lunes, 28 de marzo de 2011

Hackean la base de datos de MySQL.com

Este fin de semana unos hackers rumanos pusieron en evidencia la falta de seguridad de algunos sitios web de Mysql.com y Sun, al exponer nombres de usuario y hashes de contraseñas obtenidos a través de un ataque a ciegas usando nada menos que una inyección SQL o Blind SQL injection.

Los hackers TinKode y Ne0h publicaron un volcado de credenciales robadas de MySQL.com, MySQL.fr, MySQL.de, MySQL.it y www-jp.mysql.com en paste.bin. Entre los datos se incluye la pobre contraseña de 4 dígitos que Robin Schumacher, director de gestión de productos, utilizaba en su cuenta de Wordpress para blogs.mysql.com.


La base de datos expuesta contenía correos electrónicos y credenciales de miembros y empleados, así como tablas con información de clientes y socios, y detalles internos de la red. Los hashes fueron publicados con algunos que ya habían sido descifrados. Por otro lado, XSSed.com también detalla una vulnerabilidad XSS (Cross Site Scripting) que afectan a MySQL.com y que podría haber proporcionado un punto de entrada secundaria que ponía en peligro a los visitantes y empleados desde principios de enero de 2011.

Al mismo tiempo un par de sitios de Sun/Oracle recibieron un ataque similar, pero en este caso sin comprometer datos de acceso.

Link: MySQL.com Database Compromised By Blind SQL Injection (TechieBuzz)

jueves, 24 de marzo de 2011

Liberada Trisquel 4.5 "Slaine"

Nuestra última versión está ya lista para su descarga. Incluye un gran número de mejoras, junto con una importante remodelación del proceso de desarrollo -scripts y jaulas de compilación- que ha sido ampliamente revisado para simplificar la automatización de tareas. Estas mejoras han hecho más fácil la aplicación de cambios a los paquetes de origen, conduciendo a un resultado más correcto y refinado.

Junto con gran cantidad de correciones de errores, Slaine incluye un nuevo sistema de arranque para las imágenes live, un instalador mejorado que muestra al usuario algunos puntos destacados del proyecto durante el proceso, y nuevas aplicaciones preinstaladas como el cliente de escritorio remoto Remmina, el agregador de redes sociales Gwibber o el gestor de copias de seguridad Deja-dup.

El navegador web ha recibido varios cambios, para mejorar la velocidad -activación de http pipelining entre otros métodos-, privacidad -bloqueando las cookies de terceros y pasando a usar Duck Duck Go como motor de búsqueda por defecto-, y usabilidad -el complemento FlashVideoReplacer permite la visualización de vídeos en sitios como Youtube, Vimeo, y muchos otros. Estas mejoras han sido trasladadas también a la versión 4.0 LTS.

Trisquel 4.5 Slaine está basada en Ubuntu 10.10, y como siempre contiene exclusivamente software libre. Los principales paquetes incluyen:
  • Linux-libre 2.6.35
  • Xorg 7.5
  • GNOME 2.32
  • Navegador web basado en Mozilla 3.6.15
  • OpenOffice.org 3.2
Una de las mejoras importantes de esta edición es la disponibilidad de un controlador Nouveau experimental para tarjetas gráficas NVIDIA que permite el uso de aceleración 3D usando software totalmente libre.

Aunque su funcionamiento resulta ya muy prometedor, todavía puede resultar un poco inestable con algunas tarjetas, por lo que por defecto está deshabilitado. Puede activarse simplemente haciendo clic aquí.
Como es habitual, Slaine está disponible en versiones 32 y 64 bit, y siendo una edición STS proporcionaremos soporte para ella durante un año. Los usuarios de Trisquel 4.0 LTS pueden escoger entre seguir empleando esa versión -que incluye soporte hasta el año 2013- o actualizarse a 4.5 usando el gestor de actualizaciones. Para hacer que el sistema ofrezca esta posibilidad, debe de configurarse el programa "Orígenes del software" para que muestre "Ediciones normales" en lugar de "Sólo ediciones con soporte de larga duración". Esta versión pasará a ser el sistema live incluído en las tarjetas de socio de la FSF de ahora en adelante, reemplazando a Trisquel 4.0.

