Daboweb | Seguridad y ayuda informática |

Se está hablando de más de 600.000 equipos infectados en todo el mundo por el troyano «Flashback» que como su nombre indica, se hace pasar por una actualización del reproductor de Flash para instalarse en tu equipo y aprovecharse de un bug en Java (desde Apple vía «Actualización de software» ya hay parches disponibles).

Tal y como leemos en SpamLoco, Dr Web ha puesto a disposición de los usuarios (Actualización, enlazamos a una de Kaspersky en Inglés) para que una vez hayas introducido el UUID de tu Mac (En la manzana, «acerca de este equipo» | «Más información» | «Hardware»), comprobar si estás infectado.

Según leemos en H-Online (ENG), se ha reportado un fallo de seguridad catalogado como de impacto alto en «Apache Traffic Server» (CVE-2012-0256).

Dicho bug afecta prácticamente a todas las ramas 2.x y 3.x (incluso las de desarrollo) y se recomienda actualizar a la mayor brevedad posible a la versión 3.0.4 dado que evita tanto ataques de denegación de servicio (DoS) o la ejecución arbitraria de código.

Más información (Apache Server).

Un mes más, os recomendamos el recopilatorio de entradas publicadas en Daboweb en Febrero de 2012 por si en el día a día de la publicación alguna que pudiera interesarte, se te ha pasado por alto.

Todos los comentarios los vamos recogiendo en el foro de noticias que hemos creado para opinar sobre ellas. También te invitamos a participar en nuestros foros para exponer tus dudas o ayudar a despejar las que tengan otros. (Te recomendamos ver nuestro archivo de contenidos publicados).

Febrero 2012;

• 29: En Intypedia. Nuevo vídeo, lección 13. Seguridad en DNS
• 26: Aprende esperanto en GNU/Linux
• 25: El futuro de SMF
• 24: HijackThis es Open Source
• 19: Ubuntu Lucid Lynx 10.04.4
• 18: [Breves] Mozilla Firefox 10.0.2 solventa vulnerabilidad crítica
• 15: Actualizaciones de Microsoft Febrero de 2012
• 15: [Breves] Actualización crítica de seguridad para Firefox 10.0.1 Thunderbird 10.0.1 y SeaMonkey 2.7.1
• 12: Comprueba si el password de tu Router ADSL es visible vía web
• 07: Canonical “se deshace” de Kubuntu
• 07: Liberado Kernel Linux 3.2.5
• 03: Joomla! 2.5.1 y 1.7.5, actualizaciones de seguridad
• 02: Publicado en Daboweb, Enero de 2012
• 02: Drupal 7.11, 7.12, 6.23 y 6.24 actualización de seguridad

Un mes más, os recomendamos el recopilatorio de entradas publicadas en Daboweb en Enero de 2012 por si en el día a día de la publicación alguna que pudiera interesarte, se te ha pasado por alto.

Todos los comentarios los vamos recogiendo en el foro de noticias que hemos creado para opinar sobre ellas. También te invitamos a participar en nuestros foros para exponer tus dudas o ayudar a despejar las que tengan otros. (Te recomendamos ver nuestro archivo de contenidos publicados).

Enero 2012;

• 31: Problema de seguridad en sudo
• 26: Herramientas para la interpretación de capturas de red. (9/10) Parte 2
• 26: Navegador web Opera (11.61) solventa dos bugs, uno de ellos catalogados como crítico.
• 25: [Breves] Kernel linux-3.2.x soporta conector midi UM-ONE
• 25: Joomla! 2.5.0 y 1.7.4 actualizaciones de seguridad
• 24: [Breves] Actualización en Kernel de Ubuntu 10.10 solventa 3 vulnerabilidades.
• 23: Vulnerabilidades en Apache Tomcat 5, 6 y 7
• 22: Vulnerabilidades severas en phpMyAdmin. Debian Security (DSA-2391-1).
• 20: El FBI cierra Megaupload
• 19: Sobre la responsabilidad de la (IN) Seguridad. Interesante reparto / repaso
• 18: Contra la Ley #SOPA y en defensa de nuestros Derechos y Libertades Civiles
• 17: LibreOffice 3.4.5
• 17: Vulnerabilidades severas en Linux Kernel para Debian (DSA-2389-1).
• 16: Herramientas para la interpretación de capturas de red. (9/10) Parte 1
• 15: Comprueba vía web si tu equipo está afectado por “DNSChanger”.
• 12: Actualizaciones de Adobe Acrobat X y Reader X solucionan graves vulnerabilidades
• 11: Actualizaciones de Microsoft Enero de 2012
• 10: En Intypedia. Nuevo vídeo, lección 12. Seguridad en redes WiFi
• 03: [Breves] Disponible WordPress 3.3.1. Actualización de seguridad
• 02: Foros phpBB 3.0.10, versión de mantenimiento
• 02: Fallos de seguridad en WhatsApp
• 02: Contenidos publicados en Daboweb. Diciembre 2011

