2016-12-31

Felicidades para este 2017!

No quería dejar pasar esta oportunidad para celebrar junto a todos los lectores de este, mi pequeño espacio donde me gusta hablar (escribir) sobre lo que tanto me gusta y que es la seguridad informática.

Figura 1: Feliz 2017

Levantar una copa de sidra, agradecerles por acompañarme en este año tan intenso, de mucho trabajo y sueños cumplidos, como el lanzamiento de mi primer libro "Máxima Seguridad en WordPress" por 0xWORD, conferencias compartidas y tantas cosas más.

Brindemos por que se va un gran años pero este 2017 va a ser aún mejor si es nuestro propósito y nuestro objetivo.

Desde aquí, Cacería de Spammers, muchas gracias por su compañía, voy a seguir compartiendo mucha más información desde Jujuy - Argentina. Les envío un abrazo muy grande a la distancia!

Feliz 2017!!!


Daniel Maldonado.

2016-12-26

Backdooring CAN Bus for Remote #CarHacking por @holesec y @UnaPibaGeek

La siguiente conferencia que quería recomendar son de aquella que quedan en el recuerdo, no solamente por que está a cargo de dos grandes investigadores sino también por que llevan una línea de investigación muy interesante y de allí se puede derivar otras investigaciones más profundas.

Backdooring CAN Bus for Remote Car Hacking


Esta conferencia fue realizada el segundo día de la Ekoparty 2016, en donde Claudio Caracciolo @holesec y Sheila Berta @UnaPibaGeek demostraron como por medio de CAN y algunos gadget más pueden llegar a tomar control remoto de un auto.

En 1986, la firma alemana Bosch presentó el protocolo CAN (Controller Area Network) cuyo desarrollo, en sus inicios, se enfocó en suplir las necesidades existentes en el área de la automoción respecto de la conectividad entre los diferentes sensores y módulos de control electrónicos en los automóviles. Actualmente y desde el 2008, la mayoría de los fabricantes de vehículos implementan en ellos el protocolo CAN. Sin embargo, la seguridad es dejada de lado por tales fabricantes, y es una realidad que dicho protocolo en sí mismo no implementa contramedidas respecto de ataques que podrían afectar al comportamiento normal de los módulos operando a través del bus CAN. El presente trabajo pretende exponer el riesgo de seguridad real para los usuarios de automóviles, mediante el desarrollo de un hardware backdoor de las Naciones Unidas que utiliza el conector OBD-II para inyectar tramas en el bus CAN, las cuales están preestablecidas para alterar el comportamiento de módulos específicos (tales como el control de las luces y otros sistemas del automóvil), según las órdenes recibidas remotamente por un atacante.


Saludos!

2016-12-24

Feliz Navidad 2016.

Muchas gracias a todos y cada uno de ustedes que en estos 5 años nos acompañaron en Cacería de Spammers. Simplemente desearles un buen encuentro junto a sus familias y amigos.


Feliz Navidad! y un gran abrazo a la distancia de mi parte!

Happy Hacking.

2016-12-13

#Hackadata Jujuy 2016

Este Viernes 16 y Sábado 17 de Diciembre, los invito al primer #Hackadata Jujuy 2016 que se va a llevar adelante en el centro "Infinito por Descubrir", allí los chicos que organizan este evento me invitaron para dar una charla sobre "Seguridad y Hacking en la Nube". Además se va a llevar adelante un Hackaton y varias actividades más junto a un gran amigo como Emiliano Piscitelli.

Un espacio colaborativo para desarrollar y proveer herramientas y soluciones tecnológicas innovadoras que permitan que ONGs, gobiernos, emprendedores sociales y privados y demás organismos de cooperación mejoren su desempeño en sus respectivas áreas de trabajo, optimizando sus capacidades.

#Hackadata Jujuy 2016


Figura 1: #Hackadata Jujuy 2016

Cronograma Actividades

Viernes

14:00 a 14:30 Check In - Acreditaciones

14:30 a 15:00 Presentación y Apertura del Hackadata

15:00 a 16:00 Seguridad y Hacking en la Nube Daniel Maldonado - Cacería de Spammers

Los servicios en la nube son tan conocidos como indispensables en las empresas de hoy, con el objetivo de lograr una rápida escalabilidad y disponibilidad de los sistemas de información y en los servicios que éstos brindan.Sin embargo, en el mundo de la seguridad informática se abren nuevos riesgos, peligros y desafíos.Esta charla tiene el objetivo de cubrir los aspectos fundamentales y básicos sobre el Cloud Computing, a la hora de contratar y posteriormente desplegar servicios webs en la nube, mostrando los diferentes riesgos que sufren los servidores y sus posibles vectores de ataques, dejando un marco introductorios de los servicios de Cloud actuales y una introducción a la Seguridad Informática aplicada a los sistemas web.

16:00 a 18:00 Una vida para construir una marca y solo 5 minutos para perderla Emiliano Piscitelli - VHGroup

Las empresas invierten mucho dinero, tiempo y por sobre todo esfuerzo en construir una marca, para ello cuidan cada detalle del producto o servicio que presten, como así también dedican inversiones en marketing y publicidad para posicionarse dentro del mercado. En lo que a seguridad respecta, muchas veces se invierte dinero en cuidar algunos activos, ya sea contratando guardias, instalando cámaras de seguridad, controles de acceso, custodiando los productos, etc. Pero generalmente no se le presta mayor importancia a los activos más importante que puede tener cualquier empresa: "Las Personas y La Información". Por “prestar mayor importancia” no nos referimos sólo a capacitaciones o al resguardo de los datos (Backups) sino a mucho más que eso. El objetivo de esta charla por un lado es mostrar cuán vulnerable puede ser una empresa y cuán expuesta puede estar nuestra información, pudiendo solo en algunos minutos perder esa marca que tanto costó construir y en consecuencia mucho dinero también, y por otro demostrar que al menos aplicando unas pocas medidas podemos reducir estos riesgos considerablemente

Sábado

08:30 a 09:00 Check In

09:00 a 9:30

  • Charla Introductoria Hackathon
  • Presentación Desafío
  • Presentación del Jurado
  • Presentación de la plataforma Hackdash

09:30 a 17:30 Hackathon

17:30 a 18:00 Entrega de Premios

Desafío Hackadata

Problemática: Dada la creciente necesidad de hacer transparente la información a los ciudadanos, se pone a disposición de la comunidad las ordenanzas municipales de manera digital y uso libre siendo ésta información pública.

