de seguridad de otra que se pretende suplantar, con lo que de este modo verá un certificado aparentemente seguro y confiará en el sitio web malicioso. Este fallo afecta a la version  2.3.3 de Android, aunque no se descarta que pueda encontrarse en otras también.
Desde varias webs especializadas en seguridad informática se ha calificado este fallo como de bajo riesgo, pero mas vale ser precavidos a la hora de navegar por la red. En este link tenéis mas información detallada y unas cuantas capturas de pantalla al respecto de este fallo.

Se ha reportado una vulnerabilidad 0-day en el programa de mensajería Yahoo Messenger que afecta a las versiones 11.x y anteriores, que podría permitir a atacantes remotos modificar el mensaje de estado de cualquier usuario.

Conforme leemos en Inteco, la forma de explotar esta vulnerabilidad es modificar el mensaje de estado de la víctima con una URL que apunte a una página maliciosa que distribuya malware o que intente explotar alguna vulnerabilidad en el navegador, Java, Flash, PDF, etc. Según describe Sophos, cualquier usuario que pueda recibir mensajes desde contactos fuera de sus listas es 100% vulnerable a dicha vulnerabilidad, opción que se encuentra habilitada por defecto.

Un mes más, te recomendamos el recopilatorio de entradas publicadas en Daboweb en Noviembre de 2011, por si en el día a día de la publicación, alguna que pudiera interesarte, se te ha pasado por alto.

Todos los comentarios los vamos recogiendo en el foro de noticias que hemos creado para opinar sobre ellas. También te invitamos a participar en nuestros foros para exponer tus dudas o ayudar a despejar las que tengan otros. (Te recomendamos ver nuestro archivo de contenidos publicados).

noviembre 2011

• 29: Joomla! 1.7.3 y 1.5.25, actualizaciones de seguridad
• 27: Liberado Kernel Linux 3.1.3
• 24: Liberado el código fuente de Doom 3
• 24: [Breves] PHP, 25 ejemplos con buenas prácticas en seguridad para SysAdmins
• 17: En Intypedia. Nuevo vídeo, lección 11. Análisis y gestión de riesgos
• 17: Google Chrome 15 solventa bug serio en JavaScript (Windows, GNU/Linux y Mac OS X)
• 17: [Breves] BIND 9.8.1-P1 solventa bug serio en el popular servidor DNS
• 16: Violencia y pornografía en Facebook
• 11: [Breves] Firmware 7.6 para Time Capsule y estación base Airport (802.11n) corrige bug serio en DHCP
• 11: iOS 5.0.1 solventa múltiples vulnerabilidades en iPhone (3 GS, 4G y 4S) y en iPad 2
• 10: Fallo de seguridad en PhpMyAdmin
• 09: Actualizaciones de Microsoft Noviembre de 2011
• 09: APPLE-SA-2011-11-08-1. Actualizaciones de seguridad para Java en Mac OS X
• 08: Firefox 8, descarga disponible para Windows, GNU/Linux y Mac OS X
• 05: En apoyo a la cena benéfica por los 16 años de encierro de Arancha García (@munmami)
• 05: [Breves] Disponible parche de Microsoft para protegerse del troyano “Duqu”.
• 05: La primera película “libre” del cine español
• 03: El bug de Agosto que afectaba a WordPress y “TimThumb”, sigue comprometiendo a miles de sitios.

Empieza la cuenta atrás para el inicio de la tercera edición de la Rooted CON, uno de los eventos relacionados con la seguridad informática más importantes del panorama nacional.

Además, estrenan una nueva web donde ya se han publicado los precios (difieren según las fechas) para poder realizar la inscripción desde hoy, así como otros datos de interés para quienes vayan a Madrid los días 1, 2 y 3 de Marzo.

Acceso y más info; http://www.rootedcon.es

De todos es sabido que una configuración correcta de PHP hablando de servidores web es vital para evitar «sustos» o ataques hacia nuestras máquinas. Si eres un administrador de sistemas o estás interesado en estas cuestiones, os recomendamos leer (en Inglés) estos 25 ejemplos para mejorar la seguridad de instalaciones en las que se ejecute PHP.

Acceso a; «25 PHP Security Best Practices For SysAdmins«

Al igual que en anteriores ocasiones, os recomendamos una nueva lección de Intypedia (Enciclopedia de Seguridad de la Información). En este caso, está orientada a la seguridad y gestión los sistemas de información. Por José Antonio Mañas (UPM).

Según podemos leer en el resumen de esta lección;

En la lección de hoy vamos a analizar la confianza que merecen los sistemas de información
con los que trabajamos, ya que dependemos fuertemente de ellos en actividades personales,
empresariales o en la administración pública.

Información de apoyo

Guión [PDF][157KB]
Diapositivas [PDF][382KB]
Ejercicios [PDF][131KB]

Google acaba de liberar la versión 15 (15.0.874.121) de su navegador web que solventa un bug catalogado como de impacto alto para el sistema , habiendo sido reportado por Christian Holler (quien por cierto, ha recibido 1.000 $ por ello a través del sistema de «pago por bugs» de Google).

