Daboweb | Seguridad y ayuda informática |

Para este fin de semana y tras el revuelo del bug en OpenSSL, os recomendamos la Guía de Seguridad en Servicios DNS, está orientada a BIND9 y por lo que hemos leído, totalmente recomendable tanto si mantenéis un servidor de nombres de dominio, o estáis pensando en hacerlo. La guia, ha sido publicada por INTECO-CERT.

Tal y como podemos leer en el Blog de Seguridad de INTECO:

DNS, acrónimo de Domain Name System, es un componente crucial en el funcionamiento de Internet y sin duda de gran importancia en el correcto flujo de comunicaciones en red. Gracias a DNS, se facilita el manejo de las comunicaciones entre los elementos de internet dotados de dirección IP. DNS mantiene y distribuye globalmente de forma jerárquica una “base de datos” donde se asocian nombres a direcciones IP y a la inversa de forma que sea mucho más sencillo de recordar y manejar por las personas.

Esta misión de DNS, en apariencia básica, conlleva una importante responsabilidad al constituir una base en las comunicaciones IP, por ello es de vital importancia mantener el sistema preparado para prevenir y contrarrestar las amenazas existentes contra este servicio. DNS por su extensión y diseño, está expuesto a numerosas amenazas, cuyos paradigmas fundamentales son, entre otros, denegaciones de servicio DoS por ataques de amplificación DNS , secuestro de dominios para redireccionar tráfico a sitios maliciosos, o envenenamiento de caché DNS de servidores para provocar resoluciones manipuladas de los dominios atacados.

Descarga en PDF (73 páginas).

Según podemos leer en el blog de Adobe destinado a cuestiones de seguridad (ENG), se han publicado como actualizaciones de seguridad, nuevas versiones del reproductor Flash Player para sistemas Windows, GNU/Linux y Mac OS X.

Estos parches de seguridad, solventan varios bugs localizados en el software, siendo por tanto más que recomendable su inmediata actualización ya que bajo determinadas circunstancias, su explotación podría derivar en un fallo del sistema, pudiendo hacerse con su control por parte de potenciales atacantes.

Manual para comprobar la versión de Flash Player instalada.

Más información y versiones afectadas, (ENG) | Centro de descarga de Adobe Flash Player.

Se encuentran disponibles desde Microsoft las actualizaciones o boletines de seguridad publicados para Abril de 2014.

En esta ocasión, se compone de 4 actualizaciones de seguridad, 2 catalogadas como críticas y 2 como imp0rtantes, que vienen a solventar varias vulnerabilidades que entre otras, podrían permitir la ejecución remota de código, elevación de privilegios,  etc. en los sistemas no actualizados.

La actualización se encuentra disponible desde el propio update automático de Windows o bien, mediante su descarga manual y posterior instalación. Como siempre, recomendamos actualizar los sistemas a la mayor brevedad posible. Además, serán las últimas actualizaciones para Windows XP.

También y como cada mes, está disponible una nueva actualización del programa de eliminación de software malintencionado. Esta herramienta no es un sustituto del antivirus, busca infecciones causadas por software malintencionado específico que actualmente existe en equipos con Windows XP, Windows 2000, Windows Server 2003, Windows Vista, 7 y 8 instalado y ayuda a eliminarlas.

# Boletín y descarga de las actualizaciones.

Tal y como acaban de publicar en WordPress.org, está disponible la versión 3.8.2, catalogada como una actualización importante de seguridad, e inciden en que se actualicen las instalaciones con versiones anteriores a la mayor brevedad posible.

Se han solventado varios fallos de importancia relacionados con la autenticación y las cookies, junto a otro que permitiría a un usuario con el rol de «colaborador» publicar artículos sin estar autorizado. También mencionan mejoras en abusos vía pingbacks, un SQLi de bajo impacto y un posible XSS en la librería de terceros «Plupload» usada para subir ficheros a WordPress.

La actualización está ya disponible desde el panel de administración.

Podéis leer las notas de la release o consultar la lista de cambios

Actualización: La mayoría de distribuciones están ofreciendo ya parches vía sus repositorios (Debian, Ubuntu, CentOS, etc). Por lo que vía aptitude / apt o yum, ya se pueden aplicar. Podéis comprobar si vuestro servidor es vulnerable desde http://filippo.io/Heartbleed.

Tal y como podemos leer en heartbleed.com, hablamos de una grave vulnerabilidad (CVE-2014-0160) en la popular biblioteca de software criptográfico OpenSSL. Este fallo, permite robar la información protegida bajo condiciones normales, por el cifrado SSL / TLS.

El tema es muy serio ya que SSL / TLS proporcionan una capa de seguridad y privacidad en las comunicaciones en un amplio espectro de Internet: aplicaciones web, pasarelas de pago, accesos a banca electrónica, correo electrónico, mensajería instantánea o algunas redes privadas virtuales (VPN).