Desafío: Desarrollar soluciones innovadoras para hacer llegar información de interés para la sociedad, de manera ágil, masiva y útil, estableciendo canales de consulta y participativos entre los usuarios y el Concejo Deliberante de San Salvador de Jujuy.

Lineamientos:

  • Multiple plataforma.
  • Diseño Atractivo.
  • Orientado al Ciudadano, permita la participación, como por ejemplo, un comentario sobre una ordenanza en particular.
  • El contenido de las ordenanzas tiene que ser accesible y amigable con el usuario.
  • Durante el Hackadata Jujuy 2016, los participantes podrán hacerlo individualmente o formar equipo de miembros con un máximo de CINCO (5) personas


Premios

Los premios serán entregados por el CoLaboratorio de Innovación Tecnológica, y consistirán en lo siguiente:

  • 1er premio: Raspberry pi 3
  • 2do premio: Tablet
  • 3er premio: Libro de programación "Aprendiendo C++ Para Linux En 21 Dias"

"Además, no tienes que tener miedo a asistir a un hackathon por no tener conocimientos de programación, pues siempre se puede echar una mano en aspectos de diseño gráfico, documentación, corrección de textos, búsqueda de errores…"

Registra tu entrada Gratis!

https://www.eventbrite.com.ar/e/hackdata-jujuy-2016-pensando-soluciones-de-manera-colaborativa-tickets-30168975217

2016-12-12

Buscar páginas de administración con #BLACKBOx

BLACKBOx es una interesante herramienta de auditorías para la web, con algunos módulos para activar y utilizar en la búsqueda y explotación de vulnerabilidades.



Una interesante funcionalidad de BLACKBOx es la posibilidad de buscar las páginas de administración por medio del módulo "Admin Page Finder" (admin_brute) por medio de fuerza bruta basado en diccionarios que la herramienta incorpora.

Se puede obtener más información sobre el módulo admin_brute de la siguiente manera:

$ python2 blackbox.py admin_brute -h


Además de especificar la URL -u/--url es necesario aclarar si la web está creada en PHP --php, en ASP --asp, etc de esa manera utiliza los diccionarios especificados para cada lenguaje.

De esta manera y conociendo esta información, se puede ejecutar BLACKBOx de la siguiente forma:

$ python2 blackbox.py admin_brute -u http://miweb.com.ar --php


Muy buena herramienta y simple de implementar para iniciar y buscar información de las webs objetivos en el proceso de pentesting.

Saludos!

2016-12-06

Como entender e implementar #HSTS y #HPKP

HSTS y HPKP se han convertido en poco tiempo en mecanismos de seguridad web que programadores, auditores y usuarios debemos conocer. Ésto es una medida más que podemos implementar para el correcto funcionamiento de protocolos https utilizando ciertas configuraciones en los servidores web y compatibilidades con los navegadores.


HTTP Strict Transport Security (o Seguridad de transporte HTTP estricta) HSTS es un mecanismo de política de seguridad web según la cual un servidor web declara a los agentes de usuario compatibles (por ejemplo, un navegador web) que deben interactuar con ellos solamente mediante conexiones HTTP seguras (es decir, en capas HTTP sobre TLS/SSLnotas 1 ). La política HSTS especifica un período de tiempo durante el cual el agente de usuario deberá acceder al servidor sólo en forma segura.

HTTP Public Key Pinning (HPKP) es un mecanismo de seguridad que permite a los sitios web que implementan HTTPS resistir la suplantación por parte de los atacantes utilizando certificados falsos o fraudulentos y los ataques Man-in-the-middle.

En esta primera oportunidad, Diego Espitia @dsespitia en uno de los eventos #11PathsTalks nos muestra una interesante introducción a HSTS y todas las configuraciones que se puede implementar en los diferentes servidores webs.


Por otro lado, hace apenas un par de días, se llevó a cabo una nueva edición de CiberCamp 2016 organizado por INCIBE, allí participaron Carmen Torrano @ctorranog junto a Pablo González @pablogonzalezpe en un taller llamado HSTS & HPKP: Batman y Robin para defender la navegación web. En donde Carmen como Pablo por medio de diferentes ejemplos nos muestra las diferencias entre HSTS y HPKP, los riesgos, vulnerabilidades y algunas cosas más.


Además se encuentran las diapositivas para seguir junto a los chicos el paso a paso de cada una de las demostraciones y los ejemplos que proponen.


HSTS y HPKP son dos temas muy interesantes para continuar investigando, implementarlos y buscar nuevas amenazas.

Saludos!

2016-11-27

Ciberseguridad en un mundo conectado por @holesec

Movistar MOVE ( www.move.uy ) es un Foro de Innovación y Tecnologías Móvil que se llevó adelante en nuestro país vecino, Uruguay del pasado 5 al 7 de Noviembre en la nueva edición 2016.


Allí estuvieron invitados excelentes conferencistas, hablando de diferentes temáticas y experiencias, sin embargo desde este pequeño espacio, me gustaría invitarlos a la de un gran amigo, Claudio Caracciolo @holesec

Ciberseguridad en un mundo conectado


Les dejo el video del evento MOVE, como siempre Claudio compartiendo muy buena información, comentando sobre sus últimos proyectos y explicando de una forma muy simple todos los problemas que vivimos en estos últimos meses gracias a los DDoS y los dispositivos IoT.

Estoy seguro que no te lo vas a perder ...


Finalmente, agradezco a Claudio nuevamente por colaborar con "Máxima Seguridad en WordPress" y escribir el Prólogo y brindarme todo su apoyo y su confianza!

Saludos!

2016-11-17

Máxima Seguridad en WordPress @0xWORD

Ya se encuentra a la venta mi primer libro escrito para la editorial 0xWORD llamado "Máxima Seguridad en WordPress"


Máxima Seguridad en WordPress


En él se van a encontrar con muchas recomendaciones, herramientas y técnicas de como una Web creada en WordPress puede ser vulnerada y los mecanismos para solucionarlo y alcanzar los niveles aceptables de seguridad.

Con temas de actualidad, este libro intenta cubrir las necesidades básicas de fortificación de sistemas y trucos para obtener un buen resultado en materia de seguridad sobre WordPress.

Indice de Contenidos



Esta enfocado a personas de todos los niveles de conocimiento y que utilicen wordpress en sus proyectos.

