Daboweb | Seguridad y ayuda informática |

De dos en dos, como los donuts, así nos vienen las actualizaciones últimamente para los CMS y Joomla! con dos ramas estables en producción no podría ser menos con dos actualizaciones de seguridad para las ramas 2.5 y 1.7. La rama 2.5 corrige dos problemas de seguridad catalogados de prioridad baja (Low Priority – Core – Information Disclosure 1,2), ambos bugs podrían comprometer la administración del sitio. En la rama 1.7 se corrigen así mismo los dos bugs anteriores y un tercero tambień de  prioridad baja (Low Priority – Core – Information Disclosure 3) por el cual un usuario no autorizado podría acceder al registro de errores en el servidor.

La versión 2.5.1 corrige además 30 errores reportados, mejoras que no han sido incorporadas (o eso parece al menos) en la rama 1.7 de la que os recordamos que termina el día 24 de este mes y que si no has upgradeado ya tu sitio a la versión 2.5.x ya estás tardando en hacerlo antes de que te pille el toro.

Anuncio oficial (1.7.5) | Anuncio oficial (2.5.1).

Se han reportado nuevas versiones para Drupal, dos actualizaciones de seguridad que corrigen diversos problemas y otras dos de mantenimiento que solo corrigen bugs comunes.

Las versiones 7.11 y 6.23 solucionan un problema de seguridad de tipo CSRF (más info) calificado como moderadamente crítico donde un usuario validado podría forzar las actualizaciones mediante un feed que provocase una denegación del servicio (por ejemplo Twitter que limita las peticiones a 150 por hora), además de otros problemas relacionados con OpenID y el módulo de archivos.

Aparte tenemos las versiones de mantenimiento sobre las dos anteriores, 7.12 y 6.24 que al mismo tiempo solucionan los errores antes comentados.

Anuncio oficial, en inglés.

Dos nuevas actualizaciones para Joomla!, concretamente la versión 1.7.4 de la rama 1.7 (obvio) y la versión 2.5, ambas catalogadas como de seguridad por el equipo de desarrollo. Ésta última contiene 26 nuevas características, 4 problemas de seguridad corregidos y otros 356 no catalogados como de seguridad, de los importantes dos han sido catalogados de prioridad baja (Low Priority – Core – Information Disclosure 1,2)y los otros dos de prioridad media (Medium Priority – Core – XSS Vulnerability 1, 2)

La rama 1.7.4 corrige esos mismos cuatro problemas de seguridad, en cualquier caso es importante actualizar. Además se informa que la rama 1.7 finalizará dentro de un mes, el 24 de Febrero de 2012 y se recomienda migrar ya a la versión 2.5 que está asignada como LTS y ofrece al menos 18 meses de soporte.

Al mismo tiempo se ha publicado un anuncio oficial sobre la versión 2.5 recalcando algunos aspectos nuevos como la notificación automática de actualizaciones, tanto del núcleo como de extensiones, la búsqueda avanzada y compatibilidad con Microsoft SQL Server.

Anuncio oficial (1.7.4) | Anuncio oficial (2.5). | Noticia sobre novedades.

El equipo de desarrollo del sistema de foros phpBB acaba de anunciar la nueva versión «Bertie’s new year present» etiquetada como la 3.0.10, de mantenimiento que viene a corregir numerosos bugs.

Destacan en el post que han mejorado la asignación de permisos a los moderadores de tal modo que se pueden asignar de una forma más específica y menos generalizada y que la visibilidad del cumpleaños de los usuarios pasa a ser gestionado en el perfil donde se puede seleccionar mostrar ese dato o no hacerlo.

También afirman haber probado la versión sobre PHP 5.4 para que la actualización pueda hacerse sin problemas.

Como siempre recomiendan actualizar a la mayor brevedad posible informando que solo darán soporte a las actualizaciones orientadas a esta versión y los problemas surgidos en la misma (nada nuevo bajo el sol).

Recordamos la conveniencia, siempre, de realizar copias de seguridad de los datos antes de proceder a actualizar.

Información sobre phpBB 3.0.10 | Zona de Descargas |

La versión3.4.9 de phpMyAdmin ha sido liberada liberada cerrando dos agujeros de seguridad en el popular y tan usado gestor de bases de datos Open Source. Esta nueva versión solventa dos bugs XSS (cross-site-scripting) y se encuentran afectadas todas las de la rama 3.4x ,incluyendo la 3.4.8 por lo que es más que recomendable actualizar con brevedad.

Fuente | Notas de la versión.

A pesar de que era algo ya esperado por toda la extensa comunidad de usuarios de WordPress, y después de ir viendo los cambios en todas las versiones previas hasta la fecha, es una gran noticia para sus usuarios el que ya esté disponible para su descarga la versión final de WordPress 3.3. (Estadísticas de descargas y versiones).

En este caso, el nombre de la «release» es en honor a un gran saxofonista de Jazz llamado «Sonny Stitt. Hay importantes cambios y os recomendamos ver el vídeo que acompaña al anuncio de esta nueva versión (ENG) además de mirar todos los cambios en el «Codex».

 Acceso a; sección de descargas de WordPress (también se puede actualizar desde el Dashboard).

