Daboweb | Seguridad y ayuda informática |

Drupal 6.25, ha sido liberado como versión de mantenimiento que solventa algunos errores localizados en el CMS (gestor de contenidos). Aunque tal y como informa su equipo de desarrollo no hay actualizaciones de seguridad, es más que recomendable instalar esta versión.

Nota oficial | Descargas.

El equipo de desarrollo de SMF ha publicado una entrada en su blog para dar a conocer a la comunidad de usuarios de este CMS para gestión de foros sus planes de futuro a medio y largo plazo.

A más largo plazo comentan que, a petición de la comunidad, se trabaja en un proyecto mediante el cual se consiga una integración total de SMF con otros servicios, crear un instalador inteligente que permita a la vez que instalamos el foro poder integrar sistemas de blogs, galerías o wikis sin necesidad de hacks o complementos adicionales que es como funciona ahora mismo.

Este nuevo proyecto de nombre smCore (deducimos que Simple Machines Núcleo) no será exactamente SMF tal y como lo conocemos ahora si no que, por lo que se sobreentiende en la entrada, será una base sobre la que montarán los diferentes módulos, pudiendo ser estos un foro o algún otro servicio de los que comentaba antes (u otros por implantar). Lo que sí se sabe es que el primer módulo que se espera montar en el nuevo smCore será SMF 3.0, que será reescrito partiendo de la versión 2.1 Ya hay asignado un equipo de desarrollo y algunos colaboradores para trabajar en smCore, un trabajo que se desarrollará de forma independiente y separada del actual desarrollo del sistema de foros.

En cuanto a la versión 2.1 se añaden los siguientes cambios y mejoras:

• Soporte IPv6 – Específicamente en los mensajes, el seguimiento de IP y gestión de restricciones (bans).
• Sesiones de administradores y moderadores.
• Compatibilidad con la biblioteca jQuery.
• Mejora de la documentación del código.
• Tokens de seguridad.
• Limpieza de código.

Prometen más novedades en la siguiente entrada, estaremos pendientes. Entrada original (en inglés).

De dos en dos, como los donuts, así nos vienen las actualizaciones últimamente para los CMS y Joomla! con dos ramas estables en producción no podría ser menos con dos actualizaciones de seguridad para las ramas 2.5 y 1.7. La rama 2.5 corrige dos problemas de seguridad catalogados de prioridad baja (Low Priority – Core – Information Disclosure 1,2), ambos bugs podrían comprometer la administración del sitio. En la rama 1.7 se corrigen así mismo los dos bugs anteriores y un tercero tambień de  prioridad baja (Low Priority – Core – Information Disclosure 3) por el cual un usuario no autorizado podría acceder al registro de errores en el servidor.

La versión 2.5.1 corrige además 30 errores reportados, mejoras que no han sido incorporadas (o eso parece al menos) en la rama 1.7 de la que os recordamos que termina el día 24 de este mes y que si no has upgradeado ya tu sitio a la versión 2.5.x ya estás tardando en hacerlo antes de que te pille el toro.

Anuncio oficial (1.7.5) | Anuncio oficial (2.5.1).

Se han reportado nuevas versiones para Drupal, dos actualizaciones de seguridad que corrigen diversos problemas y otras dos de mantenimiento que solo corrigen bugs comunes.

Las versiones 7.11 y 6.23 solucionan un problema de seguridad de tipo CSRF (más info) calificado como moderadamente crítico donde un usuario validado podría forzar las actualizaciones mediante un feed que provocase una denegación del servicio (por ejemplo Twitter que limita las peticiones a 150 por hora), además de otros problemas relacionados con OpenID y el módulo de archivos.

Aparte tenemos las versiones de mantenimiento sobre las dos anteriores, 7.12 y 6.24 que al mismo tiempo solucionan los errores antes comentados.

Anuncio oficial, en inglés.

Dos nuevas actualizaciones para Joomla!, concretamente la versión 1.7.4 de la rama 1.7 (obvio) y la versión 2.5, ambas catalogadas como de seguridad por el equipo de desarrollo. Ésta última contiene 26 nuevas características, 4 problemas de seguridad corregidos y otros 356 no catalogados como de seguridad, de los importantes dos han sido catalogados de prioridad baja (Low Priority – Core – Information Disclosure 1,2)y los otros dos de prioridad media (Medium Priority – Core – XSS Vulnerability 1, 2)

La rama 1.7.4 corrige esos mismos cuatro problemas de seguridad, en cualquier caso es importante actualizar. Además se informa que la rama 1.7 finalizará dentro de un mes, el 24 de Febrero de 2012 y se recomienda migrar ya a la versión 2.5 que está asignada como LTS y ofrece al menos 18 meses de soporte.

Al mismo tiempo se ha publicado un anuncio oficial sobre la versión 2.5 recalcando algunos aspectos nuevos como la notificación automática de actualizaciones, tanto del núcleo como de extensiones, la búsqueda avanzada y compatibilidad con Microsoft SQL Server.