Desde ya, un agradecimiento personal a todas las personas que colaborar en este libro, a Claudio Caracciolo @holesec por tomarse su tiempo y escribir un bonito Prólogo, a Pablo Gonzalez Perez @pablogonzalezpe y Chema Alonso @chemaalonso por hacer realidad este proyecto y todo el equipo de 0xWORD.

El libro está disponible desde ahora en la tienda virtual de 0xWORD y en poco tiempo lo pueden encontrar también a través de los distribuidores en latinoamérica de 0xWord.

Saludos!

2016-11-03

Obtener información de dominios con #dnsenum

Dentro de las fases de un Test de Intrusión o Pentesting sobre una infraestructura, encontramos la recopilación de información. Esta fase consiste en obtener desde diferentes fuentes información valiosa sobre el objetivo que se va a auditar.

Este punto, aunque mucho los subestiman, es el más importante, ya que toda la información que se obtiene de esta fase va a ser el hilo conductor para los siguientes pasos.

Por otro lado, muchos de los objetivos que se van a auditar tiene una presencia en Internet, tienen servicios asociados, distintos dominios y este es el punto de inicio para comenzar a recopilar información.

Figura 1: DNS, Domain Name Servers

Si tienen presencia en Internet, cuentan con dominios y allí se pude desprender toda la información de servicios que el objetivo está brindando.

Es sabido que además los servidores de DNS no tienden a ser bien configurados, permitiendo en varios casos realizar consultas de transferencias de zona sobre determinadas peticiones y obtener más información de lo necesario.

Obtener información con dnsenum


De esta manera es que me recomendaron la herramienta dnsenum para aprovechar que mucha de la información que se requiere para iniciar una investigación.

dnsenum es una herramienta de línea de comandos escrita en Perl, con el objetivo de obtener la mayor información posible de los dominios especificados.

Se pude obtener dnsenum desde su repositorio en GitHub y clonarlo en local de la siguiente manera:

$ git clone https://github.com/fwaeytens/dnsenum.git

Alguna de las opciones que se puede obtener, son las siguientes:

$ perl dnsenum.pl -h

Figura 2: Opciones para la herramienta dnsenum

Una opción que más me gustó es la posibilidad de otorgar un archivo como diccionario ( -f, --file ) para realizar Fuerza Bruta y obtener más dominio ocultos o pocos visibles, como es el caso del archivo que incluye llamado dns.txt.

El resultado de dnsenum es un conjunto de dominios, NS, servidores de correo MX, Servidores de Mensajería, Servidores webs, muchas direcciones IP junto a sus rangos asignados y sin duda lo más importante, un buen punto de inicio para la siguiente fase.

Conclusiones


Es muy importante tener un panorama global de toda la infraestructura, muchas veces se intenta atacar o buscar vulnerabilidades directamente a servidores de Bases de Datos o aplicaciones web, cuando posiblemente la clave esté en "pivotar" dentro de la infraestructura por medio de servidores que no son tan importante pero que pueden llegar a tener los permisos necesarios para acceder a los más críticos.

Para ello, es necesario contar con información previa y una gran capacidad de inferencia para entender como está conformado los esquemas de servidores y otras conexiones.

2016-10-26

Todos los #ciberdebates de @Palabradehacker

Palabrahacker es una de esas ideas geniales llevada adelante por Yolanda Corral @yocomu con el objetivo de dar participación a temas actuales vinculados con la Seguridad Informática junto a la participación de diferentes Hackers y profesionales en cada área.

Figura 1: Todos los #ciberdebates de @Palabrahacker

Afortunadamente, se encuentra en el canal de YouTube todos los ciberdebates que Yolanda llevó adelante, para comprender los diferentes puntos de vistas de los temas más actuales.


Saludos!

2016-10-18

Hack Your Future! por @chemaalonso

Gran conferencia de Chema Alonso @chemaalonso para las jornadas de KeepCoding Connect 2016 donde comparte muchas de las experiencias de trabajo en equipo y de la pasión por hacer cosas.

Figura 1: Chema Alonso
No dejes pasar esta oportunidad para aprender sus 10 ideas personales sobre el trabajo en equipo.


Saludos!

2016-10-01

¿Qué puede hacer mi empresa para protegerse? por @kinomakino

Joaquín Molina +Kino Makino  en la última ESET Security Day 2016 en Zaragoza intenta responder ¿Qué puede hacer mi empresa para protegerse? con una muy interesante pasapalabra completa de Seguridad informática junto a una seria de recomendaciones que empresas de todos los tamaños deberían seguir para fortalecer su seguridad.

Figura 1: ESET Security Day 2016

Les comparto el video de su presentación.


No dejen de visitar el blog de Joaquín  INSEGUROS

Saludos!

2016-09-27

Conexiones activas en #SQUID3

Hoy les voy a compartir un poco de información valiosa, para aquellos administradores que utilizan el Servidor Proxy Squid3 en sus redes.

Figura 1: Conexiones activas en SQUID3

Es posible que en varias oportunidades sea indispensable conocer la cantidad de conexiones activas que está soportando el servidor en este momento. Lamentablemente, no existe un solo comando mágico que muestre esa información, pero de todas maneras lo vamos a resolver jugando con algunos comandos.

Generalmente Squid3 utiliza el puerto TCP/3128, es por ello que al ejemplo lo vamos a hacer con este número de puerto, aunque puede variar según como lo tengan configurado.

Conexiones activas en el servido Proxy Squid3


Primero iniciamos con el comando netstat, que no es más que una herramienta que permite obtener información de las conexiones sobre nuestro servidor.

$ netstat -nat

para ello hacemos uso de tres flag (-n) para que especifique los números de puertos, (-a)  para que se especifiquen todas las conexiones de todas las interfaces y finalmente (-t) para que se filtren conexiones TCP.

A esta salida se le aplica un filtro para que liste aquellas que corresponde al puerto 3128 de nuestro servidor Proxy.

$ netstat -nat | grep :3128

Y de esta manera el listado inicial comienza a reducirse.

El siguiente paso consiste nuevamente en aplicar un filtro para acotar las conexiones a su estado ESTABLISHED

$ netstat -nat | grep :3128 | grep ESTABLISHED

Ahora quitamos las conexiones localhost que tenga el servidor.

$ netstat -nat | grep :3128 | grep ESTABLISHED | grep -v 0.0.0.0:3128 | grep -v 127.0.0.1:3128

el flag (-v) del comando grep se utiliza para invertir la coincidencia, algo similar a una negación de lo que se quiere filtrar.

Falta muy poco para llegar al final, y para ello gracias al uso de awk, podemos visualizar los orígenes de las conexiones con el proxy.