Drupal 7.10, acaba de ser liberado viniendo a solventar numerosos errores localizados en el CMS (gestor de contenidos). Aunque tal y como informa su equipo de desarrollo no hay actualizaciones de seguridad, es más que recomendable instalar esta versión.

Lista de cambios completas | Descargas.

Se nos han escapado varias actualizaciones de Joomla! por diversos motivos, de hecho esta última actualización fué liberada el pasado día 14 y todavía ahora nos estamos haciendo eco de la misma. En principio y al menos en mi caso el RSS no funciona muy bien y no termino de recibir las actualizaciones con cierta normalidad, de hecho en esta última me han aparecido cinco versiones nuevas (tres de la rama 1.7 y dos de la 1.5).

Cómo sea la 1.5.25 viene con un problema de seguridad de nivel alto, un agujero de seguridad en la petición de cambio de la contraseña que debido a una generación de contraseñas débiles permiten cambiar las mismas de los usuarios en medio del proceso.

En la rama 1.7 encontramos el mismo problema, que además afecta a todas las versiones 1.6.x y otra vulnerabilidad de prioridad media.

Anuncio oficial (1.7.3) | Anuncio oficial (1.5.25).

El equipo de Drupal acaba de anunciar la disponibilidad de la versión 7.9 del CMS que trae consigo una importante corrección de errores (en este caso no se trata de una actualización de seguridad). Para más información os remitimos a la lista de cambios.

Descarga directa de Drupal 7.9 (tar.gz).

El equipo de desarrollo del sistema de foros SMF ha liberado las versiones 2.0.1 y 1.1.15, con parches que solventan vulnerabilidades catalogadas como críticas encontradas en versiones anteriores (concretamente dos en la 2.x y una en la rama 1.x) y que podrían permitir conseguir privilegios externos en el área de moderación/administración.

Anuncio oficial | Sección de descargas | Info detallada sobre CSRF en SMF 2 (uno de los bugs).

Para actualizar (además de un backup del foro y base de datos) se pone el foro en idioma «Inglés, se actualiza instalando los nuevos ficheros, luego se ejecuta /foro/upgrade.php y después, no olvidéis borrar el fichero de actualización upgrade.php

El equipo de desarrollo de Coppermine ha publicado una actualización de su sistema de galerías (versión 1.5.16) que viene a solventar una vulnerabilidad catalogada como «seria» para la integridad del CMS (Gestor de contenidos).

El bug afecta a la posibilidad de registrarse y acceder a la parte administrativa de las galerías con privilegios de administrador, de ahí que digan; «de obligatoria actualización«. Además de este fallo, se han añadido 4 mejoras en otros aspectos de Coppermine.

La info original y cambios (ENG) | Link a la descarga | Tutorial actualización Coppermine.

El equipo de desarrollo de OpenSSH, acaba de anunciar la disponibilidad de la nueva versión 5.9 con interesantes mejoras respecto a la versión 5.8 que se liberó hace 7 meses. Esta entrega, entre otras, trae consigo funcionalidades como puede ser el nuevo «SHA256-based HMAC» (Hash-based Message Authentication Code).

Adicionalmente, podemos ya ver alguna otra función experimental de la que se había hablado anteriormente, nos referimos a el «sandboxing» para restringir ataques de hosts remotos y algunas llamadas del sistema. Esta opción se podrá ver ya incorporada de facto en futuras «releases» de OpenSSH.

Más información (ENG) | Notas de la versión (ENG) | Descarga.

El equipo de Drupal acaba de anunciar la disponibilidad de la versión 7.8 del CMS que trae consigo una importante corrección de errores (en este caso no se trata de una actualización de seguridad). Para más información os remitimos a la lista de cambios.

Descarga directa de Drupal 7.8 (tar.gz)..

Como habéis podido leer hoy en Daboweb, hace unas horas os informábamos acerca de los parches que ha aplicado Debian con una nueva versión de Apache que solventaba la vulnerabilidad y los ataque DoS CVE-2011-3192 (además de uno específico en mod_dav) tanto en la rama «oldstable» (Lenny) como en la «stable» (squeeze).

Os informamos que ya está disponible una nueva versión de Apache (2.2.20) que solventa dicho bug por lo que es más que recomendable su actualización a la mayor brevedad posible, además de revertir los posibles cambios (por ejemplo la activación de mod_deflate) relalizados para mitigar el impacto del bug cuando aún no había parches oficiales.

Información sobre cambios y correcciones | Descarga de la nueva versión | Fuente Sans.

Se ha reportado por parte de Norman Hipper una vulnerabilidad catalogada como «seria« por el equipo de phpMyAdmin que afecta a versiones desde la 3.3.0 a la 3.4.3.2 (CVE-2011-3181).

La explotación del XSS vía un ataque «cross-site scripting«, puede hacer posible que un atacante remoto consiga conectarse al popular gestor de bases de datos Open Source con el peligro que ello conlleva.  Para paliarlo, se recomienda encarecidamente actualizar el software a las versiones 3.3.10.4 or 3.4.4 o aplicar los parches que se han puesto a disposición de los usuarios.

Más información y parches; en phpMyAdmin | The H Security.

Visto en; UnixenMac