Desde Daboweb os recomendamos la descarga y visualización de Foto DNG, revista electrónica gratuita sobre fotografía, dirigida a todos los aficionados y profesionales de este ámbito. Una publicación que está orientada a usuarios que vengan del analógico como del digital. El formato es como siempre en pdf, y están licenciada bajo Creative Commons.

El índice de contenidos de este número 43 es el siguiente:

• Redacción (Página 2).

• Indice (Página 3).

• Novedades (Página 4).

• Fotografía de Manuel Vilches (Página 20).

• Jonás Luna en FotoImaginaria (Página 40).

• XV Edición Fotocam (Página 61).

• REQUIEM POR LA NIEBLA (Página 70).

• Parque Rural de Anaga (Página 76).

• Tomas publicitarias con luz ambiente (Página 86).

• Noticias Eventos (Página 90).

• Libros (Página 102).

• Grupo Foto DNG en Flickr (Página 104).

• Cuarto Concurso Fotográfico Foto DNG (Página 112)

Acceso a la web de Foto DNG.

Entradas relacionadas

• Revista gratuita fotográfica Foto DNG nº 41, Enero de 2010 (0)
• Revista gratuita fotográfica Foto DNG nº 40, Diciembre de 2009 (0)
• Revista gratuita fotográfica Foto DNG 42, Febrero de 2010 (0)
• Revista gratuita fotográfica Foto DNG, Junio 2009, descarga disponible (0)
• Revista gratuita fotográfica Foto DNG nº 39, Noviembre de 2009 (0)

Como muchos sabréis, CVE, abreviatura de Common Vulnerabilities and Exposures (Vulnerabilidades y amenazas comunes) es un código único que se asigna a una vulnerabilidad con el identificador CVE-año-número, fue creado por la Corporación MITRE y es el sistema estándar para estas cuestiones.

En el Ubuntu CVE Tracker podréis estar informados del estado de la seguridad de Ubuntu con el habitual sistema de clasificación de colores, rojo sería alto o crítico, naranja nivel medio y amarillo un riesgo bajo. Si en la lista aparece un asterisco, significa que ese paquete en concreto es mantenido por Canonical (propietaria de Ubuntu) en lugar de terceros.

Fuente > Jeff Jones Security Blog. (ENG).

Entradas relacionadas

• Publicado en Daboweb, Diciembre de 2009 (0)
• Mozilla Thunderbird 2.0.0.22 solventa múltiples vulnerabilidades. (0)
• La versión 3.0 del iPhone OS solventa ¡46 vulnerabilidades! (0)
• Dos vulnerabilidades solventadas en la versión 4.261 de Movable Type. (0)
• XSS (Cross-site scripting) en Webmin y Usermin. (0)

Safari 4.0.5 está disponible para Mac OS X S.Leopard, Leopard, Tiger, Windows Vista y 7 y dado el impacto de los bugs que se han parcheado en esta versión, es más que aconsejable su inmediata actualización. La gran mayoría de fallos corregidos previenen la ejecución arbitraria de código en el sistema afectado, corrupciones de memoria en el navegador o un cierre inesperado.

Además de lo dicho, se mejoran otros aspectos del navegador como pueden ser el funcionamiento de “Top Sites” o la configuración de Safari con algunos routers Linksys.

Descarga de Safari 4.0.5.

(Debajo toda la lista de vulnerabilidades corregidas según la info de la lista de correo de “Apple Security”; (ENG)

APPLE-SA-2010-03-11-1 Safari 4.0.5

Safari 4.0.5 is now available and addresses the following:

ColorSync
CVE-ID:  CVE-2010-0040
Available for:  Windows 7, Vista, XP
Impact:  Viewing a maliciously crafted image with an embedded color
profile may lead to an unexpected application termination or
arbitrary code execution
Description:  An integer overflow, that could result in a heap buffer
overflow, exists in the handling of images with an embedded color
profile. Opening a maliciously crafted image with an embedded color
profile may lead to an unexpected application termination or
arbitrary code execution. The issue is addressed by performing
additional validation of color profiles. This issue does not affect
Mac OS X systems. Credit to Sebastien Renaud of VUPEN Vulnerability
Research Team for reporting this issue.

ImageIO
CVE-ID:  CVE-2009-2285
Available for:  Windows 7, Vista, XP
Impact:  Viewing a maliciously crafted TIFF image may lead to an
unexpected application termination or arbitrary code execution
Description:  A buffer underflow exists in ImageIO’s handling of TIFF
images. Viewing a maliciously crafted TIFF image may lead to an
unexpected application termination or arbitrary code execution. This
issue is addressed through improved bounds checking. For Mac OS X
v10.6 systems, this issue is addressed in Mac OS X v10.6.2. For Mac
OS X v10.5 systems, this issue is addressed in Security Update
2010-001.

