Daboweb | Seguridad y ayuda informática |

Recién salida del horno y lista para descarga e instalación nos llega una nueva versión de uno de los CMS más populares y que durante tanto tiempo utilizamos aquí en Daboweb.

Una novedad parca en palabras y es que parece que últimamente los desarrolladores (o los responsables del tema) están más interesados en dar a conocer al mundo la gran cantidad de fiestas que montan por el mundo para celebrar sus lanzamientos que hablar de los lanzamientos propiamente dichos.

Sin duda debe de ser una nueva versión cargada de mejoras y novedades, porque como dicen en mi tierra, haberlas hailas, seguro.

Anuncio oficial. Página de la nueva versión con descarga y demo.

Salió por fín la nueva versión de Drupal, como toda nueva rama de desarrollo incluye una gran cantidad de novedades, la nota de prensa con el lanzamiento de la nueva versión se ha publicado en 11 idiomas incluido el español.

Recordamos como en la última actualización disponible de la rama 6 que es conveniente, casi obligatorio, actualizar a las versiones 6 ó 7 para seguir disfrutando del soporte por parte de la comunidad de desarrollo y evitar en la medida de lo posible agujeros de seguridad que puedan presentarse en versiones desatendidas.

Principales nuevas características de Drupal 7.

• Mejoras en la experiencia de usuario gracias a un diseño enfocado en el 80% de los usuarios que hace las tareas comunes más sencillas, opciones por defecto más inteligentes, facilita la tarea del creador de contenido y simplifica la administración
• Gestión de imágenes listo para usar, redimensionar, cortar, etc.
• Entorno de test automatizado incluido en el núcleo que proporciona un sistema de integración continua que comprueba cada parche y favorece la estabilidad del proyecto a largo plazo.
• Gestor de actualizaciones y migración de Drupal 6 a Drupal 7.
• Mejoras en el rendimiento y la escalabilidad que responde a los visitantes de la web más rápido mediante el uso de caché avanzada, content delivery networks (CDN) y replicación maestro-esclavo.
• Personalización de campos incluida en el núcleo, campos nativos de datos para cualquier tipo de contenido, pero también para usuarios, vocabularios y otras entidades, además de soporte para las traducciones.
• Capa de abstracción de la base de datos que habilita el uso de muchas bases de datos, como MariaDB [http://mariaDB.org], Microsoft SQL Server [http:/www.microsoft.com], MongoDB [http:/www.mongodb.org], Oracle [http://oracle.com], MySQL [http:/www.mysql.com], PostgreSQL [http:/www.postgreSQL.org] o SQLite [http:/www.sqlite.org].

Nota oficial. Descarga. En español.

Hace unas horas sido rechazada en el Congreso de los diputados por 20 votos a 18 la polémica, controvertida y denostada por muchos enmienda (Disposición Final Segunda) incluida en el proyecto de Ley de Economía Sostenible (LES) en el punto que afectaba a la posibilidad de cerrar una web con material o enlaces a descargas de películas o música.

Una ley también llamada «ley Sinde», contra la que varios miembros de la redacción de Daboweb hemos manifestado pública y abiertamente nuestro rechazo.

Según podemos leer en el diario «Público», El proyecto de Ley de Economía Sostenible pasará ahora al Senado sin incluir la norma que contempla el cierre de webs. La red celebra el rechazo a esta ley.

En 20 Minutos nos cuentan cómo iba a funcionar la «ley Sinde»

Si la ley hubiera superado el trámite parlamentario se iba a abrir con ella una puerta a la clausura de páginas web, si se consideraba que éstas vulneran los derechos de propiedad intelectual.

El proceso iba a combinar procedimientos administrativos y judiciales a cargo de los cuales estaría un órgano de nueva creación, la Comisión de Propiedad Intelectual. El Ministerio de Cultura crearía una sala destinada a dicha Comisión, formada por entre 4 y 6 personas: un juez de prestigio que haya presidido un tribunal importante, algún profesional del mundo  de la tecnología, representantes de la comunidad internauta y también representantes de los creadores.

La Comisión se encargaría de analizar los casos sobre páginas web que atenten contra los derechos de propiedad intelectual.  Si se consideraba que la web está realizando actividades ilícitas, se enviarían dos avisos para que deje de llevarlas a cabo. En caso de que el portal no cesara sus actividades, se enviaría la denuncia siempre y únicamente a la Sala de lo Contencioso de la Audiencia Nacional. Con esto se esperaba crear una especialización que permita elaborar en poco tiempo una jurisprudencia efectiva.

