WordPress, Vulnerabilidad XSS de Plugins

La Documentación Oficial de WordPress (Codex) para estas funciones no era muy claro y engañó a muchos desarrolladores de plugins para usarlos de una manera insegura. Los desarrolladores asumieron que estas funciones podrían escapar la entrada del usuario para ellos, cuando no es así. Este simple detalle, hizo que muchos de los plugins más populares ser vulnerable a XSS.

Hasta la fecha, esta es la lista de plugins afectados:

Probablemente hay algunos más que no hemos enumerado. Si usas WordPress, es muy recomendable que usted vaya a su panel de control wp-admin y actualizar los plugins fuera de fecha ahora.

Este problema fue identificado por primera vez por Joost de Yoast en uno de sus plugins (el hizo una gran escritura en torno a ella también). Trabajamos juntos con él para investigar el tema y está probablemente afectó mucho más plugins que sólo ese.

Nuestro equipo de investigación, junto con algunos amigos (especialmente Joost de Yoast) han estado yendo a través del repositorio de WordPress los últimos días en un intento de encontrar y advertir muchos desarrolladores de plugins como sea posible – para advertir y ayudarles a parchear el problema.

Divulgación Coordinado

Esta vulnerabilidad fue descubierta inicialmente la semana pasada, debido a los diferentes grados de severidad y lo más importante, la gran cantidad de plugins afectada, coordinamos un comunicado conjunto de seguridad con todos los desarrolladores involucrados y el equipo de seguridad del núcleo de WordPress. Fue un gran trabajo de equipo, y una experiencia agradable ver a tantos desarrolladores unidos y trabajar juntos por el bien común. Felizmente podemos decir que todos los complementos se han parcheado, y ha partir de esta mañana actualizaciones deben estar disponibles para todos los usuarios. (Sí, todo el mundo empujó sus actualizaciones al unísono hace 2 horas).

Si usas WordPress, ahora es su turno para actualizar sus plugins!

Si usted tiene las actualizaciones automáticas activadas, su sitio debería estar ya parcheado, especialmente en los casos más graves.

Hay más plugins vulnerables de WordPress

Nuestro equipo sólo analizó los 300-400 enchufes de unión superiores, lejanos de todos ellos como podría suponer. Así que hay probablemente un número de plugins siendo vulnerable. Si eres un desarrollador, compruebe el código para ver cómo usted utiliza estas dos funciones:

add_query_arg
remove_query_arg

Asegúrese de que usted se está escapando de ellos antes de su uso. Se recomienda utilizar la funciónesc_url () (o esc_url_raw()) con ellos. Usted no debe asumir que add_query_arg y remove_query_argescaparás entrada del usuario. El equipo de WordPress está proporcionando más directrices sobre cómo usarlos aquí.

Tiempo de actualización!

Si utiliza cualquiera de estos plugins, asegúrese de actualizarlos ahora! Vamos a seguir para investigar y buscar más plugins vulnerables y mantener nuestra lista aquí actual.

Este es también un buen momento para recordar a todos que todo software tendrá errores y algunos de esos errores conducirá inevitablemente a las vulnerabilidades de seguridad, tal es la vida que vivimos. Esto se aplica a los plugins, temas, servidores web, CMS de y básicamente cualquier cosa que es escrito por personas y basado en el código. Por mucho que los desarrolladores tratan de minimizarlos e implementar los principios de codificación segura, errores inevitablemente siguen sucediendo. Sólo tenemos que estar preparados y encontrar formas de minimizar el efecto de cualquier vulnerabilidad en su entorno; un ejemplo perfecto de este enfoque es lo que estamos viendo hoy con este comunicado de coordenadas.