ImageIO
CVE-ID:  CVE-2010-0041
Available for:  Windows 7, Vista, XP
Impact:  Visiting a maliciously crafted website may result in sending
data from Safari’s memory to the website
Description:  An uninitialized memory access issue exists in
ImageIO’s handling of BMP images. Visiting a maliciously crafted
website may result in sending data from Safari’s memory to the
website. This issue is addressed through improved memory handling and
additional validation of BMP images. Credit to Matthew ‘j00ru’
Jurczyk of Hispasec for reporting this issue.

ImageIO
CVE-ID:  CVE-2010-0042
Available for:  Windows 7, Vista, XP
Impact:  Visiting a maliciously crafted website may result in sending
data from Safari’s memory to the website
Description:  An uninitialized memory access issue exists in
ImageIO’s handling of TIFF images. Visiting a maliciously crafted
website may result in sending data from Safari’s memory to the
website. This issue is addressed through improved memory handling and
additional validation of TIFF images. Credit to Matthew ‘j00ru’
Jurczyk of Hispasec for reporting this issue.

ImageIO
CVE-ID:  CVE-2010-0043
Available for:  Windows 7, Vista, XP
Impact:  Processing a maliciously crafted TIFF image may lead to an
unexpected application termination or arbitrary code execution
Description:  A memory corruption issue exists in the handling of
TIFF images. Processing a maliciously crafted TIFF image may lead to
an unexpected application termination or arbitrary code execution.
This issue is addressed through improved memory handling. Credit to
Gus Mueller of Flying Meat for reporting this issue.

PubSub
CVE-ID:  CVE-2010-0044
Available for:  Mac OS X v10.4.11, Mac OS X Server v10.4.11,
Mac OS X v10.5.8, Mac OS X Server v10.5.8,
Mac OS X v10.6.1 or later, Mac OS X Server v10.6.1 or later,
Windows 7, Vista, XP
Impact:  Visiting or updating a feed may result in a cookie being
set, even if Safari is configured to block cookies
Description:  An implementation issue exists in the handling of
cookies set by RSS and Atom feeds. Visiting or updating a feed may
result in a cookie being set, even if Safari is configured to block
cookies via the “Accept Cookies” preference. This update addresses
the issue by respecting the preference while updating or viewing
feeds.

Safari
CVE-ID:  CVE-2010-0045
Available for:  Windows 7, Vista, XP
Impact:  Visiting a maliciously crafted website may lead to arbitrary
code execution
Description:  An issue in Safari’s handling of external URL schemes
may cause a local file to be opened in response to a URL encountered
on a web page. Visiting a maliciously crafted website may lead to
arbitrary code execution. This update addresses the issue through
improved validation of external URLs. This issue does not affect Mac
OS X systems. Credit to Billy Rios and Microsoft Vulnerability
Research (MSVR) for reporting this issue.

WebKit
CVE-ID:  CVE-2010-0046
Available for:  Mac OS X v10.4.11, Mac OS X Server v10.4.11,
Mac OS X v10.5.8, Mac OS X Server v10.5.8,
Mac OS X v10.6.1 or later, Mac OS X Server v10.6.1 or later,
Windows 7, Vista, XP
Impact:  Visiting a maliciously crafted website may lead to an
unexpected application termination or arbitrary code execution
Description:  A memory corruption issue exists in WebKit’s handling
of CSS format() arguments. Visiting a maliciously crafted website may
lead to an unexpected application termination or arbitrary code
execution. This issue is addressed through improved handling of CSS
format() arguments. Credit to Robert Swiecki of Google Inc. for
reporting this issue.

WebKit
CVE-ID:  CVE-2010-0047
Available for:  Mac OS X v10.4.11, Mac OS X Server v10.4.11,
Mac OS X v10.5.8, Mac OS X Server v10.5.8,
Mac OS X v10.6.1 or later, Mac OS X Server v10.6.1 or later,
Windows 7, Vista, XP
Impact:  Visiting a maliciously crafted website may lead to an
unexpected application termination or arbitrary code execution
Description:  A use-after-free issue exists in the handling of HTML
object element fallback content. Visiting a maliciously crafted
website may lead to an unexpected application termination or
arbitrary code execution. This issue is addressed through improved
memory reference tracking. Credit to wushi of team509, working with
TippingPoint’s Zero Day Initiative for reporting this issue.