Esperamos que esto sirva para que los impulsores de esta ley, reflexionen sobre la derrota sufrida democráticamente en la propuesta de esta enmienda y busquen otras fórmulas de regular algo que viene desvirtuado desde el principio y que de paso, no se olviden (los «unos» y «los otros») del Canon Digital.

Ha sido liberada la versión 6.20 de este gestor de contenidos, es una versión de mantenimiento que no incluye actualizaciones críticas ni de seguridad pero que corrige un buen número de errores.

En la misma noticia recuerdan que la versión 5 dejará (o ha dejado) de actualizarse por la liberación inminente de la nueva versión 7 que va actualmente por la RC2 (segunda versión candidata a versión final); recomiendan actualizar a la versión 6 (mínimo).

El archivo robots.txt ha cambiado (más info) y recordamos que esta nueva actualización no pisa los archivos settings.php (el que va por defecto) y .htaccess; aún así desde aquí recomendamos hacer copia de estos archivos, de la base de datos y de cualquier archivo importante por lo que pudiera pasar.

• Anuncio oficial.
• Descarga versión 6.20

Se ha liberado una nueva versión del sistema de foros phpBB, desde Marzo de este año no ha salido ninguna versión nueva así que los cachondos de phpBB le han puesto la muletilla «la paciencia es una virtud». Esta nueva versión que está considerada como de mantenimiento (WTF?) corrige un gran número de errores, mejora la usabilidad y el rendimiento y como dicen, por desgracia, tambien encontraron un agujero de seguridad en la versión 3.0.7 que afecta a aquellos foros que tienen el flash bbcode activado (por defecto está desactivado). El problema estaría en navegadores basados en WebKit donde el flash bbcode podría ser usado para ejecutar código javascript y aprovechar una vulnerabilidad de CSS (Cross Site Scripting).

Para solucionar ese problema en versiones 3.0.7 hay que ir a includes/message_parser.php y buscar la siguiente línea:

// Apply the same size checks on flash files as on images

Justo antes de esa línea añadimos lo siguiente:

$in = str_replace(' ', '%20', $in);

// Make sure $in is a URL.
if (!preg_match(‘#^’ . get_preg_expression(‘url’) . ‘$#i’, $in) &&
!preg_match(‘#^’ . get_preg_expression(‘www_url’) . ‘$#i’, $in))
{
return ‘[flash=’ . $width . ‘,’ . $height . ‘]’ . $in . ‘[/flash]’;
}

Este parcheo no corrige el problema en los posts donde ya se haya reproducido pero han creado un script de escaneo para buscarlos (hay que subir el directorio raiz del phpBB). Comentan además que la versión también corrige un problema con el plugin recaptcha que podría haberlo vuelto vulnerable permitiendo a los spammers campar a sus anchas por los sitios afectados.

Recomiendan actualizar lo antes posible y aquí viene el tirón de orejas ya que comunican que solo darán soporte a las versiones 3.0.8, tanto instaladas de cero, como actualizadas o convertidas. Me parece de bastante mal gusto dejar con el culo al aire a la gente que esté usando versiones anteriores, se tiran ocho meses para sacar una versión nueva y encima de desentienden de los que no actualicen, recuerdo el cachondeo que se traian con las versiones 2.0.x que tenían que ser parcheadas por los propios usuarios sin ningún tipo de soporte porque estaban de lleno en el desarrollo de la versión 3 y ahora, con esto, parece que vuelven a la andadas.

El anuncio original con los enlaces de descarga, aquí.

Nuestro compañero Dabo se pone en esta ocasión al micro junto a Ricardo Galli (Menéame, UIB) en un episodio especial de su podcast dedicado a la administración y gestión de un servidor o proyecto web.

El resultado, ha sido una didáctica charla sobre sysadmins entre dos colegas que nos van haciendo entrar en escena a medida que transcurre el podcast abarcando las siguientes cuestiones;

Escalado web, MySQL, Amazon, Apache, Ngnix, Caching, Monitorización, Seguridad.

Acceder a «Especial SysAdmins en Kernel Panic» (Dabo) | «Un podcast para SysAdmins« (Gallir).

Junto a la entrada original en DaboBlog, se puede ver una extensa documentación de todo lo comentado en el audio.

