Se han hecho públicas 5 vulnerabilidades que afectan a Forminator en su versión 1.5 y han sido calificadas de alto riesgo.
Forminator es un plugin para WordPress, con el que se pueden realizar de forma cómoda formularios de contacto, encuestas, pruebas, etc.
La primera de las vulnerabilidades permitiría a un atacante no autenticado realizar un ataque XSS persistente través de un formulario de encuesta. Este error es debido a una incorrecta codificación en uno de los campos a la hora de mostrar los resultados de dicha encuesta.
La segunda vulnerabilidad permite la extracción de información sensible de la base de datos a través de una inyección SQL relaccionada con la acción de eliminar envíos. Para aprovechar este fallo de seguridad sí es requerido que el atacante esté autenticado en el sistema y tenga permisos para realizar esta acción.
La siguiente vulnerabilidad existe gracias a la carga de archivos, la cual podría ser aprovechada para realizar un ataque XSS, debido a que el fichero que se sube a través del formulario es añadido directamente al DOM.
Otra vulnerabilidad existe debido a una falta de protección al abrir una pestaña nueva en el navegador, la cual podría permitir a un atacante remoto el robo de información sensible a través de la recarga de una página falsa en la pestaña origen. A este tipo de ataque se le conoce como ‘Tab Napping’.
La última vulnerabilidad reportada aparece en la acción de exportación de resultados, que podría ser aprovechada para revelar información sensible a través del envío de datos especialmente manipulados en un formulario.
Las vulnerabilidades, que actualmente tienen pruebas de concepto para su explotación, fueron reportadas el día 25 de noviembre de 2018, y disponen de una solución oficial desde el día 10 de diciembre.
Enlace | una-al-dia
Más información
Forminator 1.5.4 – Unauthenticated Persistent XSS, Blind SQL Injection, Misc
https://security-consulting.icu/blog/2019/02/wordpress-forminator-persistent-xss-blind-sql-injection/
7 de febrero de 2019
6 de febrero de 2019
¿Qué es el VoLTE?
Hoy en día, la mayoría de smartphones disponen de la tecnología adecuada para poder disfrutar de la red 4G, una evolución de las redes 3G que permiten navegar más rápido. Si al 4G, le añadimos la tecnología VoLTE, la calidad de nuestras llamadas mejorará substancialmente. A continuación te explicamos todo lo que necesitas saber sobre VoLTE y cómo y cuándo puedes disfrutar de su uso.
VoLTE es, simplemente, llamadas de voz a través de la red LTE, o usualmente llamada 4G. Hasta ahora las operadoras utilizaban las redes GSM o UMTS para transmitir las comunicaciones de voz entre terminales y la red 3G y 4G se encargaban de transmitir nuestros datos a través de internet. El desarrollo de esta tecnología ha hecho que cada vez se puedan transmitir más datos a mayor velocidad.
Con VoLTE las operadoras disponen de un servicio capaz de transmitir nuestra voz en pequeños paquetes comprimidos a través de internet al igual que hacen con nuestros emails cada vez que usamos Gmail o las conversaciones de WhatsApp.
Para poder utilizar VoLTE debemos disponer de un smartphone con conexión a redes LTE, es decir vuestro Android debe tener 4G. Por supuesto, nuestro operador debe ofrecer este servicio (las principales operadores lo hacen). Anteriormente necesitábamos un pequeño software para poder hacer llamadas VoLTE, pero hoy en día ya está integrado de forma automática.
La lista de los smartphones compatibles con esta tecnología incluye:
En España, Vodafone fue la primera compañía en ofrecer este servicio. Orange también da acceso a VoLTE, y Movistar fue el último en sumarse.
Las ventajas de usar la red 4G para el envío de datos son evidentes: más velocidad y más datos. Ventajas de las que se va a aprovechar también VoLTE.
Voz en alta definición. La calidad de la llamada va a dar un salto con las llamadas VoLTE. El método de compresión en las llamadas tradicionales usa un códec de 8 kbps, pero con VoLTE el códec puede llegar a tener de 13 kbps además de un método de compresión más moderno. El rango de frecuencias también se va a ver aumentado de 300-3400 Hz a 50-7000 Hz. Esto se traduce en una llamada mucho más clara que una llamada móvil tradicional.