El error «Heartbleed» permite a un atacante leer la memoria de los sistemas aparentemente protegidos por versiones vulnerables de OpenSSL. Este tipo de ataque puede comprometer las claves secretas que se utilizan para identificar a los proveedores de servicios y cifrar el tráfico, nombres de usuario y contraseñas, etc. Hablamos de comprometer comunicaciones que al estar usando SSL / TLS ya se entiende que son de naturaleza un tanto críticas caso de ser interceptadas con lo que ello supone.

¿Qué versiones de OpenSSL están afectadas?

OpenSSL 1.0.1 hasta la versión 1.0.1f (inclusive) son vulnerables
OpenSSL 1.0.1g No es vulnerable
OpenSSL rama 1.0.0 No es vulnerable
OpenSSL rama 0.9.8  No es vulnerable

Desde OpenSSL han publicado un parche para esta vulnerabilidad y os recomendamos aplicarlo con urgencia (o recompilar las versiones actuales con la opción: -DOPENSSL_NO_HEARTBEATS)

Con motivo del cuarto aniversario de DebianHackers, los cuatro miembros del equipo han publicado un PDF sobre Hacking, servidores, GNU/Linux, backups, programación, etc.

A continuación, reproducimos una parte de la intro que acompaña al post original y el índice de contenidos de este primer número:

Queríamos hacer algo especial por el cuarto aniversario de Debian Hackers, encontrar una nueva forma de daros las gracias por estar ahí y a la vez seguir difundiendo conocimiento libre. Y se nos ocurrió lanzar una publicación especial con el sello de la casa, un compendio de contenidos bien estructurados y maquetados, listos para servir. Una especie de guía de referencia de los artículos más didácticos del sitio aderezados con alguna novedad que seguro que no defrauda.

Así es como nace Debian Hackers Elementals. Casi 60 páginas en las que hablamos de redes, arquitectura de computadoras, programación, servidores GLAMP y mucho más. Una publicación en la que hemos invertido la misma ilusión y ganas con las que esperamos que la recibáis.

Índice de contenidos

1. De puertos y firewalls

2. Nmap: escáner de puertos

3. Entendiendo la multiarquitectura en Debian GNU/Linux con Citrix

4. Instalar Skype en Debian multiarquitectura

5. S.M.A.R.T. monitoring

6. Para programar, primero entiende a tu ordenador

7. Entendiendo los lenguajes de programación

8. Backups cifrados e incrementales en Debian y derivados

9. Seguridad y optimización de servidores GLAMP

Acceso y descarga de DebianHackers Elementals.

Se encuentra disponible en el canal YouTube de la Universidad Politécnica de Madrid la tercera conferencia del X Ciclo UPM TASSI 2014, Temas Avanzados en Seguridad y Sociedad de la Información, de título «Bitcoin: moneda y mercados», presentada el 20 de marzo de 2014 en el Campus Sur de la Universidad Politécnica de Madrid por D. Jonás Andradas, Auditor de Seguridad en GMV.

Presentación utilizada por el ponente y otras conferencias del ciclo.

Desde la web hermana Cajon Desastres, nos llega su habitual recopilación de programas actualizados. Por lo general, hablamos de herramientas de Seguridad Informática. Software como Antivirus, detección de troyanos, AntiSpyware, backups, o Malware en general.

Pero también Navegadores Web, gestores de correo, programas para el mantenimiento del PC, imagen, vídeo, ofimática, etc, orientados en principio a sistemas Windows y gratuitos.

Junto a las versiones actualizadas, encontraréis un práctico tutorial de uso y configuración.

Acceso –> Semana 13, programas actualizados | En el foro: Actualizaciones de antivirus, antiespías y antimalware.

Se encuentran disponibles desde Microsoft las actualizaciones o boletines de seguridad publicados para Marzo de 2014.

En esta ocasión, se compone de 5 actualizaciones de seguridad, 2 catalogadas como críticas y 3 como imp0rtantes, que vienen a solventar varias vulnerabilidades que entre otras, podrían permitir la ejecución remota de código, elevación de privilegios,  etc. en los sistemas no actualizados.

La actualización se encuentra disponible desde el propio update automático de Windows o bien, mediante su descarga manual y posterior instalación. Como siempre, recomendamos actualizar los sistemas a la mayor brevedad posible.

También y como cada mes, está disponible una nueva actualización del programa de eliminación de software malintencionado. Esta herramienta no es un sustituto del antivirus, busca infecciones causadas por software malintencionado específico que actualmente existe en equipos con Windows XP, Windows 2000, Windows Server 2003, Windows Vista, 7 y 8 instalado y ayuda a eliminarlas.