Ha sido liberada la versión 1.5.22 bajo el nombre “senu takaa ama woi” considerada de seguridad y con la recomendación de actualizar inmediatamente.

Es un problema de inyección SQL, calificado como de prioridad baja que afecta a todas las versiones de la rama 1.5.x incluida la 1.5.21

Anuncio oficial | Info sobre el XSS

Casi un año después recibimos una nueva actualización para la rama estable de desarrollo de SMF, en este tiempo se ha estado trabajando principalmente en la versión 2.

Esta nueva versión corrige una buena cantidad de bugs (no parece haber ninguno especialmente reseñable) y problemas con la interfaz (especialmente en Curve); se puede consultar el listado completo en el changelog.

Tutorial para actualizar foros SMF (by Dabo).

1– Ponéis el foro en mantenimiento y el idioma en Inglés (si no, os dará fallo).

2- Hago una copia exacta del foro actual por si necesito algo después (si habéis modificado el tema “default” os instala siempre una nueva versión y con ello plancha lo que hayáis personalizado o las imágenes añadidas por vosotros)

cp -prfv foro_actual foro_copia

3- Hago una copia de la base de datos por si cuando una vez actualizado el foro, al ejecutar el “upgrade.php” que toca la base de datos hay algún error.

mysqldump –opt -Q -u (nombre_usuario_mysql) -p base_datos > base_datos.sql (os pedirá el password y hará el volcado o “dump”)

4- Una vez descargado el fichero de actualización, lo coloco en la ráiz del foro y descomprimo el .zip o .tar.gz. De este modo se sobreescriben todos los ficheros antiguos por los nuevos. (Es lo mismo que descomprimir localmente en vuestro ordenador el archivo que os bajéis y subirlo al foro sustituyendo unos por otros para quienes lo hagáis vía FTP)

unzip smf_1-1-7_update.zip o tar -xvzf smf_1-1-7_update.tgz según el fichero de actualización descargado (.zip o .tar.gz)

Escribís “A” (opción All, todos) cuando os pregunte sobre los ficheros a sobreescribir.

5- Ahora ya está el foro actualizado, queda ejecutar www.vuestro_dominio_foro/upgrade.php desde el navegador para que haga los cambios en la base de datos, pero tenéis que dar permisos de escritura a Settings.php y Setting_bak.php para que funcione chmod 777 Settings.php Settings_bak.php. (Podéis hacerlo también desde vuestro programa FTP). Sed pacientes porque puede llevar tiempo el upgrade y para no cargar el server, SMF hace pausas en esta operación.

6 – Borráis el fichero upgrade.php (ya os sale un aviso arriba de que es un riesgo para la seguridad), ponéis de nuevo el foro en idioma español y quitáis la opción “en mantenimiento”. También recordad cambiar los permisos a Settings.php y Settings_bak.php con un chmod 644.

Como consejo final, os recomiendo vaciar la caché de vuestro navegador por si ha pasado algo con la plantilla usada y también hacer un “repair” y “optimize” a la base de datos;

mysqlcheck -r -u (nombre_usuario_mySQL) -p base_datos (os pide el password y hará la reparación)

mysqlcheck -o -u (nombre_usuario_mySQL) -p base_datos (os pide el password y hará la optimización)

Pero también podéis hacerlo vía el panel de admin del foro en la zona inferior “mantenimiento del foro”, (Buscar errores y reparar y optimizar las tablas de la base de datos).

Si tenéis alguna duda con este tutorial, por favor, planteadla en nuestro foro de Webmasters.

Página de descarga. Anuncio oficial.

Nuestro compañero Dabo ha publicado en su blog un tutorial sobre el uso de BFD, (Brute Force Detection) una herramienta muy a a tener en cuenta para proteger un servidor web bajo GNU/Linux frente a ataques de fuerza bruta, servicios tan importantes en  como; sshd, FTP, correo POP e IMAP, etc.

Acceso al post en DaboBlog.

Para hoy Sábado y vía Wwwhat’s New os recomendamos guardar en vuestros marcadores la siguiente url; www.htaccesstools.com. Alguna vez hemos hablado de los ficheros .htaccess y cómo usarlos para aumentar la seguridad de un servidor, web o blog, esta herramienta os ayudará para simplificar los pasos a seguir.