Puedes contribuir al proyecto descargando las imágenes iso y compartiéndolas mediante bittorrent. También puedes ayudar comprando material de nuestras tiendas, haciendo una donación, o convirtiéndote en socio.
En los próximos días lanzaremos también la edición 4.5 mini, así como una actualización incremental para la rama 4.0 LTS.

martes, 22 de marzo de 2011

Revelación de información en el Kernel Linux 2.6.x

Se han publicado tres vulnerabilidades en el kernel de Linux que podrían ser aprovechadas para revelar información sensible a un atacante.

CVE-2011-1170
Un error al no terminar determinadas estructuras en las funciones 'compat_do_replace', 'do_replace' y 'do_arpt_get_ctl', localizadas en el fichero 'net/ipv4/netfilter/arp_tables.c', podría permitir a un atacante local acceder a información del sistema.

* CVE-2011-1171
Un error al no terminar determinadas estructuras en las funciones 'compat_do_replace', 'do_replace' y 'do_arpt_get_ctl', localizadas en el fichero 'net/ipv4/netfilter/ip_tables.c', podría permitir a un atacante local acceder a información del sistema.

* CVE-2011-1172
Un error al no terminar determinadas estructuras en las funciones 'compat_do_replace', 'do_replace' y 'do_arpt_get_ctl', localizadas en el fichero 'net/ipv4/netfilter/arp_tables.c', podría permitir a un atacante local acceder a información del sistema.

Es obvio que se trata de la introducción del mismo error en a lo largo del código fuente. El problema radica en que no se comprueba la terminación "\x00" de las cadenas de las estructuras de datos, por lo que la solución propuesta, común a las tres vulnerabilidades consiste en el forzado de dicha terminación en las cadenas de texto de las estructuras.

Se observa en las lineas introducidas del parche:

tmp.name[sizeof(tmp.name)-1] = 0;
rev.name[sizeof(rev.name)-1] = 0;

Hay que destacar que para poder explotar esta vulnerabilidad, es necesario que la funcionalidad CAP_NET_ADMIN se encuentre habilitada.

Sirve para administrar interfaces de red, modificar las tablas de ruta, establecer el modo promiscuo, etc.
netfilter: ip_tables: fix infoleak to userspace

git.kernel.org/?p=linux/kernel/git/torvalds/linux-2.6.git;a=commitdiff;h=78b79876761b86653df89c48a7010b5cbd41a84a

ipv6: netfilter: ip6_tables: fix infoleak to userspace

git.kernel.org/?p=linux/kernel/git/torvalds/linux-2.6.git;a=commitdiff;h=6a8ab060779779de8aea92ce3337ca348f973f54

netfilter: arp_tables: fix infoleak to userspace

git.kernel.org/?p=linux/kernel/git/torvalds/linux-2.6.git;a=commitdiff;h=42eab94fff18cb1091d3501cd284d6bd6cc9c143

¿Como desarrollar en Canaima GNU/Linux?

Si quieres modificar algun paquete de Canaima para adaptarlo a tus necesidades, hacerle alguna mejora y/o contribuir a la distribución Canaima GNU/Linux, este es el mejor momento para aprender a hacerlo.

Luego de una muy interesante evolución dentro de los equipos de desarrollo de Canaima, se ha llegado ya a un punto de automatización que permite hacer el proceso de empaquetado y versionamiento del software, un proceso casi transparente para el desarrollador.

Esta guía es un adelanto de lo que probablemente será uno de los modelos oficiales de desarrollo para la distribución. En una intención de compartir y socializar el conocimiento que he adquirido en el desarrollo y uso de estas nuevas herramientas.