Anuncio oficial (1.7.4) | Anuncio oficial (2.5). | Noticia sobre novedades.

El equipo de desarrollo del sistema de foros phpBB acaba de anunciar la nueva versión «Bertie’s new year present» etiquetada como la 3.0.10, de mantenimiento que viene a corregir numerosos bugs.

Destacan en el post que han mejorado la asignación de permisos a los moderadores de tal modo que se pueden asignar de una forma más específica y menos generalizada y que la visibilidad del cumpleaños de los usuarios pasa a ser gestionado en el perfil donde se puede seleccionar mostrar ese dato o no hacerlo.

También afirman haber probado la versión sobre PHP 5.4 para que la actualización pueda hacerse sin problemas.

Como siempre recomiendan actualizar a la mayor brevedad posible informando que solo darán soporte a las actualizaciones orientadas a esta versión y los problemas surgidos en la misma (nada nuevo bajo el sol).

Recordamos la conveniencia, siempre, de realizar copias de seguridad de los datos antes de proceder a actualizar.

Información sobre phpBB 3.0.10 | Zona de Descargas |

A pesar de que era algo ya esperado por toda la extensa comunidad de usuarios de WordPress, y después de ir viendo los cambios en todas las versiones previas hasta la fecha, es una gran noticia para sus usuarios el que ya esté disponible para su descarga la versión final de WordPress 3.3. (Estadísticas de descargas y versiones).

En este caso, el nombre de la «release» es en honor a un gran saxofonista de Jazz llamado «Sonny Stitt. Hay importantes cambios y os recomendamos ver el vídeo que acompaña al anuncio de esta nueva versión (ENG) además de mirar todos los cambios en el «Codex».

 Acceso a; sección de descargas de WordPress (también se puede actualizar desde el Dashboard).

Drupal 7.10, acaba de ser liberado viniendo a solventar numerosos errores localizados en el CMS (gestor de contenidos). Aunque tal y como informa su equipo de desarrollo no hay actualizaciones de seguridad, es más que recomendable instalar esta versión.

Lista de cambios completas | Descargas.

Se nos han escapado varias actualizaciones de Joomla! por diversos motivos, de hecho esta última actualización fué liberada el pasado día 14 y todavía ahora nos estamos haciendo eco de la misma. En principio y al menos en mi caso el RSS no funciona muy bien y no termino de recibir las actualizaciones con cierta normalidad, de hecho en esta última me han aparecido cinco versiones nuevas (tres de la rama 1.7 y dos de la 1.5).

Cómo sea la 1.5.25 viene con un problema de seguridad de nivel alto, un agujero de seguridad en la petición de cambio de la contraseña que debido a una generación de contraseñas débiles permiten cambiar las mismas de los usuarios en medio del proceso.

En la rama 1.7 encontramos el mismo problema, que además afecta a todas las versiones 1.6.x y otra vulnerabilidad de prioridad media.

Anuncio oficial (1.7.3) | Anuncio oficial (1.5.25).

El equipo de Drupal acaba de anunciar la disponibilidad de la versión 7.9 del CMS que trae consigo una importante corrección de errores (en este caso no se trata de una actualización de seguridad). Para más información os remitimos a la lista de cambios.

Descarga directa de Drupal 7.9 (tar.gz).

En ocasiones, como sabéis quienes nos seguís asiduamente, abordamos cuestiones relativas a la seguridad informática, destinados a usuarios con una experiencia media o alta en Sistemas Operativos, aplicaciones web, gestores de contenidos (CMS) y muchos tipos de ataques o vulnerabilidades que van surgiendo.

Pero como también llevamos haciendo desde nuestros comienzos (hace más de 9 años), los contenidos y tutoriales destinados a quienes empiezan o están interesados en la seguridad de sus sistemas, tienen un gran protagonismo para nosotros. De ahí surge nuestra iniciativa «Seguridad Básica» y para hoy Viernes os recomendamos dar un vistazo al índice de contenidos publicados a modo de recordatorio. Pronto habrá nuevas entregas, saludos, gracias por vuestro apoyo y difusión.

• Seguridad básica para los que empiezan: Declaración de intenciones, contenidos, a quien va dirigido, como ayudar, etc. Leer más.

• ¿A qué nos enfrentamos?: A la pereza del usuario. Al exceso de confianza. Y como no, al software malicioso que cada vez actúa en más frentes y escenarios. Leer más.

• Las contraseñas: Consejos y recomendaciones a tener en cuenta a la hora de elegir y trabajar con nuestras contraseñas y es que, la comodidad en la seguridad se paga y a veces el precio es muy elevado. Leer más.