$ netstat -nat | grep :3128 | grep ESTABLISHED | grep -v 0.0.0.0:3128 | grep -v 127.0.0.1:3128 | awk '{ print $5 }'

Como se puede apreciar, los puertos que está especificados, son puertos altos aleatorios con los que se negoció junto al proxy para establecer la conexión.

En el listado lo podríamos eliminar, una vez más haciendo uso de awk o de sed.

$ netstat -nat | grep :3128 | grep ESTABLISHED | grep -v 0.0.0.0:3128 | grep -v 127.0.0.1:3128 | awk '{ print $5 }' | awk -F\: '{ print $1 }'

Con el comando sort le podemos dar un orden descendiente en las direcciones IPs.

$ netstat -nat | grep :3128 | grep ESTABLISHED | grep -v 0.0.0.0:3128 | grep -v 127.0.0.1:3128 | awk '{ print $5 }' | awk -F\: '{ print $1 }' | sort

Una vez aplicado este filtro es posible aplicar el comando uniq

$ netstat -nat | grep :3128 | grep ESTABLISHED | grep -v 0.0.0.0:3128 | grep -v 127.0.0.1:3128 | awk '{ print $5 }' | awk -F\: '{ print $1 }' | sort | uniq 

Si utilizamos el flag uniq -c es posible conocer la cantidad de conexiones de cada dirección IP.

Y para finalizar y obtener un solo valor, se puede utilizar el comando wc -l que va a mostrar la cantidad de líneas generada, que en este caso corresponde a las direcciones ip conectadas de forma activa con el servidor proxy.

$ netstat -nat | grep :3128 | grep ESTABLISHED | grep -v 0.0.0.0:3128 | grep -v 127.0.0.1:3128 | awk '{ print $5 }' | awk -F\: '{ print $1 }' | sort | uniq | wc -l

Para muchas tareas cotidianas, no existe un solo comando o herramienta que lo soluciones, sin embarga concatenando pequeñas soluciones y haciendo uso de la imaginación es posible crear script muy interesantes.

Saludos!

2016-09-26

Vulnerando tu #Android por @UnaPibaGeek

Excelente investigación por parte de Sheila Berta ( @UnaPibaGeek ) sobre un mecanismo de vulnerar un Android y que dió nombre a su conferencia Are you kidding me? Bypassing Android Security Solutions with a few clicks para la DragonJAR Security Conference 2016.

Figura 1: ARE YOU KIDDING ME?

De una forma múy interesante, Sheila nos explica los diferentes caminos en los que los Antivirus para los dispositivos Android están actuando para detectar virus y a su vez la forma de Baypassear estos mecanismos.


Saludos!

2016-09-14

Los SIEM y la Correlación de Eventos Avanzada por @holesec y @DaPriMar

El pasado Jueves 8 de Septiembre del 2016, Claudio Caracciolo@holesec ) y David Prieto@DaPriMar ) llevaron adelanto otro interesante Webinar que corresponde a la segunda temporada de 11Paths Talks.

Figura 1: Claudio Caracciolo

Los SIEM y la Correlación de Eventos Avanzada


Sin duda, SIEM (Security Information and Event Management) es una gran herramienta a la hora de monitorizar la seguridad de una empresa u organización, y en los últimos años hemos visto cómo muchos vendors han desarrollado productos cada vez más integrables a las múltiples plataformas que podemos encontrar implementadas en la realidad. Si partimos de la frase que dice “no se puede proteger lo que no se conoce” o de “no se puede gestionar lo que no se mide”, nos damos cuenta de que el SIEM forma una parte fundamental en los procesos de defensa en profundidad y en las tareas que debe desarrollar un área de seguridad.

Tanto Claudio como David, a lo largo de todo el webinar muestra en detalle de que trata este tipo de tecnología y los usos más importante dentro de un esquema de seguridad.


Saludos!

2016-09-08

Actualización de seguridad en #WordPress 4.6.1

A poco menos de un mes del lanzamiento de la versión 4.6 de WordPress llamada "Pepper", el equipo de desarrolladores lanza una actualización de seguridad generando el tag 4.6.1

Figura 1: Logo de WordPress

WordPress 4.6.1


Las versiones de WordPress 4.6 y anteriores, se encuentran afectadas por dos importantes problemas de seguridad. Una vulnerabilidad XSS a traves de nombres de archivos de imágenes y otro vulnerabilidad de path transversar relacionada con la subida de archivos y paquetes de actualización.

Todos ellos reportados y corregidos por el equipo de seguridad y desarrollo de WordPress.

En resumen, esta actualización corrige 15 bugs de la versión 4.6. Para conocer más detalles es posible acceder a las notas de la versión y consultar la lista de cambios.

Para finalizar, es importante actualizar los proyectos en WordPress a esta última revisión estable de seguridad, para evitar posibles problemas.

Saludos!

2016-09-07

#Docker @docker Docker!!!

Esto es parte de las nuevas tecnologías con la que hoy contamos. Solo basta con leer un par de líneas para saber de que estas ideas son las que dan un quiebre y crean paradigmas nuevos.

Figura 1: #Docker @docker Docker!!!

Si bien Docker, no fueron aquellos que inventaron la tecnología de crear contenedores sobre un Sistema Operativo, son los que facilitaron e hicieron una experiencia de usuario magnífica.

¿Qué es Docker?


A lo largo de varias entradas en el blog, vamos ir comprendiendo los aspectos fundamentales y necesarios para conocerlo mejor. Sin embargo podemos iniciar conociendo de que trata Docker.

Bajo el lema "Build, Ship, Run", Docker se refiere a todo aquello que facilita la creación, implementación y ejecución de aplicaciones mediante el uso de contenedores. Éstos permiten a un desarrollador empaquetar un aplicación con todas las partes que necesita, es decir, bibliotecas y dependencias, y usarlo todo como si fuera un sólo paquete.

Lo primero que puede surgir es una confusión con la creación y administración de Máquinas Virtuales, pero a diferencia de éstas, las aplicaciones utilizan el mismo kernel que el Sistema Operativo de base.

Docker implementa una API de alto nivel, para así proporcionar contenedores ligeros que ejecutan los procesos de manera aislada, basándose en el núcleo o kernel del sistema.

Se basa en la funcionalidad del núcleo y utiliza aislamiento de recursos (CPU, memoria, etcétera) y los espacios de nombres por separado, para aislar así la aplicación. Otra características importante es que accede a la virtualización del kernel de linux, a través de la biblioteca libcontainer, indectamente a través de libvirt, LXC o nspawn systemd.