Estos son algunos consejos y trucos para recordar para ayudar a reducir su riesgo global amenaza, ayudando a mejorar su postura de seguridad individual:

  1. Patch. Mantenga sus sitios actualizado,
  2. Restringir. Control de acceso restrictivo. Restrinja su directorio wp-admin a Direcciones IP puestas en una lista sólo blancas. Sólo dé el acceso admin a usuarios que realmente lo necesitan. No entre al sistema como admin a menos que realmente haga el trabajo de admin. Éstos son algunos ejemplos de políticas de control de acceso restrictivas que pueden minimizar el impacto de vulnerabilidades con su sitio web.
  3. Monitorear. Controle sus registros. Se le puede dar pistas sobre lo que está sucediendo en su sitio.
  4. Reducir su alcance. Utilice sólo los plugins (o temas) que su sitio realmente necesita para funcionar.
  5. Detectar. La prevención puede fallar, por lo que recomendamos analizar su sitio para los indicadores de compromiso o software obsoleto. Nuestro plugin y Sitecheck pueden hacerlo de forma gratuita para usted.
  6. Defensa en profundidad. Si usted tiene un sistema de prevención de instrucciones (IPS) o Web Application Firewall (WAF), pueden ayuda a bloquear los tipos más comunes de hazañas XSS. Usted puede incluso intentar nuestro propio CloudProxy para ayudarle con eso. Si te gusta la ruta de código abierto, puede intentar OSSEC, Snort y ModSecurity para ayudarle a lograr eso.

Estos principios se aplican normalmente a la mayoría de las redes seguras (o en cualquier negocio que tiene que ser compatible con PCI), pero no muchos propietarios de sitios web piensan de ellos para su propio sitio / medio ambiente.

Estos son sólo unos pocos recomendaciones de alto nivel; recomendamos ir a través de nuestro blog para obtener más ideas sobre cómo mantener sus sitios seguros y por delante de las amenazas.

Fuente: Sucuri Blog

Instalando aws-cli, la nueva herramienta en línea de comandos AWS

Recomiento leer la documentación de aws-cli, como complemento a las instrucciones, ya que nos dará varias opciones de instalación y configuración de la herramienta.

aws-cli
AWS CLI

 

En esta ocasión vamos a instalar la herramienta en Ubuntu:


sudo apt-get install -y python-pip
sudo pip install awscli

Agregar al archivo siguiente, muchos sabrán a que me refiero con este regex $HOME/.(profile|bash_profile|profile)


complete -C aws_completer aws

Esto nos ayudará con el autocomplete de Bash

Agrega tu KeyID y tu SecretKey al archivo $HOME/.aws/config, usando el siguiente formato:


[default]
aws_access_key_id = 
aws_secret_access_key = 
region = us-east-1

No olvides proteger tu documento a solo lectura, escritura para el dueño del archivo:


chmod 600 $HOME/.aws/config

Opcionalmente establecer una variable de ambiente que apunte al archivo modificado previamente, especialmente si ese archivo no está en el directorio estandar.


export AWS_CONFIG_FILE=$HOME/.aws/config

Probando la instalacion de nuestro aws-cli

Una vez que hayamos finalizado nuestra instalación y configuración, procedemos a realizar nuestra primera consulta al API de AWS, usando la herramienta de consola:


aws ec2 describe-regions

La salida predefinida es en formato JSON, pero podemos intentar con diferentes formatos, como son table o text


aws ec2 describe-regions --output text
aws ec2 describe-regions --output table

Experiencias Xcaret Solicita

Persona que cuente con los siguientes conocimientos y habilidades.
Administración de Servidores Linux
Manejo e instalación de aplicaciones OpenSource
mySQL
PHP 5.0 (Básico)
Registro, Alta y Administración de dominios
Configuración de DNS
SEO
HTML
Proactivo
Responsable y buen nivel de organización
Trabajo bajo presión
Servicio al cliente
Enviar Cv via correo
[email protected]

Se buscan Linuxeros para trabajar en empresa Internacional

En donde trabajo (Softtek) andamos buscando linuxeros con buen nivel y que además hablen con buena fluides inglés

La descripción de los candidatos que se buscan es mas o menos esta:
—————–
Linux

  • At least 4 to 5 years in Redhat Enterprise
  • Understanding of DNS, NIS, NFS, SSL, PXE boot
  • Basic shell scripting knowledge (sh/csh/bash/perl)
  • Good understanding of TCP/IP and OSI layer architecture
  • Good troubleshooting and problem-solving skills
  • Able to analyze and understand OS related issues.
  • Ability to perform system monitoring via sar, vmstat, iostat, etc.
  • Excellent written and verbal and communication skills.