Paso 1: Selecciona un paquete que quieras modificar:

Ingresa a http://gitorious.org/canaima-gnu-linux/ y selecciona cualquiera de los paquetes que allí se encuentran. Todos los paquetes que verás son los que conforman la distribución, como por ejemplo: canaima-plymouth es el tema grafico que muestra el logo de canaima con las estrellas dando vueltas en circulo cuando se inicia el sistema; canaima-estilo-visual contiene todos los iconos y el estilo gráfico; mientras que canaima-escritorio-gnome tiene todo lo referente al entorno grafico por defecto de canaima (gnome).

Paso 2: Instala canaima-desarrollador:

canaima-desarrollador” es un paquete que instala una colección de herramientas y documentación que tienen como objetivo facilitar todo el proceso de desarrollo y empaquetamiento de aplicaciones para Canaima. Para instalarlo puedes hacerlo mediante el gestor de paquetes synaptic buscando la palabra “canaima-desarrollador” o simplemente ejecutando “aptitude install canaima-desarrollador” desde cualquier terminal (actualmente debes tener el repositorio de pruebas en  /etc/apt/sources.list).

Paso 3: Traete el codigo fuente a tu computadora:

O en terminos de versionamiento “Clonalo” a tu maquina para hacerle las modificaciones. En Canaima se utiliza un sistema de control de versiones llamado “git” este sistema es el que nos permite trabajar de manera distribuida y modificar el codigo fuente del sistema al mismo tiempo por muchos desarrolladores y poder integrar todas las mejoras en un solo codigo; en otras palabras es como si muchos arquitectos pudieran modificar el plano de una casa al mismo tiempo, cada uno desde un rincon diferente de Venezuela, y luego se pudieran integrar en un solo plano todas las modificaciones de cada uno para resultar en un solo plano final. Solo que en vez de el plano de una casa, es el plano del sistema operativo. Obviamente este sistema “git” permite ver cada modificacion, retroceder, deshacer cambios y todo lo necesario para que entre todos podamos decidir que modificaciones se quedan y cuales no. Aqui puedes ver una hoja de resumen en español de como se utiliza git.

Es por eso que la forma mas sencilla de obtener el codigo fuente de cualquier paquete de Canaima, es tambien utilizando “git”, supongamos que quieres modificar el codigo de canaima-plymouth para cambiar el color de fondo que sale al iniciar canaima.

Deberás ingresar a http://gitorious.org/canaima-gnu-linux/ y ver donde dice Clone & push urls justo debajo de “canaima-plymouth”, alli copias la linea que dice: “http://git.gitorious.org/canaima-gnu-linux/canaima-plymouth.git”para utilizarla en el comando:
$ git clone http://git.gitorious.org/canaima-gnu-linux/canaima-plymouth.git
al terminar este comando tendrás una nueva carpeta llamada canaima-plymouth donde se encuentra el codigo fuente que puedes modificar a tu gusto.

Paso 4: Realiza las modificaciones/mejoras/aportes:

En este ejemplo, vamos a modificar el color de fondo que sale al arrancar canaima, que por defecto es un degradado de marron oscuro.

Como es de esperarse, cada codigo fuente requiere ser revisado, y entendido para poder ser modificado, por lo que en este paso habria que revisar todo el contenido de las carpetas y entender el funcionamiento del tema, esperando que el desarrollador se haya tomado la molestia de documentarlo lo maximo posible para facilitar precisamente este proceso.

Luego de entendido el codigo, nos damos cuenta que el codigo fuente se encuentra dividido en varias carpetas, cuales son:

AUTHORS (contiene la información de quienes hicieron y han aportado a este paquete, y a quienes corresponden entonces los creditos de autoria)  COPYING (define la licencia del software y los permisos que tiene o no de ser copiado y distribuido, obviamente canaima-plymouth tiene licencia GPL) CREDITS (contiene los creditos y agradecimientos que el autor haya querido dar a quienes colaboraron y siguen colaborando en el paquete) debian (es una carpeta que contiene toda la informacion y ajustes requeridos para empaquetar este software para debian) img (contiene las imagenes que utiliza este codigo fuente) Makefile (es el archivo que define como se “compila” o instala este paquete, independientemente del modo de empaquetamiento que se quiera usar) README (contiene la descripcion e instrucinoes) scripts (es una carpeta con los scripts que hacen que el tema pueda funcionar en plymouth) src (es una carpeta que contiene los archivos fuentes con los que se han creado las imagenes que ahora se encuentran en la carpeta img, por ejemplo alli esta el archivo de Blender con el que se crearon las estrellas en 3D, que giran al rededor del logo, asi como el archivo original de gimp con el que se realizo el logo) TODO (es un archivo de texto donde se tiene anotado cualquier otra cosa que falte por hacer)