Figura 2: Estructura de Docker

Mediante este sistema los recursos pueden ser aislados, los servicios restringidos. Los contenedores múltiples pueden compartir el mismo núcleo, pero se puede limitar la cantidad de su uso (CPU, memoria y E/S)

Aprovecho la oportunidad para compartir una bonita presentación e ir adelantando algunas cosas que vamos a seguir viendo.


La gente que se dedica a Desarrollar y Administrar sistemas, ya se encuentran adoptando Docker en cada implementación, ya vamos a estar comentando como la gente dedicada a la seguridad, pentesting, auditorías, etc también se acercan y voy a estar comentando las cosas interesantes que se están haciendo.

Saludos!

Enlace | Docker

2016-09-04

¿Hacia dónde evolucionan los APT? por @dsespitia y @crisborghe

Septiembre inició con un excelente Webcast correspondiente a la segunda temporada de EleventPaths Talks.


Una vez más, Diego Espitia @dsespitia y Cristian Borghello @crisborghe luego de explicarnos las Metodologías de Desarrollo Seguro, en esta oportunidad nos hablan de APT.

¿Hacia dónde evolucionan los APT?


Según Wikipedia: Una amenaza persistente avanzada, también conocida por sus siglas en inglés, APT (por Advanced Persistent Threat), es un conjunto de procesos informáticos sigilosos y continuos, a menudo orquestados por humanos, dirigidos a penetrar la seguridad informática de una entidad específica. Una APT, generalmente, fija sus objetivos en organizaciones o naciones por motivos de negocios o políticos. Los procesos de APT requieren un alto grado de cobertura durante un largo período de tiempo. El proceso avanzado involucra sofisticadas técnicas que utilizan software malicioso para explotar vulnerabilidades en los sistemas. El término ‘persistente’ sugiere que existe un control y monitorización externos para la extracción de datos de un objetivo específico de forma continua. El término ‘amenaza’ indica la participación humana para orquestar el ataque.

Si están interesados en comprender los APT, y hacer un recorrido de como fueron evolucionando, los invito a ver el siguiente video junto a Diego y Cristian, donde explican muy bien esta problemática.


Saludos!

2016-08-28

Metodologías de desarrollo seguro por @dsespitia y @crisborghe

Hoy les quiero compartir un nuevo Webcast parte de la segunda temporada de ElevenPaths Talks. Para esta sesión nos encontramos con Diego Espitia @dsespitia junto a Cristian Borghello @crisborghe comentando sobre Metodologías de Desarrollo Seguro (Secure-SDLC).

Figura 1: ElevenPaths Taks

En el mercado del desarrollo del software es muy común hablar de Ciclo de Vida del Desarrollo del Software (o por sus siglas en Ingles SDLC), sin embargo en dichos procesos normalmente no se consideran las cuestiones de seguridad.   Hace ya unos cuantos años en el mercado se introdujo el concepto de Secure-SDLC, es decir que se incluyó sobre los modelos conceptuales la implementación de distintos tipos de análisis de seguridad en cada una de las etapas de un proyecto que involucre el desarrollo y el mantenimiento de una aplicación.


Saludos!

2016-08-22

Google Hacking: Tu Infraestructura desde #Cacti

Las herramientas de monitoreo son indispensables en todas las infraestructuras IT, donde claramente, están diseñadas para brindar información precisa y medidas.

Figura 1: Infraestructura IT

Para este tipo de tareas, existe una gran cantidad de soluciones, en algunos casos basados en Software Libre y en otros con algún costo asociado, pero siempre buscando satisfacer las necesidades a los administradores.

Zabbix, Cacti, NagiosMRTG son apenas ejemplo de una gran cantidad de herramientas para lograr monitorear y tratar de llevar adelante un control en el tráfico de la red.

En estos días, jugando con algunas querys en Google, me encontré con un par de gráficos generados por Network Weathermap

Network Weathermap


Figura 2: Ejemplo de implementación de Network Weathermap

Es una herramienta que crea gráficos de la infraestructura de conexiones con la característica visual de saber las estadísticas en relación a colores sobre el tráfico actual.

Con lo cuál, además de tener presente sobre el gráfico cada componente, es posible visualizar si existe transferencia de información y su volúmen.

Otra característica de Network Weathermap es que tiene la capacidad de integrarlo con las otras herramientas y consolas de monitoreo para contar con soluciones mas robustas.

Hasta aquí todo va genial. El problema surge cuando descuidamos las implementaciones y una vez mas la infraestructura puede llegar a quedar expuesta indexada en Google

Google Hacking Network Weathermap

Sobre la integración de Network Weathermap y Cacti, existe una interesante cantidad de descuidos que pueden ser descubiertos por medio de la siguiente búsqueda en Google.

inurl:"/weathermap/weathermap-cacti-plugin.php"

Figura 3: Búsqueda en Google del plugin Weathermap para Cacti

Una vez más, las ideas son muy interesante y lograr una integración siempre es el camino correo, pero lo que no se nos tiene que pasar por alto es de implementar mecanismos básicos de seguridad

Saludos!

2016-08-12

Google Hacking: Veo tu #BandwidthD

En estos días, me tocó iniciar un nuevo proyecto para administrar algunos servidores y buscando los servicios incorporados me topé con un interesante proyecto de monitoreo llamado BandwidthD.

Figura 1: Logo BandwidthD

BandwidthD como proyecto es genial, ya que registra el ancho de banda de una sub red mostrando reportes generales y de direcciones IP en particular en un formato HTML durante lapsos de tiempo difinidos.

Por otro lado, BandwidthD tiene la capacidad de identificar por medio de diferentes colores el tráfico que corresponde a los protocolos HTTP, TCP, UDP, ICMP, VPN y P2P.

El desafío es consultar a Google cuántos administradores agregan BandwidthD a su servidores y están exponiendo información interna de sus compañías.

Google Hacking BandwidthD


intitle:"bandwidthd" "programmed by david hinkle, commissioned by derbytech wireless networking."

Figura 2: Resultado del Google Hacking

La verdad que otra interesante fuente que expone información muy sensible, desde las sub redes privadas, hasta los nodos vivos dentro de la red, donde si no se tiene algún esquema de DMZ, se podría determinar mediante el uso del sentido común, cuales son los servidores, gateway, etc.

Mejor a estar atentos y agregar seguridad a este tipo de reportes para disminuir la exposición e la información.