Se han reportado por parte de Debian dos vulnerabilidades en el gestor de bases de datos phpMyAdmin. Se recomienda su actualización a la mayor brevedad posible debido al impacto de las mismas en el sistema caso de ser explotadas.

La versión «oldstable» (lenny) no está afectada por estos problemas, para la rama actual estable (Squeeze), hay que actualizar phpMyAdmin a la versión 4:3.3.7-7., en la de pruebas «Whezzy» hay que actualizar a la 4:3.4.7.1-1.:

Referencias sobre los bugs (entre ellos un XSS).

In the Debian bugtracking system: Bug 656247.
In Mitre’s CVE dictionary: CVE-2011-1940, CVE-2011-3181, CVE-2011-4107.

La versión3.4.9 de phpMyAdmin ha sido liberada liberada cerrando dos agujeros de seguridad en el popular y tan usado gestor de bases de datos Open Source. Esta nueva versión solventa dos bugs XSS (cross-site-scripting) y se encuentran afectadas todas las de la rama 3.4x ,incluyendo la 3.4.8 por lo que es más que recomendable actualizar con brevedad.

Fuente | Notas de la versión.

Google acaba de liberar la versión 15 (15.0.874.121) de su navegador web que solventa un bug catalogado como de impacto alto para el sistema , habiendo sido reportado por Christian Holler (quien por cierto, ha recibido 1.000 $ por ello a través del sistema de «pago por bugs» de Google).

El fallo se daba en el motor de JavaScript V8, que ha sido actualizado a la versión 3.5.10.24 y palía un bug relacionado con SVG e iframes. Es por ello que se recomienda actualizar a la mayor brevedad posible el navegador.

Fuente y más información (ENG).

La actualización de firmware 7.6 para el dispositivo Time Capsule de Apple y la estación base Airport (802.11n), corrige un bug serio en DHCP, CVE-2011-0997. Un atacante puede conseguir privilegios dentro de la red a través de respuestas DHCP maliciosas mediante la ejecución arbitraria de código, por lo que se recomienda actualizar a la mayor brevedad posible vía el menú «Actualización de software».

Adobe acaba de publicar una nueva versión de su reproductor Flash Player que solventa varias vulnerabilidades catalogadas como críticas para los sistemas afectados. En Windows, GNU/Linux, Mac OS X o Solaris, si tienes la versión 10.3.183.7 o una anterior, debes actualizar a la 10.3.183.10. En plataformas Android, si tienes la versión 10.3.186.6 o una anterior, debes actualizar a la versión 10.3.186.7.

Si quieres saber la versión de Flash Player que utilizas, puedes comprobarlo desde este enlace.

Concretamente, los bugs corregidos son los siguientes; CVE-2011-2426, CVE-2011-2427, CVE-2011-2428, CVE-2011-2429, CVE-2011-2430, CVE-2011-2444. Hablamos de vulnerabilidades serias caso de ser explotadas, como puede ser la ejecución de código arbitrario en los equipos afectados (AVM stack overflow), ataques cross-site scripting a través de webs o e-mails previamente manipulados para tal fin, en funciones de streaming, etc.

Información detallada en Adobe de los parches incluidos y bugs (ENG) | Descarga de Flash Player.

