Daboweb | Seguridad y ayuda informática |

Apple informa a través de su lista de correo de actualizaciones de seguridad de gran impacto para el sistema en Java caso de ser explotadas. Están disponibles para Mac OS X 10.6, 10.7 y 10.8 (también para la versión server).

Dichas actualizaciones,se pueden obtener directamente a través del menú «Actualizacione de softwware», solventan un posible ataque a través de applets de Java maliciosos debidamente manipulados, con el fin de ser explotados por sitios webs preparados tal fin. Pudiendo derivar en la ejecución arbitraria de código con los privilegios del usuario en el sistema afectado.

Los lectores habituales de Daboweb y otros blogs dedicados a estas cuestiones, ya estaréis al tanto del bug que afectaba a temas y plugins de WordPress con versiones de «Timthumb» vulnerables. Esta herramienta tan utilizada, hace posible la redimensión de imágenes en WP y se reportó una vulnerabilidad que permitía subir cualquier fichero PHP al directorio «cache» de Timthumb, pudiendo ejecutar código y comprometiendo al sitio web afectado.

Hecha esta aclaración, nos hacemos eco de una noticia publicada hoy en «SC Magazine» (ENG), en la que se dan datos acerca de los miles de blogs afectados hasta la fecha, además de recordar que desde hace meses hay una versión de Timthumb corregida.

Como se puede ver, nuevos problemas en viejas vulnerabilidades. Esta es seria y fácil de solventar, os recomendamos revisar vuestras instalaciones de WordPress y reemplazar versiones vulnerables del script caso de haberlas, por otra actualizada (guardadlo en texto plano y renombrarlo como timthumb.php).

Se ha hecho público ahora un incidente que tuvo lugar en los años 2007 y 2008, en el cual, unos ciberatacantes al parecer procedentes de China, se hicieron con el control de los satélites estadounidenses  Landstat-7 y Terra AM-1 en al menos cuatro ocasiones, los cuales son utilizados para conocer datos del terreno y de su clima, si bien no hicieron uso alguno de ellos, limitándose simplemente a «apoderarse» de ellos. No se puede afirmar que el gobierno chino esté detrás de este suceso.

Ambos satélites, son dirigidos desde la estación noruega de Svalbard y mediante estos ataques, de entre aproximadamente dos y doce minutos de duración, tuvieron acceso también a todos los archivos que estos manejan. Estos datos han salido a la luz mediante un informe de la Comisión de Revisión de Economía y Seguridad entre EEUU y China.

Tener tu firewall activado es algo que te ayudará frente a muchos tipos de ataque que llegan a través de Internet. Pero que esté activado no quiere decir que la protección que te pueda ofrecer sea la óptima. Es por ello que no está de más comprobar «cómo te ven» desde fuera de tu red.

Muchas veces, se abren ciertos puertos para programas de mensajería, juegos, etc. También, hay servicios en el router a los que se da acceso cuando no debería ser así (SSH, Telnet, Web, etc). Si hace un tiempo os recomendábamos «Nmap Online Scanner«, hoy os sugerimos poner a prueba vuestro firewall con otro servicio que cumple muy bien su función.

Se trata de http://www.whatsmyip.org/ports/

Además, como veréis en la barra de la izquierda, hay otras herramientas que pueden ser de vuestro interés. Buen (y seguro) fin de semana -;)

Gran actualización de software y correcciones de seguridad por parte de Apple. Además de incluir para OS X Lion la actualización de seguridad 2011-006, se lanza la nueva versión 5 de IOS que además de incluir nuevas funcionalidades, corrige una larga lista de bugs en versiones anteriores.

También otros productos como el navegador Safari, Pages, Numbers y Apple TV reciben sendas actualizaciones de seguridad. Se recomienda a todos los usuarios actualizar a la mayor brevedad posible vía el menú «Actualización de Software» o desde iTunes.

Apple acaba de publicar a través de su lista de correo la disponibilidad de iTunes 10.5 que solventa múltiples vulnerabilidades en versiones anteriores para Windows 7, Vista y XP SP 2 y posteriores (ataques «man-in-the-middle«, ejecución arbitraria de código, etc).

Aclarar que estos bugs no afectan a Mac OS X 10.6x, ya que se solventaron en la actualización de seguridad 2011-006. La nueva versión de iTunes para Windows o Mac OS X está disponible desde el sitio web de Apple. Más información sobre actualizaciones de seguridad en Apple (ENG).

Al igual que en anteriores ocasiones, os recomendamos una nueva lección de Intypedia (Enciclopedia de Seguridad de la Información). En este caso, está orientada a los ataques al protocolo SSL, (Interesante también esta información sobre la última vulnerabilidad en SSL y TLS desde Inteco).

Según podemos leer en el resumen de esta lección;

Alicia explica a Bernado los ataques más famosos al protocolo SSL/TLS y como protegerse de ellos. En el vídeo se recomiendan acciones básicas para una navegación más segura utilizando dicho protocolo.

Información de apoyo

Guión [PDF][415KB]
Diapositivas [PDF][134KB]
Ejercicios [PDF][908KB]

La Fundación Mozilla ha publicado hasta diez boletines de seguridad sobre productos suyos acerca de vulnerabilidades que en algunos casos han sido clasificadas como críticas y que en algunos casos ni requerirían la colaboración del usuario afectado. Ejecución de código a través de archivos .ogg, elevación de privilegios a través de JSSubScriptLoader, corrupción de memoria o incluso problemas de instalación de software al presionar la tecla «Intro», son algunos de los fallos encontrados y motivo principal de estos boletines.