Para modificar los colores de fondo se deben modificar las lineas 4 y 5 del archivo /scripts/canaima-plymouth.script

Window.SetBackgroundTopColor (0.313, 0.241, 0.036); #esta linea define el color de fondo del borde superior de la pantalla

Window.SetBackgroundBottomColor (0.392, 0.249, 0.061); #esta linea define el color de fondo del borde inferior de la pantalla

Como se puede observar, el fondo resultante es un degradado desde el color superior al color inferior. Los valores se refieren a la cantidad de rojo, verde y azul que lleva cada color, de manera que (0.313, 0.241, 0.036) da un marron mas claro que (0.392, 0.249, 0.061)

Les dejo a su ingenio como generar el color que necesiten, les doy la pista de que el valor de cada color primario solo va de 0 a 1. ;)


Paso 5: Generar el paquete .deb:

Luego de realizadas las modificaciones, para generar el paquete .deb con el que se intalará canaima-plymouth en esta version modificada, basta con ejecutar el comando:
c-d empaquetar –mensaje=”Version de canaima-plymouth con el color de fondo en degradado de equis color” –procesadores=”2″ –no-enviar
El “mensaje”es una linea de texto que sirve para identificar las modificaciones que se realizaron para este empaquetamiento, si tienes una maquina con cuatro procesadores, puedes poner “4″ en vez de “2″, –no-enviar se utiliza para generar el paquete, sin subir las modificaciones al repositorio git de donde extragiste el codigo fuente. Para poder subir codigo directamente al repositorio de Canaima en gitorious.org, debes formar parte del grupo +canaima-developers pero tambien puedes configurar canaima-desarrollador para que suba tu codigo al repositorio git que tu prefieras (puedes crear tu propio repositorio en gitorious.org sin ninguna restricción, de modo que lleves tus propios proyectos y desarrollos por separado, luego tus aportes pueden ser integrados a los repositorios de canaima sin ningun problema), esta información la configuras en el archivo: ~/.config/canaima-desarrollador/usuario.conf


Una vez que tengas bien configurado este archivo usuario.conf, podrás tambien obtener el codigo fuente del paquete que necesites, con el comando:

$ c-d descargar –proyecto=”canaima-plymouth”
en vez de “git clone …”
Este comando c-d empaquetar … generará el .deb en la carpeta que le hayas especificado en el archivo usuario.conf, esto para facilitar que tengas todos los codigos fuentes en un lugar, y todos los .deb se generen en otro.

Luego puedes usar ese .deb para instalarlo en tu maquina directamente o subirlo a algun repositorio que luego utilizas con canaima-semilla y con un comando tan sencillo como:
$ canaima-semilla construir –medio=”iso” –arquitectura=”i386″ –sabor=”popular”
Obtienes una imagen .iso de Canaima GNU/Linux pero con las modificaciones realizadas por ti en los paquetes, pero canaima-semilla es ya otra herramienta que merece su propio articulo ;)

