Seguridad
Supongo que a estas alturas muchos hemos probado ya la nueva versión del navegador Firefox (Iceweasel en Debian), y hemos podido observar las mejoras, al menos, en el uso de cpu y RAM.
Sin embargo, hay que tener en cuenta que es una versión recién liberada y, estando en el campo de los navegadores, hay que gastar especial cuidado en los posibles problemas de seguridad que tenga (y que irán apareciendo ya). Por poner un ejemplo, ayer leía en Hispasec
"En la actualidad, las principales vulnerabilidades y técnicas de ataque a
redes inalámbricas se encuentran ampliamente difundidas, existiendo incluso
herramientas que permiten a un usuario con pocos conocimientos técnicos
obtener acceso ilícito a redes vulnerables. Este tipo de ataques aprovechan
vulnerabilidades en los mecanismos de cifrado empleados en la comunicación
con el punto de acceso (Access Point – AP), que permiten descifrar y
modificar los paquetes en tránsito y, en algunos casos, incluso recuperar
la clave de acceso a esa red inalámbrica. En este esquema, el atacante es
el usuario final, mientras que la víctima es el punto de acceso/red
inalámbrica.
Pero ¿Qué ocurriría si fuese el punto de acceso quien atacase al usuario
final?
En efecto, están surgiendo nuevas tendencias de ataques en redes
inalámbricas, donde el atacante establece un punto de acceso malicioso
Los responsables del equipo de seguridad de Debian acaban de anunciar que todas las claves y certificados generados por OpenSSL en Debian desde la versión 0.9.8c-1 son vulnerables debido a que el generador de números pseudoaleatorios es predecible (CVE-2008-0166).
La versión 0.9.8c-1 del paquete openssl entró en unstable el 17-09-2006, y después se propagó a testing y a la actual stable (etch). Las distribuciones basadas en Debian son probablemente también vulnerables. Debian Sarge no está afectada porque tiene OpenSSL 0.9.7.
Se insta a todos los usuarios del paquete que actualicen a la versión corregida correspondiente (se incluyen enlaces en el anuncio en la lista debian-security-announce) y se creen nuevas claves en sustitución de las antiguas. Dado que las claves DSA se fundamentan en un número aleatorio secreto, todas las claves de este tipo deben considerarse automáticamente comprometidas.
Cuando necesitamos conectarnos a nuestro servidor por ssh y no disponemos de una ip fija desde el cliente no podemos hacer una denegación de servicio por ip, con lo que hay que buscar otras maneras de hacerlo. Aquí os paso una receta que he visto en Debian Administration para hacerlo con dos lineas de iptables:
iptables -I INPUT -p tcp --dport 22 -i eth0 -m state --state NEW -m recent --set
iptables -I INPUT -p tcp --dport 22 -i eth0 -m state --state NEW -m recent --update --seconds 60 --hitcount 4 -j DROP
Con estas reglas denegarán las conexiones a partir del 4º intento continuado y dejaremos de ver esos interminables logs en auth.log
Saludos.
Se descubrieron varias vulnerabilidades en el sistema X Window, que podrían permitir la ejecución de código o denegación de servicio.
Para la distribucion estable (sarge) estos problemas se corrigieron en la versión 4.3.0.dfsg.1-14sarge2 (Faltan los binarios de esta versión para la arquitectura
Motorola 680x0).
Para la distribución inestable (sid) estos problemas se corrigieron en la versión 1:1.2.2-1 de libxfont y versión 1:1.0.2-9 de xorg-server.
Recomendamos actualizar los paquetes de XFree86.
Se descubrieron varios problemas de seguridad en Mozilla y productos derivados como Mozilla Thunderbird. Estas vulnerabilidades podrían permitir una denegación de servicio y ejecución de codigo.
Recomendamos actualizar los paquetes de Mozilla Thunderbird.
Para la distribución estable (sarge) estos problemas se corrigieron en la
versión 1.0.2-2.sarge1.0.8c.1.
Para la distribución inestable estos problemas se corrigieron en la
versión 1.5.0.7-1.
Fuente: lista debian-security-announce
Hace unos días se corrigieron unos defectos del paquete OpenSSl. Sin embargo, parece ser que introdujeron un código que podría llevar al uso de la memoria sin inicializar. Esto podría causar que la aplicación que estiviera usando la librería Openssl se colgara y se podría llegar a ejecutar un código arbitrario.
Así que nada, otra vez que hay que actualizar los paquetes libssl0.9.7 y openssl. Esta vez a la versión 0.9.7e-3sarge4.
Se descubrieron múltiples vulnerabilidades en los paquetes del software criptográfico OpenSSL que permitiría a un atacante lanzar una denegación de servicio consumiendo los recursos del sistema o interrumpiendo procesos en la maquina de la victima.
Para la distribución estable (sarge) estos problemas se corrigieron en la versión 0.9.7e-3sarge3.
Para la distribuciones inestable y testing (sid and etch respectivamente), estos problemas se corrigieron en la versión 0.9.7k-2 de las bibliotecas openssl097 y en la versión 0.9.8c-2 del paquete
openssl.
Se recomienda actualizar los paquetes de openssl. También es necesario reiniciar los servicios que utilizan bibliotecas de openssl, como la mayoría de los MTA, servidores SSH y servidores Http.
Fuente: lista debian-security-announce
Se descubrieron varios problemas de seguridad en el kernel Linux (versiones 2.4.27 y 2.6.8) que puede permitir denegación de servicio o ejecución de código arbitrario.
Recomendamos actualizar el kernel y reiniciar el sistema. Si usas un kernel compilado desde el paquete fuentes del kernel, necesitaras actualizarlo y recompilarlo para corregir estos fallos.
Más información en la lista debian-security-announce
Tavis Ormandy del equipo de seguridad de Google descubrió varias vulnerabilidades en gzip, la utilidad de compresión GNU. Estas vulnerabilidades podrían permitir la ejecución de código arbitrario.
Para la distribución estable (sarge) estos fallos fueron solucionados en la versión 1.3.5-10sarge2 y para la distribución inestable (sid) en la versión 1.3.5-15.
Recomendamos actualizar el paquete gzip.
Fuente: lista debian-security-announce
