Raúl Ordóñez · @jasp

Cada vez son más las empresas que quieren acercarse a los bloggers porque entienden su capacidad de influencia sobre multitud de personas. Es el caso de la compañía Panda, que tal y como os contábamos, ha organizado un encuentro sobre seguridad informática que se celebrará en Madrid el próximo 3 de febrero y que está especialmente dirigido a aquellos autores que escriban en bitácoras de temática tecnológica.

Parece que ya son más de 60 los bloggers inscritos en este evento donde también intervendrá Bruce Schneier, toda una eminencia en el sector. La asistencia es gratuita, previo registro en la bitácora oficial que ya está en marcha.

Enlace | First Security Blogger Submit 2009

Eventos, panda, seguridad

José Luis Perdomo .- Sígueme en Twitter

Aunque no es un bug de la última versión de Wordpress, lo compartimos porque mucha gente puede estar desactualizada y es un problema serio de seguridad. Jeremias Reith ha notificado en al Bugtraq un fallo de seguridad que permite a un atacante acceder a un blog sin identificación alguna.

Producto afectado: WordPress Versión(es): <= 2.6.3 Credito: Jeremias Reith

Wordpress está afectado por una vulnerabilidad de Cross Site Scripting, un atacante puede realizar un ataque XSS que le permita acceder a las cookies del usuario objetivo para obtener privilegios de administrador.

Las versiones anteriores a WordPress 2.6.3 fallan al sanear correctamente la variable de cabecera del Host cuadno generan feeds RSS y son, en consecuencia, vulnerables a ataques XSS.

Se ha comprobado que el problema sólo pertenece a esa versión y que en versiones posteriores ya está solucionado. Al ser un fallo grave de seguridad se recomienda actualizar a Wordpress 2.6.5 o posterior.

Vía | AyudaWordpress

bug, seguridad, wordpress

Raúl Ordóñez · @jasp

Angel María nos pone en alerta ante posibles ataques de hackers que tengan acceso a cuentas de GMail por una vulneravilidad del sistema. En Incubaweb lo explican perfectamente y nos indican cómo prevenir:

[...] La historia de David Airey es alucinante, por las penurias que pasó, por la insensatez de todo el proceso y por el fallo de Google GMail que permitió lo que le pasó.

A modo de resumen, el pobre de David se fue de vacaciones y a la vuelta se encontró con su dominio (www.davidairey.com) había sido transferido a otro usuario con el proceso habitual: solicitud de transferencia, entrega del AUTH-CODE, confirmación del “titular” por email. Con la salvedad de que el titular real, David, no se enteró de este proceso. Para mas INRI, el nuevo “titular” pretendía cobrar a DAvid por recuperar SU dominio. Tienes la historia completa en su (nuevo) blog.

Y todo esto fue posible debido a un fallo de Google GMail que explota la técnica de HiJack. El proceso pasa por visitar la página de GMail, visitar una página que inyecta el exploit y agrega una puerta falsa a la cuenta de GMail invadida. A partir de ahí ya puedes acceder a ella como si fuera tuya, y aprovechar la ausencia del titular para hacer y deshacer a tus anchas. Sin necesidad de seguir entrando, solo con crear un filtro de reenvío ya tenía la solución a su “robo” [...]

Leer completo | Fallo en GMail permite robo de dominio a un blogger

bloggers, gmail, ribo, seguridad

Luis Sacristán · @luis

Otro artículo más sobre WordPress que nos encontramos en aNieto2K, blog que recomiendo seguir si eres usuario de WordPress, ya que Andrés nos ofrece gran cantidad de posts sobre este tema.

Si eres de los usuarios que han actualizado a Wordpress 2.5, es muy probable que no tengas activada la opción SECRET_KEY del fichero wp-config.php.

Esta opción, que la vimos entre las posibilidades de wp-config.php, se encarga de añadir una semilla con la que las cookies usadas para identificarnos como usuario logueado sean más complejas y por consecuente más seguras. Su implementación es realmente sencilla, así que no está de más hacerlo y asegurarnos un poco más.

Añade un grado más de seguridad a tu Wordpress 2.5

configuracion, seguridad, wordpress

Luis Sacristán · @luis

Aunque pueda parecer muy técnico, todos los bloggers debemos tener en cuenta los consejos que nos da Blogpocket para hacer nuestro blog más seguro:

a) Tener el blog siempre en la última versión. Pueden seguir nuestras instrucciones, si tienen dudas. Y para mantenerse al tanto del estado del desarrollo de WP, uno se puede suscribir a WordPress Development Blog.
b) Cambiar, de vez en cuando, la password, tanto del login al panel de administración como la del FTP. Lo medianamente ideal es utilizar una contraseña de letras y números de seis o más caracteres en total.

SecurityFocus SQL Injection Bogus

Vía / Blogpocket

seguridad, wordpress