Nuevo capítulo de la newsletter semanal sobre ciberseguridad, centrada en las últimas noticias que afectan directamente a usuarios, autónomos, pymes y grandes empresas.
Nuevo parche de WP, nuevos ataques
La versión 4.7.3 de WordPress se ha publiado ya esta semana pasada, y para variar, soluciona un conjunto de ataques de Cross-site scripting . A saber:
- Cross-site scripting (XSS) a través de metadatos de archivos multimedia.
- Los caracteres de control pueden engañar la validación de la URL de redireccionamiento.
- Los archivos no deseados pueden ser eliminados por los administradores utilizando la funcionalidad de eliminación de complementos.
- Cross-site scripting (XSS) a través de la URL de videos de YouTube embebidos.
- Cross-site scripting (XSS) a través de taxonomía de términos.
- Cross-site request forgery (CSRF) en Press This que deriva en el uso excesivo de los recursos del servidor.
Sobra decir que más que recomendado es altamente necesario actualizar.
Más información: http://pabloygl.es/2nmoUdb
Imagínate recibir de manera totalmente gratuita este tipo de historias directamente en tu correo.
Te envío cada lunes a las 7am un email con toda la actualidad sobre tecnología, seguridad y negocios digitales.1.400 millones de emails filtrados
Imagínate que te dedicas a enviar emails masivos (spam) a 1.400 millones de pobres usuarios, y en un backup programado te das cuenta que has expuesto toda esta base de datos.
Algo así le ha pasado a RCM (American River City Media), y la que se les va a venir encima es bien gorda (denuncias colectivas, multas multimillonarias, lo de siempre).
Más información: http://pabloygl.es/2nmjaAp
Los markets aledaños
El que una aplicación muy conocida no esté en un market o mercado específico es carne de cañon para la industria del crimen.
¿El último afectado? La APK para Android de Facebook Lite, que en el mercado Chino no está disponible (ya sabes cómo es Xi con eso de dejar a empresas no asiáticas operar en su país), y que ha sido utilizada como excusa para infectar millones de dispositivos.
Más información: http://pabloygl.es/2nmnwY9
Apache Struts es vulnerable
No hay tecnología que se libre de la quema. Estos últimos días le tocaba a Apache Struts, una herramienta muy socorrida en el mundo del desarrollo web que suele ser utilizada por entidades bancarias, agencias gubernamentales y grandes corporaciones.
Básicamente estamos ante un ataque de escalada de privilegios (se entra, se aprovecha una vulnerabilidad en un sistema para apoderarse del resto), con idea de instalar un gestor remoto de comandos y empezar a hacer maldades.
Eso sí, parece que las versiones 2.3.32 y 2.5.10.1 están libres de pecado.
Más información: http://pabloygl.es/2nmaGcm
Google sigue interesada en sacar los colores a la competencia
El equipo de Project Zero, esa parte de Alphabet dirigida a encontrar problemas y exponerlos a la comunidad dando 90 días a la empresa oportuna para que lo solucionen, sigue haciendo de las suyas.
En la semana pasada exponían dos problemas gordos en navegadores de Microsoft.
Y me preungo, como Bruce, si les está resultando más fácil ver la paja en el ojo ajeno que en la suya.
Más información: http://pabloygl.es/2nmccuX
Y hasta aquí puedo contar.
Ánimo, que ya queda menos :).