Pluses:

  • openldap experience
  • puppet|rhn|spacewalk|cfengine|cobbler|ks experience
  • git experience

—————

El ambiente de trabajo es bastante estandar, el sueldo como siempre es totalmente negociable, y depende de cada quien el buscar la remuneración adecuada para su nivel (en general creo que puede ser buen sueldo), y se requiere de gente que en serio sepa mucho de linux, si has podido vivir de administrar servidores linux al 100% durante unos 5 años es muy probable que califiques, y solo necesitas además de eso saber hablar en inglés suficientemente bien para entender y que te entiendan (el trabajo es 100% con una conocida empresa de videojuegos de USA)

Si te interesa mandame el CV a [email protected] para entregarlo y que te contacten cuanto antes.

Congreso Mexicano de la Sociedad de la Información y Conocimiento Libre

El Congreso Mexicano de la Sociedad de la Información y Conocimiento Libre (CosiT) es un evento promovido por la Comisión de Ciencia y Tecnología del Senado de la República que busca reunir a personalidades mundiales y nacionales de Software Libre y de la Sociedad de la Información.

El evento busca exponer los beneficios económicos, sociales, políticos y culturales de la adopción del Software Libre como programa de gobierno y estrategias de competitividad para universidades, empresas e industrias.
El tema del congreso es “Innovar para Crecer”, concepto que significa desarrollo de tecnología propia, generación de ventajas competitivas a partir de tecnologías libres, el establecimiento de estrategias para superar el estancamiento social y la autonomía para eficientar organizaciones públicas y privadas.

¿Cuándo y Dónde?
Fecha: Del 30 de marzo al 1ro de abril
Donde: Coatzacoalcos, Veracruz
Visita Cosit Para mas Información

Las conferencias magistrales, talleres y mesas de debate ofrecen un marco de referencia respecto a la investigación de los líderes de informática al mismo tiempo de presentar casos de éxito en nuestro país.

Habra Descuentos para Grupos de Usuarios de Linux

Web: http://www.cosit.mx
Twitter: http://www.twitter.com/cositmx
Facebook: http://www.facebook.com/cositmx

Como liberar tu PS3

Si eres propietario de un PS3, y deseas probar software de 3ros o desarrollar tu propio software para este sistema, aqui tienes la Guia basica para liberar tu PS3.

Si en 14 simples pasos liberaras tu PS3.

NOTA: Este metodo va sin garantias, usalo bajo tu propio riesgo, nosotros no nos hacemos responsables por fallas o desperfectos despues ocacionados en tu consola…

Guía completa de GeoHot Jailbreak PS3

GeoHot ha decidido además de liberar para cargar con homebrew software casero y nada de copias caseras de los videojuegos.

El método de George Hotz es de momento el primero y por ahora el único de momento, aunque podrán ir saliendo alternativas.

No funcionan sobre antiguos homebrew y funciona sobre el firmware 3.55 (el último conocido).

Los pasos a seguir serán los siguientes:

1. Conecta una memoria USB al PC
2. Crea una carpeta raíz llamada PS3
3. Añade una carpeta llamada ” UPDATE ” que lleve a /PS3/UPDATE/
4. Descarga el Jailbreak de GeoHot ( Descargar aquí )
5. Extrae el archivo PS3UPDAT.PUP y muevelo a UPDATE en la memoria USB
6. Conecta la memoria a tu PS3
7. Navega hasta “Herramientas”
8. Elige “Actualización de sistema”
9. Opción “Actualizar desde la memoria o pendrive”
10. Reconocerá la actualización “Version 3.55-jb”, dale al OK
11. Acepta las condiciones e instala la actualización finalmente
12. Cerca de 1 minuto en actualizar ( pitará varias veces y se apagará )
13. Enciende la consola desde su botón principal
14. Después de todos los pasos ya ha sido la versión modificada firm 3.55

Informacion de Noticias2D

Demanda contra los Hackers que liberaron la PS3

Sony emprendió una acción legal contra los hackers que desmantelaron la seguridad de la consola PlayStation 3 (conocida como PS3) y contra quienes revelaron y publicaron los códigos maestros del aparato.