Saludos!

2016-08-09

Diferencias entre Análisis de Infraestructura, Análisis Web y Code Review por @dsespitia

Hoy les quiero compartir una bonita e interesante charla de Diego Espitia @dsespitia del 4 de Agosto para la segunda temporada de ElevenPaths Talk.

Figura 1: ElevenPaths Talks

Aquí muestra de una forma muy simple de comprender las diferencias y los detalles que existen entre los Análisis de Infraestructura, los análisis de seguridad web y finalmente Code Review.

A menudo en los procesos de licitaciones o RFP nos encontramos con solicitudes un tanto confusas en cuanto los requerimientos técnicos por las confusiones en las bases de los términos más comúnmente utilizados en el mundo de la seguridad de la información. Es por ello que en este webcast hemos decido abordar los temas de base para ayudar a comprender conceptualmente cada uno de los términos referidos a tipos de análisis de seguridad permitiendo incluso conocer los procesos que involucran.

Si bien el día de la presentación no pude estar conectado para interactuar con Diego, afortunadamente ya se encuentra el video inmortalizado en el canal de YouTube para ElevenPaths Talk.


Saludos!

2016-08-03

#SecLists, una colección de diccionarios

Para hoy les quiero mostrar un interesante proyecto que intenta recopilar diferentes diccionarios y listas de palabras que pueden ser muy útiles como ingreso a otras herramientas de auditorias o tareas de pentesting.

Figura 1: SecLists

SecLists


El proyecto se llama SecLists y su repositorio en GitHub

https://github.com/danielmiessler/SecLists

y desde alli podemos encontrar colecciones de URL's, Username, Password, nombres de Web Shell, nombres de servicios, directorios, y muchas cosas más.

A la hora de realizar PoC en fuerza bruta, crawls o reconocimientos de servicios, SecLists puede ser de gran ayuda para iniciar las pruebas.

Este post primero lo compartí en la Comunidad Pentesting de ElevenPaths, donde lo más interesante es que allí se encuentran los mejores profesionales de seguridad informática listos para colaborar y sumar más conocimiento.

Mi buen amigo Claudio Caracciolo @holesec me dejó un par de enlaces más para reforzar los diccionarios.

Solo para sumar, en este sitio hay bastante de bases muy variadas como asteroides, deportes, etc.:

https://packetstormsecurity.com/Crackers/wordlists/

y cómo no, tablas para auditorias a redes Wi-Fi con WPA-PSK:

https://www.renderlab.net/projects/WPA-tables/

Pero no debemos olvidar el generador CeWl de Digininja que es de gran utilidad:

http://www.digininja.org/projects/cewl.php

Alguien más conoce otras colecciones de diccionarios para ampliar la lista?

Saludos!

2016-08-01

Inteligencia colectiva por @kinomakino

El pasado 25 de Junio se realizó en Valencia la I Jornada de Seguridad Informática PaellaCON con más de 15 presentaciones de diferentes temáticas y entre ellas un gran amigo Joaquin Molina @kinomakino

Figura 1: PaellaCON

PaellaCON


Jornadas gratuitas de Seguridad Informática que servirán de punto de encuentro para todas aquellas personas interesadas en el tema.

El evento apuesta por facilitar la integración plena de las mujeres en el mundo de la tecnología y la seguridad. Es por ello que una vez completada la mitad del aforo por orden de reserva, se habilitará una lista de espera a la que deberás apuntarte y desde ella confirmaremos la asistencia dando prioridad a las mujeres en lista. El objetivo de esta medida es reducir la brecha digital de género al tiempo que concienciar sobre la seguridad informática.

Inteligencia colectiva, usemos la cabeza (Threat Intelligence)


Durante la charla se realizará un repaso a las tecnologías de Threat Intelligence para proporcionar seguridad a las organizaciones, así como su uso “malicioso” para realizar ataques a empresas.

Afortunadamente ya está disponible para revivir esta excelente presentación.


Saludos!

2016-07-22

WordPress in Paranoid Mode por @pablogonzalezpe

Wordpress in Paranoid Mode es un código que permite fortificar el motor de base de datos y proteger la integridad y la disponibilidad de la información. En este capítulo vais a ver con Pablo González una prueba de concepto realizada en ElevenPaths.

Figura 1: Pablo Gonzalez @pablogonzalezpe
Pablo está en la parte de ideas rápidas y pruebas de concepto dentro del área de innovación.

Definitivamente, si lo que quieren es tener ciertas alertas sobre queris determinadas haciendo uso de Latch, no se puede perder esta charla.


Saludos

2016-07-12

***Microsoft Corporation Award 2016*** #SPAM

Hoy les quiero mostrar nuevamente un correo #SPAM tan mal creado que espero que ninguna persona que la reciba caiga en este tipo de engaño.

Figura 1: El #SPAM de todos los días

¿Cuanto  ayuda el sentido común a detectar este fraude? El objetivo de este SPAM claramente es llevar al engaño de los usuario aportando su información personal a cambio de falsas promesas.

Figura 2: ***Microsoft Corporation Award 2016***

Saludos!

2016-07-10

Pwneando redes informáticas en un día por @calderpwn

En el escenario Internet of Things & Security de Campus Party Mexico nos regaló otra excelente conferencia, esta vez a cargo de Paulino Calderon @calderpwn llamada "Pwneando redes informáticas en un día".

Figura 1: Paulino Calderon en Campus Party Mexico

Esta charla trata sobre las vulnerabilidades más peligrosas que afectan a redes informáticas actualmente. Se demostrarán técnicas reales que funcionan incluso en ambientes corporativos protegidos y que pueden ser utilizadas para comprometer redes enteras en menos de un día.

Te quedarás con mucho que pensar sobre la seguridad interna de tu propia red al terminar.


Al finalizar, Paulino publica en el canal de YouTube una Fe de errata:
  • El CEO que fue pwneado con la contraseña del leak de MySpace fue el CEO de Oculus.
  • WMI es Windows Management Instrumentation no Windows Management Interfaces.
  • wmiexec es la herramienta que soporta SMB2.X. (Dije wmi)
  • Referente a las mitigaciones de PtH, el usuario Administrador con RID 500 es el que aún se puede usar, no los usuarios Administradores. Aunque se le cambie el nombre a este usuario.
Saludos!