Conversaciones enriquecidas. Junto a la llamada, las operadoras podrán ofrecer un conjunto de servicios conocidos como RCS (Rich Communications Services). Estos servicios pueden incluir funciones como videollamadas, transferencia de datos, adjuntar localización o imágenes a la conexión de la llamada, e incluso traducción simultánea durante la misma.
Conexiones más rápidas. El tiempo de establecimiento de llamada con VoLTE se va a ver reducido. Puede que este tiempo de unos siete segundos que ahora mismo esperamos para conectar se vea reducido a tan sólo dos segundos.
Menos consumo de batería. Los servicios de VoLTE tienen un consumo de energía más moderado en comparación con los servicios de VoIP como Skype. VoLTE no es tan exigente con sus requisitos de red, y por ello consume mucho menos energía que una llamada de voz por Skype.
Integración con Wi-Fi. No sólo se puede usar VoLTE a través de la red 4G, si no que también podemos usarlo a través de cualquier conexión Wi-Fi, con el consiguiente ahorro en nuestra tarifa de datos.
En cuanto a los problemas que pueda traer es de destacar que se trata de una tecnología nueva y como tal todavía necesita un desarrollo más optimo para un servicio de calidad. De momento estos son los inconvenientes de VoLTE:
Desconexión de la llamada. Como ya hemos mencionado, es una tecnología nueva y la red 4G todavía no tiene una extensión suficiente para garantizar una llamada sin desconexiones ya que utiliza antenas diferentes al resto de tecnologías.
Limitado a ciertos dispositivos. Como también hemos mencionado anteriormente, los únicos terminales que soportarían las llamadas VoLTE serán los que cuenten con tecnología 4G.
Sin comunicación entre operadoras. En principio sólo se puede llamar a través de VoLTE entre clientes de la misma operadora, es decir llamadas por ejemplo entre un cliente de Vodafone y otro de Movistar no se podrán realizar a través de VoLTE.
Cambio de precios. Ahora que ya nos hemos acostumbrado a la tarifa plana en llamadas, nos cambian la tecnología. Las llamadas VoLTE, como hemos mencionado utilizan de la red de datos. Por lo tanto el cobro de estas llamadas las encontraremos en la parte sobre uso de datos de nuestra factura.
Desde luego que se trata de un avance con respecto a la forma de comunicarnos que revolucionará las tradicionales llamadas de teléfono como el mismo teléfono revolucionó las comunicaciones.
Fuente | Androidpit
¿Qué es y cómo funciona VoLTE?
VoLTE es, simplemente, llamadas de voz a través de la red LTE, o usualmente llamada 4G. Hasta ahora las operadoras utilizaban las redes GSM o UMTS para transmitir las comunicaciones de voz entre terminales y la red 3G y 4G se encargaban de transmitir nuestros datos a través de internet. El desarrollo de esta tecnología ha hecho que cada vez se puedan transmitir más datos a mayor velocidad.
Con VoLTE las operadoras disponen de un servicio capaz de transmitir nuestra voz en pequeños paquetes comprimidos a través de internet al igual que hacen con nuestros emails cada vez que usamos Gmail o las conversaciones de WhatsApp.
¿Mi smartphone puede usar VoLTE?
Para poder utilizar VoLTE debemos disponer de un smartphone con conexión a redes LTE, es decir vuestro Android debe tener 4G. Por supuesto, nuestro operador debe ofrecer este servicio (las principales operadores lo hacen). Anteriormente necesitábamos un pequeño software para poder hacer llamadas VoLTE, pero hoy en día ya está integrado de forma automática.
La lista de los smartphones compatibles con esta tecnología incluye:
- Huaeri P9 y superiores
- iPhone 6 y superiores
- OnePlus One y superiores
- Samsung S8 y superiores
- Samsung J3, J5 y J7
- Sony Xperia X, XZ, XZ Premium y superiores
En España, Vodafone fue la primera compañía en ofrecer este servicio. Orange también da acceso a VoLTE, y Movistar fue el último en sumarse.
Ventajas de VoLTE
Las ventajas de usar la red 4G para el envío de datos son evidentes: más velocidad y más datos. Ventajas de las que se va a aprovechar también VoLTE.