Estos códigos permiten que cualquier persona pueda potencialmente instalar un programa en la máquina, incluyendo juegos pirata.

Sony argumenta que dichas acciones constituyen violaciones a sus derechos de autor y fraude informático.

Pero George Hotz, uno de los hackers en el centro de la controversia, le dijo a la BBC que creía “cómodamente” que la solicitud de la compañía no iba a prosperar.

“Soy un ferviente creyente de los derechos digitales”, afirmó Hotz.

“Esperaría que una empresa que se enorgullece de su propiedad intelectual tuviera un buen conocimiento de la ley, por lo que la acción me decepciona. He hablado con un consejero legal y me siento lo suficientemente cómodo como para creer que la acción de Sony en mi contra no tiene fundamentos”, añadió.

Hotz, de 21 años, fue demandado junto con más de 100 personas asociadas al grupo de hackers conocido como fail0verflow.

En la acción judicial, presentada en un tribunal de California, Sony solicita una orden de restricción que prohíba a Hotz realizar actividades que alteren programas informáticos y prevenga la distribución del software creado a partir de sus logros.

“Trabajando de forma individual pero organizada, los acusados recientemente consiguieron saltarse las efectivas medidas de seguridad empleadas por Sony”, se lee en el documento.

“Usando internet, los acusados están distribuyendo programas, herramientas e instrucciones que brincan las medidas de protección y facilitan el contrabando de videojuegos. En este momento ya se están empacando y distribuyendo juegos pirata para estos dispositivos”, agrega.

Códigos secretos

La polémica se centra en una serie de códigos secretos que Sony utiliza para impedir que su sistema sea utilizado con fines no autorizados.

Entre ellos se encuentra un número que se emplea para autorizar los juegos y software de la PS3, con el fin de comprobar que son genuinos.

Sin embargo, si se conoce el código, éste se puede utilizar para autorizar cualquier software, incluyendo programas no autorizados y, potencialmente, juegos pirata.

La protección de la PlayStation se mantuvo impenetrable durante siete años, pero miembros de fail0verflow lograron romper la seguridad en diciembre. Después Hotz, usando un método similar, consiguió el código maestro.

El sitio de web de fail0verflow desapareció de la noche a la mañana y fue reemplazado por un mensaje titulado “Sony nos demandó”.

En él, los hackers dijeron: “Nunca hemos aprobado, apoyado o motivado la piratería en videojuegos”.

“Nunca hemos publicado ningún código. No hemos publicado ningún código de Sony o códigos derivados de Sony”, añadieron.

Y aseguraron: “Nuestro objetivo exclusivo era, y siempre ha sido, lograr que regresara la opción de instalar Otro Sistema Operativo”.

El grupo se refiere a una opción que Sony deshabilitó -después de que Hotz lograra por primera vez romper la seguridad de la consola hace unos meses- y que permitía instalar otros programas como Linux en la PS3.

Información de Semana.com

Vulnerabilidad de facebook

El hacker Ron Bowles, puso en duda los filtros de seguridad de Facebook, al publicar la información de 100 millones de perfiles.

El especialista en temas de seguridad en Internet, dijo que el fin
de esta publicación es demostrar los problemas de privacidad que tiene
esta red social, según publica El País

Alrededor de mil cibernautas compartieron la lista a través del sitio Pirate Bay, donde fue “subida” el pasado miércoles a las 16:58 horas.

URL

Además, el especialista puso a disposición el código que utilizó para lograr violar los filtros de seguridad de Facebook.

