Daboweb | Seguridad y ayuda informática |

Se acaba de liberar una actualización importante de seguridad. Todas las instalaciones que soporten actualizaciones automáticas serán actualizadas a la versión inmediatamente superior (3.9.2 a 3.9.3, 3.8.4 a 3.8.5 y 3.7.4 a 3.7.5) pero a pesar de todo se recomienda encarecidamente que se actualice a la última y más reciente versión 4.0.1; la nueva versión corrige además 23 bugs de la versión 4.0 y algunas mejoras como una mejor validación de los datos EXIF de las imágenes subidas.

En cuanto a los problemas de seguridad hay tres de tipo cross-site scripting que podrían comprometer un sitio web vulnerable, engañar a un usuario para que cambie la contraseña o provocar una denegación de servicio.

Os recomendamos nuestra guía rápida para actualizar WordPress de forma manual si lo hacéis vía FTP por ejemplo, o sin usar la opción del panel e insistimos en la importancia de actualizar a la mayor brevedad.

Más información en la web oficial, lista de tickets y el changelog.

Tal y como podemos leer en el sitio web de Drupal, se han publicado dos nuevas versiones de su CMS catalogadas como actualizaciones de seguridad. Ambas versiones comparten un fallo de seguridad catalogado como moderadamente crítico por el cual un usuario podría acceder a la sesión de otro en sitios que sirven páginas tanto http como https aunque el mismo podría dar lugar a otro tipo de ataques no concretados.

Para la versión 7 y con la misma catalogación hay un fallo de seguridad que puede provocar una denegación de servicio enviando peticiones que afecten directamente a la CPU del servidor a través de la API que gestiona el hash de las contraseñas para evitar que se guarden en texto plano.

Noticia oficial | Detalles 7.34 | Detalles 6.34.

Se encuentran disponibles desde Microsoft las actualizaciones o boletines de seguridad publicados para Noviembre de 2014.

En esta ocasión, 16 actualizaciones de seguridad que solventan varias vulnerabilidades que, entre otras, podrían permitir la ejecución remota de código, elevación de privilegios,  etc. en los sistemas no actualizados.

La actualización se encuentra disponible desde el propio update automático de Windows o bien, mediante su descarga manual y posterior instalación. Como siempre, recomendamos actualizar los sistemas a la mayor brevedad posible.

También y como cada mes, está disponible una nueva actualización del programa de eliminación de software malintencionado. Esta herramienta no es un sustituto del antivirus, busca infecciones causadas por software malintencionado específico que actualmente existe en equipos con Windows instalado y ayuda a eliminarlas.

Como siempre, insistimos en la importancia de mantener el sistema operativo y los programas actualizados, por tanto recomendamos actualizar a la mayor brevedad posible.

# Boletín y descarga de las actualizaciones.

Se ha liberado la primera actualización para la última versión del sistema de foros phpBB debido a un problema de seguridad encontrado, catalogado como de nivel bajo.

A través de una auditoría de seguridad completa se ha descubierto una vulnerabilidad XSS que afectaría a los usuarios con las versiones más antiguas de los navegadores, se habla de versiones del año 2009 ó anteriores. Desde el equipo de phpBB recomiendan actualizar a la mayor brevedad a todo el mundo para evitar riesgos innecesarios.

Anuncio oficial, página de descarga.

Vía phpbb-es nos enteramos del lanzamiento de Ascraeus, la última versión estable de uno de los sistemas para foros más usados a lo largo y ancho de la red. Es una actualización mayor con muchas novedades y cambios en los requisitos mínimos para correr el foro.

• Se requiere la versión de PHP 5.3.3 o superior.
• Se requiere la extensión json de PHP.
• Para los usuarios de PostgreSQL, sólo se admiten las versiones 8.3 y superiores.

Anuncio oficial, página de descarga.

Tal y como podemos leer en el sitio web de Drupal, se ha liberado la versión 7.32 como actualización de seguridad (corrige una vulnerabilidad muy crítica) y ya está disponible para su descarga. Para más información, os recomendamos leer las notas de la release.

El problema reside en que Drupal 7 incluye una API para prevenir ataques de inyección SQL y precisamente una vulnerabilidad en esa API, permite a atacantes remotos enviar una petición especialmente manipulada para tal fin, con el resultado de la ejecución arbitraria de SQL. Dependiendo del contenido de dicha petición, estos ataques pueden tener como resultado final una escalada de privilegios, la ejecución arbitraria de código PHP, u otros ataques.

Esta vulnerabilidad en Drupal ha sido catalogada como: «altamente crítica», por lo que se recomienda actualizar a la versión 7.32 lo antes posible.

Se encuentran disponibles desde Microsoft las actualizaciones o boletines de seguridad publicados para Octubre de 2014.

En esta ocasión, se compone de 8 actualizaciones de seguridad, 3 catalogadas como críticas y 5 como imp0rtantes, que vienen a solventar varias vulnerabilidades que entre otras, podrían permitir la ejecución remota de código, elevación de privilegios,  etc. en los sistemas no actualizados.

La actualización se encuentra disponible desde el propio update automático de Windows o bien, mediante su descarga manual y posterior instalación. Como siempre, recomendamos actualizar los sistemas a la mayor brevedad posible.

También y como cada mes, está disponible una nueva actualización del programa de eliminación de software malintencionado. Esta herramienta no es un sustituto del antivirus, busca infecciones causadas por software malintencionado específico que actualmente existe en equipos con Windows instalado y ayuda a eliminarlas.