Voz en alta definición. La calidad de la llamada va a dar un salto con las llamadas VoLTE. El método de compresión en las llamadas tradicionales usa un códec de 8 kbps, pero con VoLTE el códec puede llegar a tener de 13 kbps además de un método de compresión más moderno. El rango de frecuencias también se va a ver aumentado de 300-3400 Hz a 50-7000 Hz. Esto se traduce en una llamada mucho más clara que una llamada móvil tradicional.
Conversaciones enriquecidas. Junto a la llamada, las operadoras podrán ofrecer un conjunto de servicios conocidos como RCS (Rich Communications Services). Estos servicios pueden incluir funciones como videollamadas, transferencia de datos, adjuntar localización o imágenes a la conexión de la llamada, e incluso traducción simultánea durante la misma.
Conexiones más rápidas. El tiempo de establecimiento de llamada con VoLTE se va a ver reducido. Puede que este tiempo de unos siete segundos que ahora mismo esperamos para conectar se vea reducido a tan sólo dos segundos.
Menos consumo de batería. Los servicios de VoLTE tienen un consumo de energía más moderado en comparación con los servicios de VoIP como Skype. VoLTE no es tan exigente con sus requisitos de red, y por ello consume mucho menos energía que una llamada de voz por Skype.
Integración con Wi-Fi. No sólo se puede usar VoLTE a través de la red 4G, si no que también podemos usarlo a través de cualquier conexión Wi-Fi, con el consiguiente ahorro en nuestra tarifa de datos.
Inconvenientes de VoLTE
En cuanto a los problemas que pueda traer es de destacar que se trata de una tecnología nueva y como tal todavía necesita un desarrollo más optimo para un servicio de calidad. De momento estos son los inconvenientes de VoLTE:
Desconexión de la llamada. Como ya hemos mencionado, es una tecnología nueva y la red 4G todavía no tiene una extensión suficiente para garantizar una llamada sin desconexiones ya que utiliza antenas diferentes al resto de tecnologías.
Limitado a ciertos dispositivos. Como también hemos mencionado anteriormente, los únicos terminales que soportarían las llamadas VoLTE serán los que cuenten con tecnología 4G.
Sin comunicación entre operadoras. En principio sólo se puede llamar a través de VoLTE entre clientes de la misma operadora, es decir llamadas por ejemplo entre un cliente de Vodafone y otro de Movistar no se podrán realizar a través de VoLTE.
Cambio de precios. Ahora que ya nos hemos acostumbrado a la tarifa plana en llamadas, nos cambian la tecnología. Las llamadas VoLTE, como hemos mencionado utilizan de la red de datos. Por lo tanto el cobro de estas llamadas las encontraremos en la parte sobre uso de datos de nuestra factura.
Desde luego que se trata de un avance con respecto a la forma de comunicarnos que revolucionará las tradicionales llamadas de teléfono como el mismo teléfono revolucionó las comunicaciones.
Fuente | Androidpit
Etiquetas:
smarphone
5 de febrero de 2019
Guía de seguridad para usuarios de videojuegos
La Policía Nacional y el club de deportes electrónicos MAD Lions E.C. – uno de los clubes de e-sports más relevantes de España – han presentado este fin de semana la primera guía de seguridad para jugadores, con la que pretenden reforzar la seguridad de los aficionados a los videojuegos y así evitar que se conviertan en víctimas de ciberacosos o estafas, entre otros delitos.
El documento ha sido presentado en el palacio de congresos y deportes de Aguadulce, en Roquetas de Mar, durante la celebración del Roquetas Gaming Show, en el que a lo largo del fin de semana se han dado cita alrededor de 20.000 jugadores y aficionados.
Solo en el año 2017 y según las cifras de la Asociación Española de Videojuegos, en nuestro país se vendieron un total de 9.650.000 videojuegos (de los que muchos de ellos requieren conexión a Internet), 1.500.000 videoconsolas y 4.400.000 accesorios, lo que supuso el movimiento de unos 1.359 millones de euros en todo el territorio nacional.
La Policía Nacional, líder mundial en redes sociales al acumular en sus perfiles un total de más de 4.200.000 seguidores, y MAD Lions E.C., con una gran reputación en su sector como uno de los principales clubes españoles, también han presentado, además de la guía, un vídeo con el que los agentes y el club pretenden llegar a los 16 millones de videojugadores españoles, además de a padres y educadores.