# Boletín y descarga de las actualizaciones.

Además de mejoras en rendimiento a nivel general en terminales como iPhone 4 por citar un ejemplo y otras cuestiones de compatibilidad, esta versión de IOS, en concreto la 7.1 (os recomendamos actualizar con brevedad) viene a solventar una larga lista de vulnerabilidades que a continuación os detallamos vía la información del boletín de «Apple Security».
(Podéis actualizar desde iTunes o desde el propio dispositivo en ajustes – general -actualización de Software).

Fallos de seguridad corregidos:

Backup
Available for:  iPhone 4 and later,
iPod touch (5th generation) and later, iPad 2 and later
Impact:  A maliciously crafted backup can alter the filesystem
Description:  A symbolic link in a backup would be restored, allowing
subsequent operations during the restore to write to the rest of the
filesystem. This issue was addressed by checking for symbolic links
during the restore process.
CVE-ID
CVE-2013-5133 : evad3rs

Certificate Trust Policy
Available for:  iPhone 4 and later,
iPod touch (5th generation) and later, iPad 2 and later
Impact:  Root certificates have been updated
Description:  Several certificates were added to or removed from the
list of system roots.

 Continue reading...

El equipo de desarrollo de Joomla! acaba de publicar dos nuevas versiones de su CMS para las ramas 2.5.x y 3.2.x. Ambas están catalogadas como actualizaciones de seguridad y es importante actualizar a la mayor brevedad. Para la rama 3.2 hay cuatro problemas de seguridad corregidos (uno de calificación alta de inyección SQL y tres de calificación media) además de unos 40 bugs corregidos; para la rama 2.5 hay 6 errores corregidos y 2 de seguridad de calificación media.

Anuncio oficial y lista de cambios: Joomla! 2.5.19 y 3.2.3

Apple ha puesto a disposición de los usuarios dos actualizaciones en IOS para dispositivos iPhone 3GS – iPod Touch (cuarta generación), IOS 6.1.6, así como para iPhone 4, 5, 5C, 5S y para el iPod Touch de quinta generación IOS 7.0.6. Ambas actualizaciones solventan una vulnerabilidad que permitiría a un atacante con privilegios en una Red, modificar y capturar datos en sesiones protegidas por SSL/TLS.

Ambas actualizaciones pueden aplicarse vía iTunes o desde el dispositivo (Ajustes, General, «acerca de» y ya podréis ver la actualización).

Del mismo modo, está disponible la misma actualización para Apple TV (6.0.2).

Se encuentran disponibles desde Microsoft las actualizaciones o boletines de seguridad publicados para Febrero de 2014.

En esta ocasión, se compone de 7 actualizaciones de seguridad, 4 catalogadas como críticas y 3 como imp0rtantes, que vienen a solventar varias vulnerabilidades que entre otras, podrían permitir la ejecución remota de código, denegación de servicio, elevación de privilegios,  etc. en los sistemas no actualizados.

La actualización se encuentra disponible desde el propio update automático de Windows o bien, mediante su descarga manual y posterior instalación. Como siempre, recomendamos actualizar los sistemas a la mayor brevedad posible.

También y como cada mes, está disponible una nueva actualización del programa de eliminación de software malintencionado. Esta herramienta no es un sustituto del antivirus, busca infecciones causadas por software malintencionado específico que actualmente existe en equipos con Windows XP, Windows 2000, Windows Server 2003, Windows Vista, 7 y 8 instalado y ayuda a eliminarlas.

# Boletín y descarga de las actualizaciones.

Yahoo ha confirmado un ataque dirigido contra su plataforma y es posible que se hayan comprometido cuentas de usuarios de sus diferentes servicios. Yahoo también ha declarado que ha llevado a cabo un protocolo de restauración de passwords, además de reforzar sus medidas de seguridad. Puede que a algunos usuarios les haya llegado un SMS (si tenían activada la verificación en dos factores asociando su teléfono) o un mail.

De cualquier forma y antes posibles problemas con la integridad de las cuentas, os recomendamos cambiar vuestras contraseñas, usando un patrón robusto para crearla, sin olvidar la recomendación de no usar la misma para diferentes servicios web por el riesgo que conlleva.

Tal y como podemos leer en el anuncio original de WordPress, después de seis semanas y más de 9,3 millones de descargas de la versión 3.8, ya está disponible la 3.8.1. Una version de mantenimiento que solventa 31 errores localizados en la 3.8, incluyendo varias correcciones y mejoras para el nuevo diseño del tablero (dashboard) y la sección del administrador de temas.

También se solventa un problema relacionado con las consultas, taxonomías y WP_Query, además de otros de diferente importancia. Aún no tratándose de una actualización de seguridad, os recomendamos aplicarla ya que posible que con el paso de los días, podamos ver alguna vulnerabilidad explotable en la 3.8.

Más información en la lista de tickets y el changelog.