Se encuentran disponibles para su descarga Drupal 7.18 y 6.27, son versiones de mantenimiento que contienen actualizaciones de seguridad para varias vulnerabilidades reportadas en el CMS por lo que es importante actualizar con brevedad.
Más info y descarga. Notas de las versiones Drupal 7.18 and Drupal 6.27 (ENG).
Mozilla ha lanzado una nueva actualización de su navegador Firefox, la versión 16.0.2, que solventa un problema de seguridad de tipo XSS (entre otros problemas), consistente en que los datos de url’s contenidas en el objeto window.location podría ser ofuscados y en combinación con algunos plugins lanzar el ataque de cross-site scripting contra el usuario.
Info completa (en inglés). Lista completa de errores corregidos.
Recomendamos a todos los usuarios actualizar a la mayor brevedad posible a esta nueva versión. Bien desde el actualizador automático o desde el sitio de descargas de Firefox.
Tal y como podemos leer en el sitio web de Drupal, se ha liberado la versión de Drupal 7.16, una versión de mantenimiento que solventa vulnerabilidades en el CMS (SA-CORE-2012-003) por lo que es más que recomendable actualizar a la mayor brevedad posible.
Tal y como leemos en Hispasec, Mozilla ha actualizado con urgencia su navegador Firefox a la versión 16.0.1 que solventa el grave bug del que nos hicimos eco hace tan sólo unas horas.
Recomendamos a todos los usuarios actualizar a la mayor breve dad posible a esta nueva versión. Bien desde el actualizador automático o desde el sitio de descargas de Firefox.
Tal y como podemos leer en el aviso de INTECO-CERT, se ha reportado una vulnerabilidad catalogada como crítica en Firefox 16 (recién publicado). Dicho fallo de seguridad podría permitir a un sitio web malicioso conocer las páginas que han visitado sus usuarios, teniendo acceso a la URL así como a sus parámetros.
Dado el impacto de esta vulnerabilidad, se recomienda o bien hacer un «downgrade» a la versión 15.1, o utilizar mientras se solvente un navegador alternativo. (La versión 16 de Firefox ya no está disponible para su descarga).
Debido a la gran cantidad de usuarios que pueden verse afectados, es importante conseguir la máxima difusión posible.
Se encuentra disponible para su descarga la nueva versión de Wireshark 1.8.3. que soluciona diversas vulnerabilidades de versiones anteriores.
Como la mayoría sabréis, Wireshark es una herramienta multiplataforma para análisis de tráfico de red, producto de la evolución del antiguo Ethereal. Funciona al igual que lo puede hacer cualquier otro sniffer tal como Windump, TCPDump ó dsniff. Pero, al contrario de estos, lo hace mostrando los datos a través de un entorno gráfico y de forma más amigable y entendible. Posee una serie de decodificadores para la mayor parte de protocolos así como plugins y herramientas para el análisis gráfico de las capturas.
Para descargar Wireshark:
Más información sobre su descarga, instalación y empleo básico del programa en nuestros temas:
Desde la lista de correo «Apple Security«, nos llega el aviso de una actualización de seguridad para OS X Server (v2.1.1). Esta nueva versión solventa varias vulnerabilidades en PostgresSQL, siendo la de más impacto una que permitiría a usuarios de las bases de datos acceder a ficheros del sistema con privilegios elevados.
También Jabber recibe una actualización para solventar posibles fugas de información en relación con otros servers mejorando la gestión de mensajes. El update está disponible desde el menú «Actualización de Software». Os recomendamos aplicar las correcciones con brevedad, más info sobre estas cuestiones de seguridad en Apple Security Updates.
Siguen los problemas para Oracle y Java, incluidos los usuarios que tengan necesidad de usar esta tecnología. El mes pasado, ya nos hicimos eco del fallo grave en Java (con información sobre cómo desactivarlo en todos los navegadores, recordamos que está parcheado). En esta ocasión y según una información publicada en CSO España, la firma Polaca «Security Explorations» alerta sobre un bug que podría afectar a 1.000 millones de usuarios.
La vulnerabilidad estaría localizada en versiones 5, 6 y 7 de Java en plataformas Windows, Mac OS X, GNU/Linux y Solaris por lo que el alcance es importante. Pudiendo derivar según informan, en la ejecución de una app maliciosa consiguiendo privilegios de administrador en el sistema afectado. También se indica que este fallo, es de un impacto mayor que el anterior «0day» y se vuelve a recomendar su desactivación temporal o en caso de necesidad de uso, hasta que Oracle (conocedora ya del problema y que en la ocasión anterior actuó con una inesperada rapidez) lo solvente, no sería aconsejable usar la máquina virtual de Java indiscriminadamente y más aún en entornos no confiables.
Aunque como leemos en Genbeta, sólo ha sido testeada en Windows 7 totalmente parcheado y en su edición de 32 bits, por lo que a falta de una información más concreta, usar el sentido común y extremar las precauciones junto a lo comentado anteriormente, puede ser el mejor de los consejos con los datos que manejamos en este momento.