2016-07-04

Hardening de sistemas GNU/Linux por @lawwait

Hoy les quiero compartir una excelente conferencia de Lorenzo Martinez @lawwait uno de los escritos del blog Security By Default y creador de Securizame para la Campus Party México 2016 • #FeelTheFuture.

f
Figura 1: Lorenzo Martinez en su presentación.
Para esta conferencia les recomiendo tener a mano papel y lápiz para realizar las anotaciones en cada uno de los tips que Lorenzo nos va enseñando. Muy buen punto de vista para la implementación de DMZ, hardening de Kernel y recomendaciones generales.

Que disfruten de la conferencia.


Saludos!

2016-07-03

Cultivando seguridad en #WordPress

Hoy les quería compartir el último hangout sobre seguridad en #WordPress que dí junto a Iñaqui Rspaldiza @irespaldiza y Jorge Coronado @jorgewebsec

Figura 1: Cultivando Seguridad en WordPress

Muy agradecido por la convocatoria y la verdad que la pasamos genial debatiendo sobre algunas temas relacionados a #WordPress y como mejorar su seguridad, recomendaciones y algunas herramientas para tener en cuenta.


Saludos!

2016-07-02

Generando Word List con CeWL

Hoy me gustaría recomendarles una herramienta para generar listas, diccionarios o también conocidos Word List partiendo de una página web y que luego podemos utilizarla para crear contraseñas o realizar ataques de fuerza bruta con otras herramientas.

Figura 1: Word List de Password

Se trata de CeWL, una interesante herramienta libre de Licencia GNU/GPLv3, escrita en el lenguaje de Ruby para la línea de consola, con el objetivo de servir y armar un listado de palabras descubiertas en la web que especificamos y de metadatos de archivos descargados.

Muchas veces nos encontramos que las Word List que se encuentran en la web son muy generalizadas y tenemos la necesidad de montar una auditoria con palabras propias del entorno u objetivo. Pues es aquí donde CeWL nos va a ser de gran ayuda.

Para descargar la herramienta, podemos realizar los siguientes pasos:

$ wget https://digi.ninja/files/cewl_5.1.tar.bz2

Luego descomprimir el paquete tar.bz2 descargado

$ tar -xjvf cewl_5.1.tar.bz2

Lo que generará un directorio con el nombre cewl donde se encuentra los ejecutables para lograr comenzar a crear las propias listas basadas en el contenido de una web.


Finalmente, y especificando una web podemos ejecutar CeWL de la siguiente forma:

$ ./cewl -a -e http://paginaweb.lan -v -w wordlist.txt

( -a o --meta ) Incluye los metadatos.
( -e o --email ) Incluye las direcciones de correo.
( -v o --verbose ) Muestra más información a medida que el proceso de ejecuta.
( -w o --write ) Especifica el nombre del archivo que generará la Word List

Finalmente en wordlist.txt se va a encontrar el resultado de palabras claves con las que podemos empezar a auditar o realizar los penetration testing sobre un objetivo.

Saludos!

Enlace | Página oficial del proyecto CeWL

2016-06-26

¿Las contraseñas desaparecerán? por @holesec

El video que les quiero compartir hoy corresponde a un gran amigo, Claudio Caracciolo @holesec ) y que forma parte de una sesión más de los Webcast de ElevenPaths Talks.

Figura 1: Claudio Caracciolo en ElevenPaths Talks

Esta conferencia ocurrió este último Jueves 23 de Junio y me parece de lo más interesante conocer el punto de vista de Claudio, ver la problemática del uso de las contraseñas actuales y los proyectos y soluciones con las que están trabajando el equipo de ElevenPaths.


Saludos!

2016-06-22

Actualización de Seguridad en #WordPress 4.5.3

Ya se encuentra disponible una nueva actualización de seguridad para #WordPress que corresponde a la versión 4.5.3 y que las vulnerabilidades corregidas afecta a las versiones anteriores.


Las versión de WordPress 4.5.2 y anteriores están afectadas por varios problemas de seguridad: vulnerabilidad de redirección ele personalizador, de la que informó Yassine Aboukir; dos problemas diferentes de XSS en los nombres de los adjuntos, de los que informaron Jouko Pynnönen y Divyesh Prajapati; revelación de información del historial de revisiones, del que informaron John Blackbourn, del equipo de seguridad de WordPress y Dan Moen; denegación de servicio de oEmbed, del que informó Jennifer Dodd de Automattic; borrado sin autorización de categoría de una entrada, de lo que informó David Herrera de Alley Interactive; cambio de contraseña mediante cookie robada, del que informó Michael Adams del equipo de seguridad de WordPress; y algunos casos menores de seguridad con sanitize_file_name de los que informó Peter Westwood, también del equipo de seguridad de WordPress.

No hay excusas para no actualizar todos los proyectos de WordPress y evitar los problemas futuros.

Saludos!

Enlace | WordPress 4.5.3 Maintenance and Security Release

2016-06-13

*****SPAM***** Re:Nuevas propuestas

En la delgada línea entre las campañas de SPAM y las de Email Marketing afortunadamente mi SpamAssassin detectó que este correo no era del todo correcto y automáticamente cambio su header.

Figura 1: *****SPAM***** Re:Nuevas propuestas

De ninguna manera se va a realizar promoción o difusión sobre este tipo de operaciones, pero observe de que manera ofrecen las bases de datos de correos.

Figura 2: Venta de Bases de Datos de correos.

Saludos!

2016-06-12

My #WordPress in Paranoid Mode #WPM

Siempre es un buen momento para compartir algo de información, hoy les quiero dejar una reciente conferencia de Chema Alonso en el Open Expo 2016 en donde se integra Latch como doble facto de autorización en algunas Query dentro de #WordPress.

Figura 1: WordPress in Paranoid Mode

La herramienta se llama WPM y es un muy bonito juguete creado junto a Pablo Gonzalez permite integrar controles de Latch dentro de Triggers que se disparan al momento en que WordPress desea realizar alguna acción, como por ejemplo la de publicar algún comentario o la simple autenticacion de un usuario.

Todo esto contado al estilo Chema en una excelente conferencia.


Ademas es posible descargarse y utilizar WPM dentro del repositorio de GitHub para realizar algunas pruebas y llegar a implementarlo en los propios proyectos.

Saludos!

Enlace / WPM WordPress in Paranoid Mode

2016-05-26

Libros de matemáticas de Adrián Paenza

Las matemáticas es parte de la vida de todos, y mucho más para aquellos que nos dedicamos a la informática aplicándola diariamente a la hora de resolver los problemas.