WebKit
CVE-ID:  CVE-2010-0048
Available for:  Mac OS X v10.4.11, Mac OS X Server v10.4.11,
Mac OS X v10.5.8, Mac OS X Server v10.5.8,
Mac OS X v10.6.1 or later, Mac OS X Server v10.6.1 or later,
Windows 7, Vista, XP
Impact:  Visiting a maliciously crafted website may lead to an
unexpected application termination or arbitrary code execution
Description:  A use-after-free issue exists in WebKit’s parsing of
XML documents. Visiting a maliciously crafted website may lead to an
unexpected application termination or arbitrary code execution. This
issue is addressed through improved memory reference tracking.

Webkit
CVE-ID:  CVE-2010-0049
Available for:  Mac OS X v10.4.11, Mac OS X Server v10.4.11,
Mac OS X v10.5.8, Mac OS X Server v10.5.8,
Mac OS X v10.6.1 or later, Mac OS X Server v10.6.1 or later,
Windows 7, Vista, XP
Impact:  Visiting a maliciously crafted website may lead to an
unexpected application termination or arbitrary code execution
Description:  A use-after-free issue exists in the handling of HTML
elements containing right-to-left displayed text. Visiting a
maliciously crafted website may lead to an unexpected application
termination or arbitrary code execution. This issue is addressed
through improved memory reference tracking. Credit to wushi&Z of
team509 for reporting this issue.

WebKit
CVE-ID:  CVE-2010-0050
Available for:  Mac OS X v10.4.11, Mac OS X Server v10.4.11,
Mac OS X v10.5.8, Mac OS X Server v10.5.8,
Mac OS X v10.6.1 or later, Mac OS X Server v10.6.1 or later,
Windows 7, Vista, XP
Impact:  Visiting a maliciously crafted website may lead to an
unexpected application termination or arbitrary code execution
Description:  A use-after-free issue exists in WebKit’s handling of
incorrectly nested HTML tags. Visiting a maliciously crafted website
may lead to an unexpected application termination or arbitrary code
execution. This issue is addressed through improved memory reference
tracking. Credit to wushi&Z of team509 working with TippingPoint’s
Zero Day Initiative for reporting this issue.

WebKit
CVE-ID:  CVE-2010-0051
Available for:  Mac OS X v10.4.11, Mac OS X Server v10.4.11,
Mac OS X v10.5.8, Mac OS X Server v10.5.8,
Mac OS X v10.6.1 or later, Mac OS X Server v10.6.1 or later,
Windows 7, Vista, XP
Impact:  Visiting a maliciously crafted website may lead to the
disclosure of sensitive information
Description:  An implementation issue exists in WebKit’s handling of
cross-origin stylesheet requests. Visiting a maliciously crafted
website may disclose the content of protected resources on another
website. This update addresses the issue by performing additional
validation on stylesheets that are loaded during a cross-origin
request.

WebKit
CVE-ID:  CVE-2010-0052
Available for:  Mac OS X v10.4.11, Mac OS X Server v10.4.11,
Mac OS X v10.5.8, Mac OS X Server v10.5.8,
Mac OS X v10.6.1 or later, Mac OS X Server v10.6.1 or later,
Windows 7, Vista, XP
Impact:  Visiting a maliciously crafted website may lead to an
unexpected application termination or arbitrary code execution
Description:  A use-after-free issue exists in WebKit’s handling of
callbacks for HTML elements. Visiting a maliciously crafted website
may lead to an unexpected application termination or arbitrary code
execution. This issue is addressed through improved memory reference
tracking. Credit: Apple.

WebKit
CVE-ID:  CVE-2010-0053
Available for:  Mac OS X v10.4.11, Mac OS X Server v10.4.11,
Mac OS X v10.5.8, Mac OS X Server v10.5.8,
Mac OS X v10.6.1 or later, Mac OS X Server v10.6.1 or later,
Windows 7, Vista, XP
Impact:  Visiting a maliciously crafted website may lead to an
unexpected application termination or arbitrary code execution
Description:  A use-after-free issue exists in the rendering of
content with a CSS display property set to ‘run-in’. Visiting a
maliciously crafted website may lead to an unexpected application
termination or arbitrary code execution. This issue is addressed
through improved memory reference tracking. Credit to wushi of
team509, working with TippingPoint’s Zero Day Initiative for
reporting this issue.