• La pregunta secreta: Tras las recomendaciones anteriores para nuestras contraseñas… ¿De qué nos va a servir si a través de la pregunta secreta alguien cuenta con la posibilidad de cambiarla y acceder a nuestra cuenta?. Leer más.

• Analizar con el antivirus las descargas: Generar un automatismo o hábito y comprobar con el antivirus todos los archivos que vayamos a introducir en nuestro ordenador. Leer más.

• Utilizar cuentas de usuario limitadas: Es recomendable crear y utilizar habitualmente una cuenta de usuario limitada o estandard y solo para aquellos casos  que el sistema lo requiera, usar la cuenta de administrador. Leer más.

• Enlaces cortos, crearlos y precauciones: Los enlaces cortos son enlaces web que nos permiten acceder a una dirección web pero utilizando para ello un número reducido de caracteres. Leer más.

• Las copias de seguridad: Una Copia de Seguridad, es un duplicado de nuestra información más importante, que realizamos para salvaguardar los documentos, archivos, fotos, etc., de nuestro ordenador, por si acaso ocurriese algún problema que nos impidiese acceder a los originales que tenemos en él. Leer más.

• El correo electrónico: En esta ocasión vamos a ver una serie de consejos y precauciones generales a observar con nuestras cuentas de correo electrónico. Y es que, la seguridad de nuestras cuentas de correo electrónico no solo se basa en disponer de una contraseña efectiva y sólida, utilizar un sistema operativo u otro, programas de seguridad, etc., sino en como las utilizamos. Leer más.

• Mantener el Sistema operativo y el Software actualizados: Las actualizaciones en la mayoría de ocasiones solucionan vulnerabilidades, problemas de seguridad o de funcionamiento del sistema, por lo que siempre debemos instalar las actualizaciones en cuanto se publiquen para tener el sistema totalmente actualizado, ya que de lo contrario, algún malware podría aprovecharse de estas debilidades e infectar nuestros equipos. Leer más.

• Prevenir infecciones en servicios de mensajería instantánea: Una serie de consejos y precauciones generales a observar al utilizar los servicios de mensajería instantánea como Messenger, Yahoo Messenger, Skype, etc. e incluso aplicables en algunos casos a redes sociales, Facebook, Twitter, etc.  Leer más.

• Cerrar sesión: En esta ocasión vamos a insistir en CERRAR SESIÓN al abandonar o cerrar una página en la que nos hemos logueado (iniciado sesión) o accedido mediante contraseña.
  Y es que, la seguridad de nuestras acciones no solo se deben basar en disponer de contraseñas efectivas y sólidas, utilizar un sistema operativo u otro, programas de seguridad, etc., sino también en cuidar de estos pequeños detalles. Leer más.

El equipo de Drupal acaba de anunciar la disponibilidad de la versión 7.8 del CMS que trae consigo una importante corrección de errores (en este caso no se trata de una actualización de seguridad). Para más información os remitimos a la lista de cambios.

Descarga directa de Drupal 7.8 (tar.gz)..

Ayer por la noche, el sitio web de PrestaShop fue víctima de un ataque. Este hecho, vía un script para automatizar el proceso, según la información que proporciona PrestaShop, derivó en la transcripción de noticias en la parte administrativa de las tiendas.

Si tu tienda está entre las afectadas, consulta esta información (en castellano) para solventar el problema.

Fuente; IntecoCert.

La vulnerabilidad y el exploit han sido reportados desde http://0verl0ad.blogspot.com/ (con créditos hacia http://xd-blog.com.ar y portalhacker.net) afecta al sistema de foros SMF 2.0. El asunto es serio, ya que puede desde afectar a usuarios con privilegios administrativos, así como al staff de moderación.

Destacar el gran trabajo que se ha hecho, publicando además del exploit, la solución para paliarlo, junto a una explicación acerca de cómo funciona el robo de «Tokens» y cómo se explota una vulnerabilidad de este tipo.

La solución;

Comenta o elimina las lineas 104 y 105 de /Sources/Subs-Menu.php, esto palía el problema y todo sigue funcionando:

Código;(Líneas 104 y 105).

/////////////////////////////////////////////////////
if (empty($menuOptions[‘disable_url_session_check’]))
$menu_context[‘extra_parameters’] .= ‘;’ . $context[‘session_var’] . ‘=’ . $context[‘session_id’];
/////////////////////////////////////////////////////

Más información y fuente, en exploits-db.

El equipo de desarrollo de Coppermine acaba de publicar una actualización de su sistema de galerías (versión 1.5.14) que viene a solventar una serie de arrores de impacto catalogado como «menor» para el CMS.

A su vez, informan de que si se está usando una versión 1.5.12, la actualización no sería necesaria (aunque recomendable en todo caso), pero si la versión es anterior a la 1.5.12, entonces sí sería de urgencia el upgrade por el impacto de cara a la seguridad que conlleva.

La info original y todas las mejoras. Link a la descarga. Tutorial actualización Coppermine.