Figura 1: Libros de matemáticas de Adrián Paenza

Hoy les quiero compartir un bonito enlace que corresponde al Departamento de Matemáticas de la Facultad de Ciencias Exactas y Naturales de la Universidad de Buenos Aires donde se publican nueve de los libros escritos por el periodista y Dr. en ciencias matemáticas por la UBA, Adrián Paenza.

Figura 2: Matemático, Adrián Paenza

Los títulos que se encuentran disponibles para leerlos en pdf son:

  1. Matemáticas ... ¿Estas ahí?
  2. Matemáticas ... ¿Estas ahí? Episodio 2
  3. Matemáticas ... ¿Estas ahí? Episodio 3,14
  4. Matemáticas ... ¿Estas ahí? Episodio 100
  5. Matemáticas ... ¿Estas ahí? La vuelta al mundo en 34 problemas y 8 historias
  6. ¿Cómo, esto también es matemáticas?
  7. Matemáticas para todos
  8. Matemagias
  9. La puerta equivocada
Que tengan una excelente lectura. Saludos!

2016-05-24

Diamond Transaction Alert ... #SPAM

La intención de publicar este tipo de engaño por correo ( #SPAM ) es buscar un mecanismo para mantener alerta a los usuarios, lamentablemente es imposible publicarlos a todos incluso aquellos que me envían para consultar.

Figura 1: Diamond Transaction Alert

Bancos, Concesionarios de autos, venta de producto, regalos, etc. cualquier excusa es buena para montar y apropiarse de listas de correos y llenar las casillas de #SPAM y ésta no es la excepción.

Figura 2: Cuerpo del correo SPAM

Saludos!

2016-05-22

Video 360 de un #Datacenter de #Google

Esta es una nueva forma de ver videos desde YouTube, aplicando la tecnología 360° en sus videos, Google se anima y nos muestra un Tour por uno de sus Datacenter mostrando un gran arsenal de tecnología.


A quienes se dedican al área de Infraestructura, no van a poder evitar sorprenderse con todas y cada uno de los componentes que integra Google en sus Datacenter.

A disfrutar del Tour.


Saludos!

2016-05-15

Andsec Security Conference 2016

Todos preparados para el próximo 4 y 5 de Junio del 2016 para vivir la 4ta edición de Andsec Security Conference Buenos Aires, Argentina.

Figura 1: Portada de Andsec Security Conference 2016

Andsec será el 4 y 5 de Junio de 2016, en el Auditorio Buenos Aires, ubicado en el Buenos Aires Design mall, en Av. Pueyrredón 2501 2do Nivel, Buenos Aires, Argentina.

Hace un par de años, he tenido la suerte de estar invitado presentando la herramienta WPHardening y la verdad es que uno se la pasa genial junto a amigos.

El acceso a las conferencias es totalmente GRATIS y para lograr registrarte es necesario ingresar a este enlace.

Con conferencistas y expertos en seguridad desde Brasil, España, Uruguay, Estados Unidos, Mexico, Chile y Argentina, entre las que se encuentra confirmadas:


  • Rodrigo Rubira Branco: Security Analysis of the Computer Architecture: What a software researcher can teach you about your computer
  • Babak Javadi: Janitor to CISO in 360 Seconds: Exploiting Mechanical Privilege Escalation
  • Buanzo: Compartir: la base de la seguridad. Presentando fail2ban-zmq-tools
  • Carlos Cabral: Los astrólogos de seguridad de la información
  • Marcos Schejtman: R00t M3
  • Mateo Martinez: Manoseando la memoria en Windows y en Linux
  • Ricardo L0gan: REMF – R3v3rs1ng on Mach-O File
  • Gabriel Bergel: Breaking Bad
  • Maxi Soler: HTTP/2 Overview y otras yerbas
  • Daniel Dieser: Fly & hack completo laboratorio de drones
  • Gustavo "Puky" Sorondo: Mobile App Pentesting en primera persona
  • Ezequiel Sallis: Aventuras y desventura de la investigación de los delitos informaticos
  • Ezequiel Sallis y Maxi Soler: Bitcoins "Bugs & Bangs” La criptomoneda y su relación con el cibercrimen
  • Eric Balderrama: Atacando desde Internet of things
  • Anchises Moraes: La ganancia de dinero de la ciberdelincuencia
  • Ariel Orellana y Federico Bustos: Manual del paranoico Ilustrado
  • Pedro Candel aka “s4ur0n”: Tempest OSX
  • Martin Pettinati: El animal fuera de contexto
  • Sebastian del Prado: El perverso mundo de la pedofilia
  • Ben Herzberg: Is TOR/I2P traffic bad for your site?
  • Dr. Sergio Rulicki: La Ciencia de la Comunicación No Verbal Aplicada a la Detección del Engaño
  • Alexis Sarghel y Diego Gutierrez: FreeBSD, insecure by default
  • Adrián Ramírez: Autopsia a un locky Malware
Cita obligatoria para el próximo 4 y 5 de Junio y aprender más sobre seguridad!

Saludos!

2016-05-13

Defensa en Profundidad por @holesec

Ayer jueves 12 de Mayo, en una jornada más correspondiente a #11PathTalks mi amigo Claudio Caracciolo @holesec presentó una muy bonita conferencia sobre "Defensa en Profundidad".

Figura 1: Defensa en Profundidad por Claudio Caracciolo

El modelo defensa en profundidad ayuda a muchas empresas a mejorar su seguridad y, en parte, su productividad. El activo más importante que tiene una empresa es su información que, genera, maneja y procesa para lograr su actividad de negocio.

Que lo disfruten!


Saludos!

2016-05-09

Actualización de seguridad en #WordPress 4.5.2

El equipo de desarrollo de WordPress, terminó la semana pasada liberando una nueva actualización de seguridad que corresponde a 4.5.2


Esta vulnerabilidad afecta a versiones anteriores que implementan la librería de terceros llamada Plupload para subir archivos que va desde la versión 4.2 hasta la actualidad.

Resulta que los investigadores Mario Heiderich, Masato Kinugawa, y Filedescriptor reportaron vulnerabilidades de tipo XSS reflejado, utilizando URI especialmente diseñadas en MediaElement.js

Por esta razón el equipo de desarrollo de WordPress solicita su inmediata actualización para evitar cualquier tipo de problemas, que si bien en esta oportunidad no se encuentra en el núcleo de su sistema pero que sigue siendo muy importante por el compromiso que genera.

Saludos!

Enlace | WordPress 4.5.2 Security Release

Entradas populares