WebKit
CVE-ID:  CVE-2010-0054
Available for:  Mac OS X v10.4.11, Mac OS X Server v10.4.11,
Mac OS X v10.5.8, Mac OS X Server v10.5.8,
Mac OS X v10.6.1 or later, Mac OS X Server v10.6.1 or later,
Windows 7, Vista, XP
Impact:  Visiting a maliciously crafted website may lead to an
unexpected application termination or arbitrary code execution
Description:  A use-after-free issue exists in WebKit’s handling of
HTML image elements. Visiting a maliciously crafted website may lead
to an unexpected application termination or arbitrary code execution.
This issue is addressed through improved memory reference tracking.
Credit: Apple.

Safari 4.0.5 is available via the Apple Software Update application,
or Apple’s Safari download site at:
http://www.apple.com/safari/download/

Safari for Mac OS X v10.6.1 to v10.6.3
The download file is named: Safari4.0.5SnowLeopard.dmg
Its SHA-1 digest is: b1b0c3510acf7144a6358b6e5667fb

43aaa8a6b9

Safari for Mac OS X v10.5.7
The download file is named: Safari4.0.5Leopard.dmg
Its SHA-1 digest is: 1eccb97a78bac15277702642ed1330ad359205f7

Safari for Mac OS X v10.4.11
The download file is named: Safari4.0.5Tiger.dmg
Its SHA-1 digest is: 9f042b71a08d9c4be7f2dffa3de46622722893e4

Safari for Windows 7, Vista or XP
The download file is named: SafariSetup.exe
Its SHA-1 digest is: 8715db0cee7db82a91bb408e500d255c5d0cfe7c

Safari for Windows 7, Vista or XP from the Microsoft Choice Screen
The download file is named: Safari_Setup.exe
Its SHA-1 digest is: a25377f0febdb702dff1aac5475b113670fd0444

Safari+QuickTime for Windows 7, Vista or XP
The file is named: SafariQuickTimeSetup.exe
Its SHA-1 digest is: 0109adc77d5814f39bb47348df1d3280f30fd397

Information will also be posted to the Apple Security Updates
web site: http://support.apple.com/kb/HT1222

Entradas relacionadas

• Vulnerabilidades en navegador web Apple Safari. Nueva versión 3.2.2 para Windows Vista y XP (1)
• Navegador web Safari 4.0.4, actualización de seguridad (0)
• Vulnerabilidades y problemas solventados en iTunes 9.0.1 (0)
• Vulnerabilidades en Safari, nueva versión que las solventa (4.0.3) (0)
• La versión 3.0 del iPhone OS solventa ¡46 vulnerabilidades! (0)

En el caso de que quieras descargar alguno de los números anteriores puedes hacerlo desde la sección “archivo“, allí encontraras la ilustración de la portada y el un índice de contenidos del número elegido.

A continuación, la lista de temas de Febrero;

- Writing a secure SOAP client with PHP: Field report from a real-world project
- How virtualized browsing shields against web-based attacks
- Review: 1Password 3
- Preparing a strategy for application vulnerability detection
- Threats 2.0: A glimpse into the near future
- Preventing malicious documents from compromising Windows machines
- Balancing productivity and security in a mixed environment
- AES and 3DES comparison analysis
- OSSEC: An introduction to open source log and event management
- Secure and differentiated access in enterprise wireless networks…

Descarga de (IN)SECURE Magazine nº24.

Entradas relacionadas

• Revista electrónica de seguridad (IN)SECURE Magazine, número 21 (0)
• (IN)SECURE Magazine número 24, descarga disponible. (0)
• [IN]SECURE Magazine nº 23, Noviembre 2009, ya disponible. (0)
• Virus Conficker o el precio de no actualizar el sistema operativo (1)
• Revista gratuita fotográfica Foto DNG nº 41, Enero de 2010 (0)

En esta ocasión, se compone de dos (2) actualizaciones de seguridad,  ambas catalogadas como importantes y que vienen a solventar diversas vulnerabilidades, que podrían permitir la Ejecución remota de código en los sistemas no actualizados.

Las actualizaciones se encuentran disponibles desde el propio update automático de Windows o bien, mediante su descarga manual y posterior instalación. Como siempre, recomendamos actualizar los sistemas a la mayor brevedad posible.

Importantes:

• Boletin de seguridad MS10-016: Una vulnerabilidad en Windows Movie Maker podría permitir la ejecución remota de código (975561).

• Boletin de seguridad MS10-017: Vulnerabilidades en Microsoft Office Excel podrían permitir la ejecución remota de código (980150).

También y como cada mes, está disponible una nueva actualización del programa de eliminación de software malintencionado de Microsoft para sistemas Windows Xp, Windows 2000, Windows 2003 Server y Windows Vista.