Desde Htaccess Tools podréis generar passwords, hacer redirecciones por lenguaje, bloqueos de IPs maliciosas o definidas por vosotros, reducir el consumo de ancho de banda cuando se usan vuestras imágenes en otras webs (hotlinking), etc.

Todo ello de un modo muy intuitivo y aún estando la información en Inglés, se entiende perfectamente. También cuentan con un foro de ayuda para los temas que tratan en la web.

El equipo de desarrollo de Joomla acaba de anunciar la inmediata disponibilidad de la versión 1.5.21 liberada con el nombre «senu takaa ama wepulai» que solventa una vulnerabilidad XSS reportada por YGN Ethical Hacker Group.

Dado que es una actualización de seguridad, se recomienda desde Joomla actualizar el software a la mayor brevedad posible para paliar este bug, que afecta a todas las versiones 1.5.x incluyendo la 1.5.20..

Anuncio oficial | Info sobre el XSS

Apenas 3 días después de la actualización a la versión 1.5.19 llega una nueva actualización de seguridad con carácter urgente, desde el sitio de Joomla! recomiendan actualizar inmediatamente.

De nombre senu takaa en el anuncio oficial no especifican cual es el problema que ha llevado a esta nueva actualización en tan poco tiempo pero viendo el listado de noticias en el centro de seguridad llegamos a la conclusión de que son tres relacionadas con la posibilidad de que un usuario pueda inyectar código javascript en pantallas de administración, vulnerabilidades XSS (1, 2, 3) y una de inyección SQL (1) que afectan a todas las versiones de la rama 1.5.x incluida la susodicha 1.5.19 con lo cual es recomendable actualizar lo antes posible a esta última 1.5.20 ó alguna superior si saliese.

Descarga actualización.
Descarga paquete completo 1.5.20.
Anuncio oficial con toda la información.

Nueva actualización para Joomla!, 1.5.19 de nombre Wojmamni ama batani y que corrige varios problemas de seguridad.

Son 3 actualizaciones de prioridad media y 1 de prioridad baja.

Como siempre es altamente recomendado actualizar a la nueva versión lo antes posible.

Descarga actualización.
Descarga paquete completo 1.5.19.
Anuncio oficial con toda la información.

Nuestro compañero Dabo estará el 3 de Julio en el Eset Foro Internet Meeting Point junto a Oscar Reixa y Fernando De la Cuadra, dando una charla-demo sobre optimización de tráfico web y seguridad.

Desde Daboweb, además de llevar con orgullo la inclusión de nuestro compañero Dabo en un evento que cada año va a más (se puede comprobar viendo el programa y ponentes de este año), le deseamos mucha suerte en la parte que le toca (seguridad web), y al resto de sus compañeros de mesa.

Como hemos dicho arriba, Oreixa, gran conocido por los más habituales de Daboweb, estará junto a él sentado y su parte será la optimización del tráfico web así como consejos útiles para webmasters.

Si bien hace unos días Dabo ya nos contaba en DaboBlog su historia con el EFIMP 2010, poco después publicó otra entrada alegrándose de la incorporación a su mesa de alguien con una reputada trayectoria en el campo de la seguridad. Se trata de Fernando De La Cuadra que irá de la mano de ESET (NOD32, Outpost Firewall, etc).

Dabo ya nos contará pasado este fin de semana que tal le ha ido con la experiencia.

Este fin de semana os informábamos del esperado lanzamiento de la versión 1.5.4 de Coppermine, según informan desde Coppermine, una errata en dicha versión, llevó a la necesidad de crear a otra nueva versión estable.

Esta release llega bajo la denominación de 1.5.6 (no pasa a la 1.5.5 porque los números pares al final son para las versiones estables). Anuncio oficial Coppermine 1.5.6 Release.

Adicionalmente, con este lanzamiento, vienen las siguientes mejoras;

* Fixed broken link
* Extended lang_byte_units array for some language files
* Fixed ip address dupes at various places
* Updated Czech language file (user contribution)
* Fixed typo that caused the display of the ‘not supported version’ message box
* Fixed issue when uploading plugins to windows driven galleries
* Fixed issue when creating users
* Fixed log file entry on user registration/creation
* Removed cpg1.3.x theme upgrade guide, as a direct upgrade from cpg1.3.x to cpg1.5.x no longer is supported
* Differentiate user registrations and admin user creations in access log file
* Fixed config value for path to ImageMagick when selecting GD during intallation
* Fixed query for album moderation group
* Fixed display of upload approval button