Tal y como se venía comentando días atrás, Microsoft, dado el grado de exposición en el que quedaban los usuarios de su navegador frente a la vulnerabilidad de la que os informamos hace unos días, ha publicado un parche que para Internet Explorer 7, 8 y 9 que podéis descargar vía Windows Update.
Debido al impacto sobre el sistema, se recomienda actualizar a la mayor brevedad posible caso de usar este navegador ya que hablamos de una vulnerabilidad crítica.
Para más información sobre versiones afectadas y las actualizaciones, recomendamos visitar este enlace de Microsoft (en Inglés)
A través de una información publicada por INTECO-CERT, (catalogada como «crítica») nos hacemos eco de una vulnerabilidad denominada «0Day» al ser un fallo explotado no conocido y la ausencia de un parche aún por parte del fabricante (Microsoft).
Hablamos de un un fallo en el navegador Internet Explorer, versiones 7, 8 y 9 que está siendo explotado ya por atacantes con sólo visitar una página debidamente manipulada para tal fin, redirigiendo al usuario hacia sitios maliciosos.
Debido al impacto en el sistema de dicha vulnerabilidad, se recomienda temporalmente hasta que se proporcione una solución, el uso de un navegador alternativo. En «SpamLoco», han hecho una buena recopilación de información sobre el bug, incluyendo una demo realizada en el popular «framework» Metasploit.
Actualización: Información sobre el bug por Microsoft (ENG).
Según podemos leer en el sitio web de Joomla, se acaba de liberar una nueva versión (2.5.7) del popular CMS. Esta release viene a solventar dos vulnerabilidades, (en el «core» del CMS, en concreto dos XSS, [20120901] – [20120902], así como otros fallos localizados en el software.
A pesar de que están catalogados como «de prioridad baja», se recomienda actualizar a la mayor brevedad posible.
Según podemos leer en The H Security (ENG), la última actualización de iTunes para Windows (7, Vista, XP SP2 o posterior) solventa más de 160 fallos de seguridad en el reproductor multimedia de Apple.
Como se puede ver también en el aviso de seguridad de la lista de correo de la propia Apple, la mayoría de ellos están solventados por el «Google Chrome Security Team«, esto es debido a que están localizados en el motor WebKit que incorpora.
Caso de ser explotados dichos bugs, llevarían a la ejecución arbitraria de código en el sistema afectado. Se apunta que si bien desde iTunes no se puede navegar por cualquier web, si estás conectado desde una red pública sin las pertinentes medidas de seguridad (por ejemplo a través de una red wi-fi), un intruso conectado a esa red, podría mediante un ataque «man in the middle» (o de otro tipo) redirigir a esos usuarios hacia sites maliciosos creados para explotar esas vulnerabilidades.
Lo preocupante es que esos bugs ya llevan meses solventados, por ejemplo en Google Chrome (Marzo de 2012), o la propia versión de iTunes para OS X que no incluye dichos parches de seguridad porque se habían incorporado con anterioridad (en su navegador Safari).
Se recomienda actualizar a la mayor brevedad posible bien desde el sitio web de iTunes o desde el actualizador automático de Apple.
Se encuentran disponibles desde Microsoft las actualizaciones o boletines de seguridad publicados para Septiembre de 2012.
En esta ocasión, se compone de 2 actualizaciones de seguridad catalogadas como importantes, que vienen a solventar varias vulnerabilidades que entre otras, podrían permitir la elevación de privilegios, etc. en los sistemas no actualizados.
La actualización se encuentra disponible desde el propio update automático de Windows o bien, mediante su descarga manual y posterior instalación. Como siempre, recomendamos actualizar los sistemas a la mayor brevedad posible.
También y como cada mes, está disponible una nueva actualización del programa de eliminación de software malintencionado. Esta herramienta no es un sustituto del antivirus, busca infecciones causadas por software malintencionado específico que actualmente existe en equipos con Windows XP, Windows 2000, Windows Server 2003, Windows Vista y 7 instalado y ayuda a eliminarlas.
# Boletín y descarga de actualizaciones de Septiembre de 2012.
Aún sin los datos necesarios para conocer otras vías de mitigación del alcance de esta vulnerabilidad, se recomienda desactivar Java en todos los navegadores de forma urgente (info en Security By Default).
El motivo es que se ha descubierto un grave agujero de seguridad para el que Oracle aún no ha proporcionado un parche y cuyo código está al alcance de cualquiera con las consecuencias que este hecho conlleva. Si a esto le sumamos la política de actualización (cada 4 meses) que aplica Oracle a sus productos, la situación es preocupante.
Más información en Hispasec | En Ontinet Blog.
Coincidiendo con el lanzamiento de la nueva versión de Mac OS X 10.8 «Mountain Lion» (disponible por 15,99 €), nos llega desde la lista de correo de «Apple Security» el aviso de actualización de Safari 6.0 para Lion y Lion Server (10.7.4).
Esta versión solventa múltiples vulnerabilidades (XSS, función de autocompletar, ejecución arbitraria de código, etc) por lo que es más que recomendable su descarga desde el menú «Actualización de software».
© 2025 Daboweb | Seguridad y ayuda informática | All Rights Reserved.