Esta herramienta no es un sustituto del antivirus, busca infecciones causadas por software malintencionado específico que actualmente existe (como Blaster, Sasser y Mydoom) en equipos con Windows XP, Windows 2000, Windows Server 2003 y Windows Vista instalado, y ayuda a eliminarlas.

# Boletín y descarga de actualizaciones de Marzo 2010.

Entradas relacionadas

• Microsoft Update Octubre 2008 (0)
• Actualizaciones de Microsoft Mayo 2009 (0)
• Actualizaciones de Microsoft Junio 2009 (0)
• Actualizaciones de Microsoft Diciembre 2008 (0)
• Microsoft update noviembre 2008 (0)

Aparte de las nuevas versiones existen dos parches, una para cada rama de desarrollo para los que no quieran o no estén interesados en actualizar, aunque lo recomendable siempre es pasar a la siguiente versión y evitar los parches en la medida de lo posible.

Recordamos que esta nueva actualización no pisa los archivos robots.txt y settings.php (el que va por defecto) como viene siendo habitual en las últimas versiones/actualizaciones; aún así desde aquí recomendamos hacer copia de estos archivos, de la base de datos y de cualquier archivo importante por lo que pudiera pasar.

En cambio el .htaccess sí ha vuelto a cambiar (más info, eng). Desde la web de Drupal recomiendan encarecidamente la actualización completa a esta última versión.

• Anuncio oficial.
• Descarga versión 6.16
• Descarga versión 5.22
• Parche versión 6.15
• Parche versión 5.21

Entradas relacionadas

• Drupal, actualizaciones de seguridad, versiones 6.15 y 5.21 (0)
• Drupal, actualizaciones de seguridad, versiones 6.14 y 5.20 (0)
• Drupal, actualizaciones de seguridad, versiones 6.13 y 5.19 (0)
• Drupal, actualizaciones de seguridad, versiones 6.12 y 5.18 (0)
• Drupal, actualizaciones de seguridad, versiones 6.9 y 5.15 (0)

Además de comentar que el fallo surgió una semana después del lanzamiento de la versión 3.0.7 y que no cumplieron alguna promesa del pasado, se insta a actualizar con urgencia a los que instalaron esa versión dado que hay un bug crítico en el manejo de feeds que bajo determinadas circunstancias podría comprometer seriamente la seguridad del CMS.

Además, para quienes no quieran instalar esta nueva versión, ponen a nuestra disposición el código a insertar para solventar la vulnerabilidad;

El problema se soluciona cambiando sólo una línea en feed.php, (línea 525)

Buscar:

$forum_ids = array_keys($auth->acl_getf('f_read'));

Reemplazar por:

$forum_ids = array_keys($auth->acl_getf('f_read', true));

Más info | Descarga de phpBB versión 3.0.7-PL1

Entradas relacionadas

• Foros phpBB, versión 3.0.4 para descarga. (0)
• Publicado en Daboweb, Noviembre de 2009 (0)
• Foros phpBB 3.0.3, descarga disponible. Urge actualizar (0)
• Fallo de seguridad en PHP 5.2.7 y nueva versión 5.2.8 (0)
• Ataque a phpBB.com y cuentas de usuario de sus foros comprometidas (2)

Se da un repaso a herramientas creadas para fortalecer el núcleo (linux) con parches que pueden protegerte de ataques por desbordamiento del búfer, denegación de servicio y otros muy comunes. También se revisan servicios innecesarios o que puedan ser fuente de problemas y cómo desactivarlos, implementación de políticas de seguridad en el sistema, etc, etc.

El contenido se ofrece en 5 partes para una mejor comprensión.

Como blindar nuestro sistema Linux

• Blindaje de nuestro sistema (Parte I)
• Blindaje de nuestro sistema (Parte II)
• Blindaje de nuestro sistema (Parte III)
• Blindaje de nuestro sistema (Parte IV)
• Blindaje de nuestro sistema (Parte V)

Como podréis comprobar, los consejos y medidas a adoptar, además de mucha lógica, están escritos de un modo comprensible por todos. Recordad que en nuestro subforo de GNU/Linux, nos tenéis para echaros un cable -;)

Entradas relacionadas

• Servicios web y ataques a las cuenta de usuario ¿tanto cuesta avisar? (0)
• Serias vulnerabilidades en el navegador web Debian Iceweasel (0)
• (Debian GNU/Linux) Denegación de servicio y ejecución de código en MySQL (0)
• XSS (Cross-site scripting) en Webmin y Usermin. (0)
• Vulnerabilidades en servidor web Apache (APR y APR-util) (0)