# Boletín y descarga de las actualizaciones.

Unas horas después del problema con el borrado de ficheros en algunas cuentas que tenían activa la «sincronización selectiva», el equipo de Dropbox ha desmentido que hayan tenido una intrusión en sus sistemas ante tanto revuelo y noticias sobre un hackeo masivo.

Se hablaba de 7 millones de cuentas, de las que el supuesto atacante iba publicando avances en Pastebin (400 cuentas, con el usuario y su correspondiente contraseña) y según Dropbox, la mayoría de ellas están inactivas, aunque por seguridad han forzado al cambio de password a las cuentas que se ven en los listados.

Viendo las cuentas de correo publicadas, en su mayoría de Hotmail y en algunos casos de Yahoo, puede parecer a simple vista que el origen sea un Phishing, (suplantación de identidad) aunque esto es una apreciación de la redacción de Daboweb y según vayan pasando los días, tendremos una información más fiable.

Nuestro consejo es que aún con todas las explicaciones, actives la verificación en dos pasos y cambies tu contraseña actual como buena práctica regular de seguridad, además de para evitar ser víctima de esta posible brecha en un servicio de terceros.

No obstante, no dejéis de pasar por el centro de seguridad para ver los dispositivos vinculados, ya que tal y como nos hace saber Dropbox vía mail cuando cambiamos nuestra contraseña:

Si bien actualizamos tu contraseña, tus computadoras y teléfonos todavía están vinculados a Dropbox. Para desvincular un dispositivo que perdiste o te robaron, haz clic en este vínculo.

Os recomendamos leer: Guía de utilización segura de Dropbox – CSIRT-cv

Como sabéis, las versiones 3.3.5 y 2.5.26, traían consigo fallos (en el componente de actualizaciones del núcleo y restablecimiento de la contraseña de usuario) y se han liberado nuevas versiones, por lo que os recomendamos instalarlas a la mayor brevedad posible. Información y descarga: Joomla 3.3.6 | 2.5.27.

Desde el sitio web de Moodle nos informan del lanzamiento de tres nuevas versiones de la popular plataforma de tele-formación. Además de una serie de correcciones de errores y pequeñas mejoras a nivel general, se han descubierto y parcheado varias vulnerabilidades que afectan a la seguridad del CMS por lo que desde Moodle recomiendan actualizar lo antes posible.

También informan que de acuerdo con su política habitual, los administradores de todos los sitios Moodle registrados serán notificados con detalles del problema de seguridad directamente a través de correo electrónico (detalles que en las próximas semanas publicarán en su web, y que cualquiera podrá consultar, con lo que ello supone).

Tenéis más información en las notas de la versión:

• Moodle 2.7.2 release notes
• Moodle 2.6.5 release notes
• Moodle 2.5.8 release notes

Y no olvidéis que sobre la 2.5 x, sólo se publicarán mejoras o darán soporte a cuestiones serias de seguridad.

Desde la Oficina de Seguridad del Internauta (OSI), acaban de poner a disposición del público un interesante servicio para comprobar online y al instante, si tu equipo (o dirección IP pública) es parte de una Botnet (o Red troyanizada de ordenadores).

Además, han publicado un plugin para el navegador Google Chrome mediante el cual nos avisan de forma automática en caso de infección.

Acceso y más info sobre «Servicio AntiBotnet» de OSI.

Según podemos leer en linux.com, está disponible una actualización de TAILS, distribución de GNU/Linux enfocada en el anonimato, privacidad y cifrado de las comunicaciones, con TOR como herramienta principal para hacerlo posible.

La versión 1.1.1 solventa varios fallos de seguridad y os recomendamos descargarla de forma inmediata y no usar entregas anteriores del software debido a lo crítico de su uso.

Descarga e info sobre TAILS 1.1.1.

Tal y como podemos leer en el sitio web de Drupal, se han publicado dos nuevas versiones de su CMS catalogadas como actualizaciones de seguridad. Aconsejamos actualizar con brevedad.

Noticia oficial | Detalles 7.31 | Detalles 6.33.

Es probable que hayas experimentado ya la sensación de ver en tu bandeja de entrada del correro un mail diciendo que tu WordPress se ha actualizado de forma automática a la recién publicada versión 3.9.2

Si por algún motivo no ha funcionado la actualización automática, te recomendamos que la apliques de forma manual ya que trae consigo interesantes mejoras y novedades en seguridad. Desde los peligrosos y molestos ataques de fuerza bruta a través de XML-RPC (han trabajado en conjunto con el equipo de Drupal), evita posibles fugas de información o la ejecución de código bajo determinadas circunstancias, pasando por paliar un posible XSS que afectaría al administrador y otros ataques de fuerza bruta vía CSRF.

.

Un mes más, os recomendamos el recopilatorio de entradas publicadas en Daboweb en Julio de 2014 por si en el día a día de la publicación alguna que pudiera interesarte, se te ha pasado por alto.

Todos los comentarios los vamos recogiendo en el foro de noticias que hemos creado para opinar sobre ellas. También te invitamos a participar en nuestros foros para exponer tus dudas o ayudar a despejar las que tengan otros. (Te recomendamos ver nuestro archivo de contenidos publicados).

julio 2014

• 29: [Breves] Versiones de mantenimiento de Drupal (7.30) y Joomla (3.3.3 y 2.5.24)
• 22: Drupal 7.29 y 6.32, actualización de seguridad
• 19: Revista gratuita fotográfica Foto DNG 95, Julio 2014
• 19: [Breves] Reiniciar el ordenador remoto desde TeamViewer sin perder la conexión
• 09: Actualizaciones de Microsoft julio 2014 (2 críticas)
• 08: [Breves] Guía: “Seguridad para tod@s en la Sociedad de la Información” (PDF)