Los responsables del proyecto Mozilla recomiendan la actualización inmediata del cliente de correo Thunderbird, de SeaMonkey y del popular y utilizado navegador opensource Firefox para mayor seguridad de sus usuarios. Mas información aquí.

Surgió un rumor que apuntaba la posibilidad de que Windows 8 impidiera que en los equipos donde estuviese instalado se pudieran ejecutar otros sistemas operativos. Con lo que sería imposible que GNU/Linux compartiera máquina con la nueva versión de Windows. Era mediante UEFI (Unified Extensible Firmware Interface) con lo que esta «jugarreta» era posible, pero ahora, desde el propio gigante informático Microsoft se informa (ENG) que esta opción se podrá activar o no en la BIOS del ordenador.

La principal razón que argumentan para la existencia de esta tecnología es la vulnerabilidad de la máquina, con lo que al impedir ejecutar otros sistemas operativos se mejoraría supuestamente su seguridad. De todas formas, se deja a decisión de los fabricantes de hardware (que tienen mucho que decir sobre el tema) incorporar o no UEFI, con lo que podría darse el caso de que un usuario de GNU/Linux tuviera «vetado» adquirir hardware de una determinada marca sólo porque esta decide que únicamente ejecutará Windows en sus máquinas. La polémica sin duda está servida.

La actualización de seguridad 2011-5, (disponible para Mac OS X v10.6.8, Mac OS X Server v10.6.8, OS X Lion v10.7.1 y OS X Lion Server v10.7.1) según podemos leer en la lista de correo «Apple security», solventa el problema creado con los certificados de DigiNotar entre otros del que os hablamos hace unos días.

Está disponible a través del menú «Actualización de Software».

El equipo de desarrollo de Coppermine ha publicado una actualización de su sistema de galerías (versión 1.5.16) que viene a solventar una vulnerabilidad catalogada como «seria» para la integridad del CMS (Gestor de contenidos).

El bug afecta a la posibilidad de registrarse y acceder a la parte administrativa de las galerías con privilegios de administrador, de ahí que digan; «de obligatoria actualización«. Además de este fallo, se han añadido 4 mejoras en otros aspectos de Coppermine.

La info original y cambios (ENG) | Link a la descarga | Tutorial actualización Coppermine.

Bajo una supuesta persecución del terrorismo, el gobierno de Pakistán ha ordenado a los proveedores de Internet de ese país, que informen a las autoridades de ese país asiático quienes son los usuarios que utilizan algún método de cifrado o anonimato cuando navegan por la red, lo cual les permite acceder a sitios bloqueados por el gobierno, como es el caso de Facebook, el cual fue prohibido por «contener material contrario a la fe islámica». Otra «fuente de mal» que los pakistaníes tampoco puede ni oler es el conocido Youtube, censurado también desde hace tiempo, o la página web de la revista Rolling Stone, después de que publicara que gran parte del presupuesto del país se destina a gastos militares.

Actualmente todo la información de Internet es filtrada y bloqueada en Pakistán «al gusto» de sus gobernantes y unicamente mediante estos métodos, un ciudadano puede burlar esa seguridad y visitar sitios web de forma que escapen al control gubernamental. Por suerte, entidades como «callcenters» o bancos estarán excluidos de esta medida, pero sucesos como este, aunque sean lejanos para nosotros, evidencian que la lucha por la libertad de expresión en la red aun no está ganada y que queda un largo camino.

Se ha encontrado un fallo de seguridad importante en un certificado digital emitido por la entidad Holandesa DigiNotar para Google. Dicho certificado se ha visto comprometido y con él, los usuarios de productos de Google (como puede ser el caso de Gmail) pueden ser víctimas de ataques «man in the middle» recopilando datos privados del usuario con el peligro que ello conlleva.

Google actualizará su navegador eliminando dicho certificado y Microsoft ya  ha procedido a eliminar a DigiNotar de la «Microsoft Certificate Trust List». Hablando de Firefox / Iceweasel, el equipo de soporte de Mozilla, ha publicado cómo eliminar dicho certificado.

Fuente y más información (Bitelia).

Hace unos días os hablamos de la vulnerabilidad que afectaba al servidor web Apache. Esta vulnerabilidad permitía ataques de denegación de servicio y que con un número limitado de peticiones, dicho ataque dejase al servidor web afectado sin recursos por un excesivo consumo de memoria y CPU.

Debian ha puesto a disposición de los usuarios los correspondientes parches que solventan dicha vulnerabilidad  (CVE-2011-3192) (etiquetados como 2.2.9-10+lenny10 y 2.2.16-6+squeeze2.)

Además, se añade un parche específico para la versión «oldstable» (Lenny) que solventa un bug que afecta a mod_dav (CVE-2010-1452) que también podía derivar en ataques de DoS en el servidor web.

Más información sobre el anuncio (Debian DSA-22981 Apache 2) en Debian.

En estos momentos, en el sitio web oficial de Apache aún no hacen mención a una nueva relase que corrija estos bugs, pero se espera que en unas horas esté disponible una versión con el parche para su instalación/compilación.

Se ha reportado por parte de Norman Hipper una vulnerabilidad catalogada como «seria« por el equipo de phpMyAdmin que afecta a versiones desde la 3.3.0 a la 3.4.3.2 (CVE-2011-3181).

La explotación del XSS vía un ataque «cross-site scripting«, puede hacer posible que un atacante remoto consiga conectarse al popular gestor de bases de datos Open Source con el peligro que ello conlleva.  Para paliarlo, se recomienda encarecidamente actualizar el software a las versiones 3.3.10.4 or 3.4.4 o aplicar los parches que se han puesto a disposición de los usuarios.

Más información y parches; en phpMyAdmin | The H Security.

Visto en; UnixenMac