Se está hablando mucho estos días del bug y el cambio de passwords en Lion tal y como podemos leer en Ontinet y nos han llegado varias consultas sobre cómo actuar hasta que Apple publique una actualización que lo solvente.

Aclaramos en el título lo de «un ataque local», ya que se requiere acceso físico a la máquina para poder llegar a efectuar dicho ataque con sólo tipear el siguiente comando en el terminal; dscl localhost -passwd /Search/Users/NombreUsuario.

Esta vulnerabilidad / debilidad en la gestión de las contraseñas de Mac OS X no es nueva tal y como nos recuerdan desde Genbeta (donde también se dan buenos consejos), ahora, con el lanzamiento de Lion, vuelve a estar de actualidad y es lógica la preocupación de los usuarios de OS X frente a un ataque de este tipo.

Realmente no es algo tan complejo de paliar y obviamente, ayuda que sea un ataque para el que se necesite estar frente al equipo caso de querer efectuarlo. También en LifeHacker (ENG) un usuario ha preguntado lo mismo y vamos a dar un repaso a las medidas a poner en práctica.

Desde el terminal;

• Desactivar los permisos de dscl (como root) tipeando; chmod 100 /usr/bin/dscl

Desde Preferencias del Sistema – Seguridad;

• #Nota. Puedes ver esta imagen de LifeHacker para ver mejor los cambios
• Desactiva el inicio de sesión automático.
• Activa la opción «solicitar password inmediatamente» cuando se active el salvapantallas o la suspensión.
• (Sobre este punto comentar que en Preferencias- Energía podéis bajar el tiempo de esos valores, recomendable).
• Solicitar la contraseña de administrador para desbloquear cualquier preferencia del sistema bloqueada.
• No olvides bloquear el candado en la zona inf izquierda.

Desde Preferencias del Sistema – Usuarios y grupos;

• Desactivar la cuenta de invitado
• (También recomendable en «compartir» desactivar el acceso a carpetas compartidas)

Ahora sólo es cuestión de esperar y ver el «tiempo de respuesta» por parte de Apple para parchear este agujero de seguridad.

El equipo de desarrollo de Coppermine ha publicado una actualización de su sistema de galerías (versión 1.5.16) que viene a solventar una vulnerabilidad catalogada como «seria» para la integridad del CMS (Gestor de contenidos).

El bug afecta a la posibilidad de registrarse y acceder a la parte administrativa de las galerías con privilegios de administrador, de ahí que digan; «de obligatoria actualización«. Además de este fallo, se han añadido 4 mejoras en otros aspectos de Coppermine.

La info original y cambios (ENG) | Link a la descarga | Tutorial actualización Coppermine.

Como habéis podido leer hoy en Daboweb, hace unas horas os informábamos acerca de los parches que ha aplicado Debian con una nueva versión de Apache que solventaba la vulnerabilidad y los ataque DoS CVE-2011-3192 (además de uno específico en mod_dav) tanto en la rama «oldstable» (Lenny) como en la «stable» (squeeze).

Os informamos que ya está disponible una nueva versión de Apache (2.2.20) que solventa dicho bug por lo que es más que recomendable su actualización a la mayor brevedad posible, además de revertir los posibles cambios (por ejemplo la activación de mod_deflate) relalizados para mitigar el impacto del bug cuando aún no había parches oficiales.

Información sobre cambios y correcciones | Descarga de la nueva versión | Fuente Sans.

Hace unos días os hablamos de la vulnerabilidad que afectaba al servidor web Apache. Esta vulnerabilidad permitía ataques de denegación de servicio y que con un número limitado de peticiones, dicho ataque dejase al servidor web afectado sin recursos por un excesivo consumo de memoria y CPU.

Debian ha puesto a disposición de los usuarios los correspondientes parches que solventan dicha vulnerabilidad  (CVE-2011-3192) (etiquetados como 2.2.9-10+lenny10 y 2.2.16-6+squeeze2.)

Además, se añade un parche específico para la versión «oldstable» (Lenny) que solventa un bug que afecta a mod_dav (CVE-2010-1452) que también podía derivar en ataques de DoS en el servidor web.

Más información sobre el anuncio (Debian DSA-22981 Apache 2) en Debian.