El fallo se daba en el motor de JavaScript V8, que ha sido actualizado a la versión 3.5.10.24 y palía un bug relacionado con SVG e iframes. Es por ello que se recomienda actualizar a la mayor brevedad posible el navegador.

Fuente y más información (ENG).

Se ha liberado por parte de la comunidad de desarrolladores de BIND, la versión BIND 9.8.1-P1 que solventa una vulnerabilidad seria que afecta al conocido servidor DNS y que según podemos leer en ISC, resuelve fallos en su funcionamiento a través de ciertas peticiones y el registro o log de errores en «query.c».

Descarga | lista de cambios.  (También están disponibles los parches en los «sources» de Debian).

Un ataque coordinado que empezó el lunes pasado ha inundado muchas cuentas de la conocida red social Facebook con imagenes de violencia extrema o videos porno. Se ha apuntado la posibilidad de que se trate de una acción de 4Chan/B, aunque hay que señala a Anonymous como responsables de la misma. Hasta el momento no ha habido ninguna reivindicación.

El ataque se aprovecha de la novedad de incluir los timelines de los usuarios de Facebook a los que seguimos, con lo que nuevamente surgen dudas y comentarios acerca de la seguridad y privacidad dentro de la red social. Los responsables de la misma están trabajando en contener la situación y en averiguar la autoría de este desagradable incidente. Verificad vuestras cuentas y borrad del muro estas imágenes si habéis sido una de las muchas víctimas y ojo con los enlaces externos, además de revisar vuestras opciones de privacidad.

La actualización de firmware 7.6 para el dispositivo Time Capsule de Apple y la estación base Airport (802.11n), corrige un bug serio en DHCP, CVE-2011-0997. Un atacante puede conseguir privilegios dentro de la red a través de respuestas DHCP maliciosas mediante la ejecución arbitraria de código, por lo que se recomienda actualizar a la mayor brevedad posible vía el menú «Actualización de software».

Según leemos en la lista de correo «Apple Security«, demás de solventar el comentado excesivo consumo de batería, gestos multi-táctiles en los iPad de primera generación y problemas con la sincronización de documentos en iCloud, esta actualización de IOS etiquetada como 5.0.1, corrige el bug del desbloqueo y la tapa del iPad2 CVE-2011-3440 , así como en CFNetwork CVE-2011-3246 (posible recopilación de información sensible visitando una web manipulada para tal fin),

También en CoreGraphics CVE-2011-3439 – FreeTipe (ejecución remota de código manejando o visionando una fuente manipulada), la posibilidad de interceptar datos sensibles o comprometer una conexión a través de certificados no confiables (DigiCert Malaysia), se solventa un bug en el Kernel reportado por Charlie Miller CVE-2011-3442 y una vulnerabilidad en libinfo CVE-2011-3441 que podría ser explotada caso de visitar una web maliciosa manipulada para esa finalidad..

Esta actualización está disponible a través de iTunes y por el nuevo método «OTA» (over the air) desde el propio dispositivo.

Se ha descubierto según leemos en Hispasec, una vulnerabilidad en el gestor de bases de datos vía navegador PhpMyAdmin, mediante la cual un atacante remoto podría leer archivos del servidor mediante un fichero XML especialmente creado para tal caso (en la etiqueta «ENTITY» se especifica la ruta al fichero al que se desea tener acceso).

Concretamente el fallo reside en la función «simplexml_load_string» del archivo «libraries/import/xml.php». Este fallo ha sido ampliamente difundido en la red a través de varias webs, lo que lo hace especialmente peligroso si tenemos en cuenta que de momento no se ha publicado parche que lo corrija.

Hay que aclarar que para que un atacante pudiera comprometer nuestro servidor, ha de poder autenticarse en él, es decir, que se trate de uno de nuestros usuarios. Mas información aquí.

Apple informa a través de su lista de correo de actualizaciones de seguridad de gran impacto para el sistema en Java caso de ser explotadas. Están disponibles para Mac OS X 10.6, 10.7 y 10.8 (también para la versión server).

Dichas actualizaciones,se pueden obtener directamente a través del menú «Actualizacione de softwware», solventan un posible ataque a través de applets de Java maliciosos debidamente manipulados, con el fin de ser explotados por sitios webs preparados tal fin. Pudiendo derivar en la ejecución arbitraria de código con los privilegios del usuario en el sistema afectado.

Según leemos en la web amiga «Cajon Desastres«, Microsoft ha puesto a disposición de los usuarios un parche para solventar los efectos del troyano «Duqu» (sucesor del virus Stuxnet) que valiéndose de una vulnerabilidad en Windows pendiente de parchear, además de comprometer el equipo del usuario, está realizando un grado muy elevado de infecciones en equipos de terceros.

Toda la información y parches en Cajón Desastres.