De acuerdo con El País, esta red social anunció, mediante un
comunicado enviado a la BBC, que dicha información revelada por Bowes
ya era pública en un directorio que recoge a todos los usuarios cuyo
perfil está abierto, aunque sea parcialmente

Fuente: radiopirata.com

update:

facebook.rb

#!/usr/bin/ruby

# This was a quick hack to download Facebook URLs from 
# http://www.facebook.com/directory
#
# @author Ron Bowes
# @date 2010-07-11

require 'net/http'
require 'uri'

File.open("input.txt", "r") do |infile|
	while (path = infile.gets) do
		if(path =~ /directory/) then
			attempts = 0
			while true do
				begin
					count = 0
					$stderr.puts("PATH: " + path)
					url = URI.parse(path)
					res = Net::HTTP.start(url.host, url.port) {|http|
						http.get(url.path, {"User-agent"=>"Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.1)"})
					}
					links = res.body.scan(/UIDirectoryBox_Item.*?a href="(.*?)"/)
				
					links.each { |link|
						link = link.shift
						puts link
						count = count + 1
					}
					$stderr.puts("Found %d links!" % count)

					if(count == 0) then
						attempts = attempts + 1
						if(attempts > 3)
							$stderr.puts("Giving up!")
							break
						else
							$stderr.puts("Found no links, trying again (%d retries left)!" % (3 - attempts))
						end
						sleep(10)
					else
						break
					end
				rescue Exception
					$stderr.puts("ERROR: " + $!)
					sleep(30)
				end
			end
		else
			$stderr.puts("Skipping: " + path)
			puts(path)
		end
	end
end

Facebook y Twitter, fuera de servicio por un ataque

Millones de cibernautas alrededor del mundo trataron inútilmente de entrar a los sitios de las redes sociales de Twtter y Facebook, debido a una falla que presentan ambos portales.

Los sitios fueron objeto de un ataque del dipo DDOS (Distribuited Denial Of Service Attack, por sus siglas en inglés) o Ataque de Denegación del Servicio Distribuido.

El ataque, que inicio alrededor de las 8:00 horas y concluyó a las 9:55, es considerado uno de los más serios registrados hasta ahora por Twitter y ha evidenciado la popularidad de la red al interrumpir el servicio a millones de usuarios.

Algunos blogueros informan que Twitter alertó del ataque a los usuarios y que minutos antes de salir de la red publicó que se estaban defiendiendo del ataque y que esperaban regresar el servicio en breve.

Desde entonces se ha paralizado el servicio y funciona de manera intermitente en ambos casos.

Con este tipo de ataques, los “hackers” suelen ralentizar o anular el acceso a una red con la técnica de sobrecargar el tráfico hacia ella hasta saturar su ancho de banda.

“En la que de otra forma sería una feliz mañana de jueves, Twitter es objeto de un ataque de denegación de servicio” , reconocía también el responsable ejecutivo de la red, Biz Stone, en otro blog de la red.

“Ataques como estos son maliciosos esfuerzos orquestados para desarticular y deshabilitar servicios como los de la banca online, sistemas de pago con tarjeta y en este caso Twitter. Ahora nos estamos defendiendo de este ataque e iremos actualizando nuestro blog y más tarde investigaremos”.

PCMag.com, entre otros medios de comunicación electrónicos, también informó hoy que hacia la misma hora se registraron problemas de acceso aFacebook, a lo que la red social contestó a través de un comunicado que está investigando lo ocurrido

Tech-days 2009 en tu ciudad

Arranco la gira para desarrolladores y profesionales de tecnología ya
arranco, participa y podrás aprende de las últimas tecnologías y
tendrás la oportunidad de platicar con expertos en la plataforma de
Microsoft México que te podrán apoyar con tus dudas y/o platicar
aspectos de negocio.

Mañana sera en Cancun

Ciudad

Fecha

Desarrolladores

Profesionales de Infraestructura

Diseñadores Web

Cancún

6 de Agosto

Regístrate

Regístrate

Regístrate

Fiesta Americana Condesa

Salón Gran Península


Blvd. Kukulcán Km. 16.5

Cancun

Quintana Roo

Mexico