En estos momentos, en el sitio web oficial de Apache aún no hacen mención a una nueva relase que corrija estos bugs, pero se espera que en unas horas esté disponible una versión con el parche para su instalación/compilación.

Concretamente, la vulnerabilidad ha sido catalogada como «Range header DoS vulnerability in Apache 1.3 and Apache 2» (CVE-2011-3192:). El tema es serio ya que con un número relativamente bajo de peticiones, pueden producirse ataques de denegación de servicio, debido a un excesivo consumo de memoria y CPU.

Como prueba de concepto, está el script escrito en Perl  denominado»killapache«. Para comprobar si vuestro servidor es susceptible de recibir este tipo de ataques, os recomendamos leer la entrada sobre el tema de Jordi Prats en»systemadmin.es»

Este bug, del que se espera que en 96 h aproximadamente esté parcheado (aunque hablan de parches para las versiones 2.0x y 2.2x, no para la 1.3x según informan), afecta especialmente a Apache junto a módulos relativos a la compresión de ficheros, como puede ser el caso de uno tan popular como mod_deflate. Debido a la falta de actualizaciones, se proponen varias medidas para paliar los efectos del bug.

Estas actuaciones se pueden combinar con otras soluciones de «apoyo» como podrían ser Mod-Evasive, Mod-Security, (D) DoS Deflate, la configuración de vuestro firewall, etc.

(#Disclaimer; En la fuente original ya se informa que estas medidas pueden afectar al normal uso de los sitios webs en los que se implementen. Vídeo por streaming, sesiones activas, ciertas descargas, cookies y otras peticiones legítimas).

1) Utilizar «mod_headers«; (Ponedlo debajo de la directiva «ServerRoot»)

RequestHeader unset Range

2) Usar «mod_rewrite» para limitar el número de intervalos:

RewriteCond % {HTTP:range} ^bytes=[^,]+(,[^,]+) {0,4}$
RewriteRule. *-[F]

3) Reducir el tamaño en bytes de las peticiones; (mejor con la opción 1)

LimitRequestFieldSize 200

4) Usar temporalmente un módulo de «recuento» como mod_rangecnt.c. (esta opción mejor la última…)

http://People.Apache.org/~dirkx/mod_rangecnt.c (descarga directa)

5) Quitar «mod_deflate» temporalmente, la «menos mala» quizás.

(Alguna consideración sobre su desactivación aparte de un «a2dismod» en Debian y derivados)

«Removing any AddOutputFilterByType/SetOutputFilter DEFLATE entries. Disable it with «BrowserMatch .* no-gzip«

Ante las dudas que os puedan surgir, os recomendamos permanecer atentos a posibles parches y leer la fuente original de este artículo o está información de «Debian Security» en el que hablan del bug y cómo afecta a Apache en su versión estable. También es recomendable seguir este hilo para contrastar e ir leyendo más información.

Por David Hernández (Dabo).

Curiosa la noticia que leemos en la red acerca del viejo y conocido «ping de la muerte» que afectaba allá por la década de los noventa a sistemas Windows y que todos creíamos desaparecido. Al parecer Microsoft publicó el boletín de seguridad MS11-064 en el que corrige un fallo de similares características en la pila TCP/IP de Windows Vista y Windows 7, el cual mediante paquetes ICMP especialmente diseñados pueden provocar una denegación de servicios en el sistema afectado. Llama la atención que Windows XP no se vea afectado por esta vulnerabilidad y que sin embargo, los dos últimos sistemas operativos del gigante informático si que «incorporen» este grave fallo.

Sin duda uno de los mas conocidos bugs de la gama de productos made in Microsoft, tanto por la facilidad en su ejecución como por los efectos inmediatos que producía: cuelgue del equipo que lo sufría y la aparición de la tan temida «pantalla azul». Para los que no conozcais este clásico entre los clásico dentro de lo que es su día se dio a conocer como el «IRC War», os dejamos este enlace a la Wikipedia donde podéis leer mas al respecto. Y si sois usuarios de los mencionados Windows Vista y Windows 7, pues ya sabéis lo que procede…