Canaima 3.0 VC2

Hoy me dispuse a probar Canaima GNU/Linux 3.0 VC2
Inicialmente, después de descargarme la ISO no pude quemarla en un CD puesto que sólo tengo CDs de 700MB (los estándares). Al levantar la distribución en vivo, tengo las siguientes observaciones:
  • Muy agradable y mejorada la animación de inicio. Tiene “mística”
  • Turpial dice “cliente de Twitter”. Turpial es tremendo cliente de microblog y lo mejor que tiene es que es Venezolano, pero considero que debería hacerse mención a que esa aplicación es también cliente de Identi.ca, red social en la cual lo que escribimos nos pertenece y está protegido automáticamente con licencia CC-BY 3.0..
  • El navegador (Cunaguaro) abre por defecto la primera vez en una ventana sobre “statusbar”. Sólo hay que cerrarla y listo, pero eso puede confundir a los nuevos en la informática.
  • Ese mismo navegador (Cunaguaro) tiene un problema grave, pero es fácilmente solventable: usa Adobe Flash Player. Si existen soluciones como Flash Video Replacer en la cual totem puede reproducir el flash de las páginas e incluso se puede usar GNASH para cosas más simples ¿para qué usar Software Privativo?
  • Orca viene incluído, pero no pre-configurado. Al invocarlo abre una cónsola. Considero que si se pre-configura (español, sin ecos ni brailey) servirá para la grandísima mayoría de los casos. Asimismo, Orca debería traer otras voces mucho más suaves y menos robóticas que la que viene por defecto. Muchos usuarios con discapacidad afirman que la voz en GNU/Linux es muy robótica en comparación con las privativas… ¡démosle opciones que les faciliten su libertad!
  • El kernel no está identificado como libre, pero me supongo que lo es, en caso de que provenga de Debian Squeeze. No vi módulos privativos a simple vista. Este es un avance enorme. Si Debian no hubiese dado ese paso antes, me pregunto si lo hubiésemos dado nosotros para dar el ejemplo de libertad y soberanía al mundo.
  • En la pantalla de aplicaciones que sale al inicio (donde está Turpial y Cunaguaro) aparece la imagen de un guácharo que invoca a un cliente de correos, pero al colocarle el puntero encima dice “chatear por MSN”. Es un error menor y simple de corregir.
  • Tengo un Disco Duro externo en EXT4 y no pude leerlo puesto que no hay soporte para ese sistema de archivos. Considero que no sólo debe haber soporte, sino que al menos la raiz / debe estar en EXT4.
Si se elimina el poco Software Privativo que le queda a Canaima, la podemos promocionar como Distribución Oficial del CNSL. ¿es posible lograr esto?

En comparación con Canaima 2.1 esto es un avance realmente impresionante. En mi caso falta muy poco para sentirme orgulloso de mi distribución nacional. ¡Falta poco!

¡Viva el Software Libre y nuestra verdadera Independencia Tecnológica!

  FUENTE:   http://octavio.gnu.org.ve/

Mozilla Firefox 4 final, ya disponible para descarga

Llegó el esperado momento: Firefox 4 ya está con nosotros. Han sido unos meses eternos de espera que empezaron con el lanzamiento de la primera versión beta en julio de 2010 pasando por numerosas versiones beta y dos versiones Release Candidate. La Fundación Mozilla anunció que lanzaría Firefox 4.0 el 22 de marzo, pero la realidad es que ya está disponible. Conoce todos los detalles de Mozilla Firefox 4 final y enlaces de descarga a continuación.

Mozilla Firefox 4 incluye el nuevo motor JavaScript Gecko 2.0, incorpora mayor soporte para estándares web, posee una nueva interfaz gráfica mejorada además de muchas mejoras y novedades.


Podemos descargar Mozilla Firefox 4 en el idioma español desde los siguientes enlaces:

-> Descarga Mozilla Firefox 4 español (Windows)

-> Descarga Mozilla Firefox 4 español (Mac)

-> Descarga Mozilla Firefox 4 español (Linux)

De momento Mozilla no ha actualizado su página web y tampoco es posible actualizar a Firefox 4 desde el navegador, pero esperamos que pronto sea posible.

Teniendo en cuenta que hace más de un año que la fundación no lanza ninguna versión final de su navegador, siendo Firefox 3.6 la última versión estable, Firefox 4 es una versión muy esperada por toda la comunidad de internet. Pero de ahora en adelante Mozilla ha anunciado que lanzará nuevas versiones en periodos de tiempo más cortos.

jueves, 17 de marzo de 2011

Más fraudes en las redes sociales

"¿Por qué, entonces, puede uno desear demasiado de algo bueno? ", dice Rosalind en la película "Como gustéis". Inclinándonos humildemente ante su padre literario, Shakespeare, podríamos preguntarnos lo mismo. ¿Por qué alguien puede desear muchos "Me gusta"? Vamos a tratar de averiguarlo.

