55.000 sitios vulnerados y utilizados para distribuir malware
55.000 sitios vulnerados y utilizados para distribuir malware | Vía Zero Day
Nueva vulnerabilidad en WordPress 2.8.3
El francés Laurent Gaffié ha descubierto una vulnerabilidad que afecta a la rama de versiones 2.8.x de Wordpress, incluyendo obviamente hasta la última publicada (2.8.3). El error se encuentra en el archivo wp-login.php, y el mismo podría ser aprovechado por un atacante de forma remota llegando a bloquear temporalmente la cuenta del administrador, impidiendo así el acceso de forma correcta a la administración del blog.
Para los que no estén familiarizados con esta plataforma, cuando un usuario solicita una nueva clave se le envía a su correo (el que uso al crear la cuenta) un enlace para confirmar el proceso, luego de eso le llega a uno la nueva contraseña. Según el reporte, debido a este error bastaría con ingresar cierta URL desde cualquier navegador para lograr que Wordpress reinicie la clave del administrador sin autorización previa del mismo, o sea salteando el paso de la confirmación vía correo.
No hay parche oficial hasta el momento, Si lo hay 
. Se ha corregido la vulnerabilidad en la versión de desarrollo, por lo que se les aconseja actualizar el archivo wp-login.php, ya sea manualmente o descargándose la versión actualizada.
Actualización manual:
- Abrir el archivo wp-login.php
- Buscar el texto:
if ( empty( $key ) )
- Reemplazarlo por el siguiente código:
if ( empty( $key ) || is_array( $key ) )
- Guardar y listo.
Vía: http://core.trac.wordpress.org/changeset/11798
Versión corregida de wp-login.php:
http://core.trac.wordpress.org/changeset/11798?format=zip&new=11798
Si bien el impacto de esta vulnerabilidad es de nivel medio, se recomienda actualizar de todas formas.
Actualización: Ya esta disponible para la descarga una actualización de seguridad, lo cual deja la version 2.8.4 como la ultima segura hasta la fecha.
http://wordpress.org/development/2009/08/2-8-4-security-release/
Telefe Noticias estrena bugs… digo web
Telefe (canal argentino de TV) estreno hace muy poco una nueva web, mas allá de lo criticable o no desde el punto de vista diseño y SEO por el tener una portada completamente en Flash, esta el utilizar una version vulnerable de Joomla (un CMS). ¿Acaso la empresa que realizo el desarrollo no hace testing de sus productos? Deben estar muy preocupados en "vender, vender, vender". Estamos en el año 2009, y todavía gran parte de los desarrolladores siguen sin controlar las variables como corresponde y prevenir un simple Cross Site Scripting (XSS). Deberian comenzar a pensar que no todos los usuarios son buenos, basta con solo uno para dañar la imagen de la empresa.
Esto hasta podría pasar por un error tonto y sin importancia para más de uno, pero ¿Qué hay de utilizar una versión vulnerable de Joomla? Cualquiera puede entrar y aprovecharse de este error y explotar el mismo para modificar la contraseña del usuario administrador del sitio.
¿Vamos a seguir pensando todavía, que la seguridad y el testeo son meros accesorios?
Actualización de Google Chrome corrige dos vulnerabilidades
Actualización de Google Chrome corrige dos vulnerabilidades | Vía RZW
Twitter propenso a ataques por fuerza bruta
Días atrás publique algo sobre los ataques de los que fueron víctima Twitter y sus usuarios, recapitulando, muchos se vieron afectados por mensajes directos que tenían como objetivo el robo de la información acceso a dicho sistema y seguido por diferencia de dos días de una intrusión a 30 cuentas pertenecientes a celebridades y cadenas de noticias.
Esto último fue lo que más alarmo a los usuarios, ya que fue posible debido a una debilidad del sistema utilizado por los empleados de Twitter, del cual nos enteramos ahora vía Wired que el individuo detrás de estas intrusiones logro hacerlo aprovechando un error en Twitter que no es ni más ni menos que no controlar el tiempo entre intento e intento de acceso, y con ayuda de algunas herramientas que uno puede encontrar con solo realizar una búsqueda en Internet, perpetro un ataque de fuerza bruta logrando así acceder al anterior mencionado sistema de administración de la web.
Suscribete via Email
- Tu e-mail no sera compartido.
actualización Adwords android Aplicaciones Apple Argentina Bing Blogs Buenos Aires Buscadores Celulares Chrome Cordoba diseño ESET Eventos Facebook Firefox Fraude Google Hacking herramientas Humor iPhone Malware Marketing Microsoft Moviles Navegadores Phishing Privacidad publicidad redes sociales Seguridad SEM SEO Social Media Software Spam Twitter Videos vulnerabilidades web Wordpress Yahoo!