�Qué es el likejacking? Es el proceso por el cual el contenido publicado recibe un "Me gusta" sin el consentimiento del usuario o su conocimiento. En pocas palabras, después de hacer clic en un enlace (para ver el contenido que hay detrás de él) te encuentras con que un mensaje se publica automáticamente en tu muro, en tu nombre, diciendo que te gustó ese enlace, cuando en realidad no has clicado en ningún "Me gusta".

¿Por qué es tan malo? En primer lugar, es un traspaso falso. Tú has sido suplantado y el mensaje que aparece en tu muro incluirá a tus amigos en el circuito y garantizará el efecto viral del sistema. Una vez que ellos hagan clic en el enlace y un mensaje automático aparezca en su muro, los respectivos amigos creerán que es fiable y harán también clic en él y así seguirá en marcha. Un auténtico efecto dominó. .

Sólo piensa en esto: ¿no es este el principio mismo de compartir información dentro de una red social e invitar (directa o indirectamente, a través del "Me Gusta") a tus amigos a leer, escuchar o ver el contenido que te gusta a ti?

En segundo lugar, una vez que los creadores de la página maliciosa se han asegurado tu ilícito "Me gusta", pueden reemplazar el contenido por uno malicioso. En consecuencia, el vínculo que permanece en tu muro para que todos la vean, puede llevar a todo tipo de malware que ponga tu equipo y privacidad en peligro: páginas de "phishing" o, peor aún, malware disfrazado de varios plugins útiles (códec de vídeo, reproductores flash, etc.). Así es como los likejackers se aseguran de llegar a tus amigos y poder distribuir sus creaciones maliciosas.

¿Cómo puedo identificar un ataque de likejacking? Dos trucos sencillos: el cebo (el mensaje que atrae tu curiosidad) y dónde te lleva (la dirección donde se almacena el contenido de vídeo).

En cuanto al cebo, lo que suele funcionar mejor es la posibilidad de ser testigo de un hecho escandaloso o noticioso o la descarga de algún material (contenido para adultos, adolescentes comportándose de manera irreverente, actos de crueldad, etc.) y todo esto en formato vídeo. ¿Compartir el enlace del vídeo? En este caso es el equivalente virtual del bueno y viejo boca a boca

¿Y el lugar? Los Likejackers no utilizan los principales canales de podcast o vídeo, sino sitios oscuros, que no dan ninguna garantía en cuanto a la seguridad de su contenido.

¿Por qué este truco vuelve a golpear fuerte ahora? Hasta hace poco, las indicaciones de una persona que marcaba con un "Me gusta" un contenido eran muy discretas (apenas una línea poco visible debajo de la actividad reciente). La red social ha cambiado esta función y se agrega una imagen en miniatura junto al enlace apropiado. Esto le da una vista previa de la página que ha sido marcada con el "Me gusta", al tiempo que hace ese comentario más destacado y atractivo.

¿Cómo librarse de el? Es una cuestión de atención, sobre todo. Antes de hacer clic en cualquier enlace, tan solo tómate un momento para pensar si estás realmente interesado en el contenido del vídeo prometido. Después de todo, esta no es la primera vez que una estafa busca hacer caja con la curiosidad del espectador y su entusiasmo por compartir Después de haber visto el video sospechoso, visita tu muro para ver si puedes identificar cualquier mensaje que no debiera estar ahí: un "Me gusta" que no recuerdes haber dado y que incluya un link a ese vídeo.

Si ves un mensaje, pon el cursor sobre la esquina superior derecha de la casilla del mensaje donde aparecerá una X. Haz clic en la X, y pincha sobre la opción eliminar el mensaje y eliminar "Me gusta".


Este artículo está basado en la información técnica proporcionada por George Petre, BitDefender Threat Intelligence Team Leader

VOLVIMOS

 YA ESTAMOS ACTIVOS, ASI QUE PENDIENTES