La Vanguardia (04/02/2019)
El documento ha sido presentado en el palacio de congresos y deportes de Aguadulce, en Roquetas de Mar, durante la celebración del Roquetas Gaming Show, en el que a lo largo del fin de semana se han dado cita alrededor de 20.000 jugadores y aficionados.
Solo en el año 2017 y según las cifras de la Asociación Española de Videojuegos, en nuestro país se vendieron un total de 9.650.000 videojuegos (de los que muchos de ellos requieren conexión a Internet), 1.500.000 videoconsolas y 4.400.000 accesorios, lo que supuso el movimiento de unos 1.359 millones de euros en todo el territorio nacional.
La Policía Nacional, líder mundial en redes sociales al acumular en sus perfiles un total de más de 4.200.000 seguidores, y MAD Lions E.C., con una gran reputación en su sector como uno de los principales clubes españoles, también han presentado, además de la guía, un vídeo con el que los agentes y el club pretenden llegar a los 16 millones de videojugadores españoles, además de a padres y educadores.
La Vanguardia (04/02/2019)
22 de octubre de 2018
libssh-scanner es la primera herramienta para encontrar LibSSH Vulnerables
Recientemente publicamos un artículo donde hablábamos de una grave vulnerabilidad en LibSSH. Esto dejaba a miles de servidores vulnerables. Por suerte, como suele ocurrir en estas situaciones, lanzaron actualizaciones para resolver el problema. Sin embargo no todos los servidores las han implantado. Es por ello que hoy vamos a mostrar LibSSH Scanner. Se trata de una herramienta que tiene como objetivo encontrar servidores LibSSH que sean vulnerables. Una manera de probar si realmente se ha actualizado correctamente o no.
LibSSH Scanner, la herramienta para encontrar servidores vulnerables
Como sabemos, LibSSH es una biblioteca escrita en C y que es utilizada por muchos proveedores. La vulnerabilidad fue descrita como CVE-2018-10933. La manera en la que puede ser explotada es muy sencilla. Solamente requiere de enviar al servidor afectado una solicitud “SSH2_MSG_USERAUTH_SUCCESS”. De esta manera logra engañarlo y hacer creer que el usuario ya se ha autentificado.
Durante los últimos días no han parado de lanzar avisos de seguridad las empresas responsables. Entre ellas podemos nombrar algunas como el popular fabricante de sistemas operativos basados en Linux, Red Hat.
Una de las primeras recomendaciones fue que los administradores iniciaran sesión de manera manual. De esta manera evitan el sistema de autenticación de clave pública, que es donde reside la vulnerabilidad.
Como hemos mencionado, son muchos los servidores que pueden ser vulnerables al tiempo de escribir este artículo. Según datos aportados por Leap Security, hay unos 3.000 servidores conectados a la red que utilizan este sistema. De ellos, entre 1.800 y 1.900 utilizan una versión vulnerable.
Script basado en python
Aquí es donde entra en juego LibSSH Scanner. Este script tiene como objetivo detectar esos servidores que son vulnerables a ataques. Se trata de una herramienta basada en python que puede indicar qué servidores son vulnerables a CVE-2018-10933.
Lo podemos descargar gratuitamente desde GitHub. Allí podemos encontrar información sobre este script. Los creadores indican que está diseñado para conocer si los servidores correspondientes a una organización han sido parcheados correctamente. Cuenta con dos modos de actualización: pasivo y agresivo, para validar la existencia de la vulnerabilidad. De forma predeterminada se ejecuta en el primer modo.
Hay que recordar que la vulnerabilidad está presente en las versiones de LibSSH a partir de la 0.6. El problema se corrigió con un parche que está presente en las versiones 0.7.6 y 0.8.4. Es por ello que conviene conocer si está actualizado correctamente o por el contrario sigue siendo vulnerable. Con LibSSH Scannerpodemos averiguarlo fácilmente.
Como siempre indicamos, mantener nuestros sistemas actualizados es muy importante. Esto hay que aplicarlo tanto al propio sistema operativo como a las diferentes aplicaciones que tengamos instaladas en nuestro equipo. En ocasiones, como en el ejemplo que hemos visto en este artículo, surgen vulnerabilidades. Normalmente estos fallos son resueltos mediante parches y actualizaciones de seguridad. Es por ello que mantener nuestros equipos con las últimas versiones puede protegernos de sufrir diferentes tipos de amenazas que comprometan el buen funcionamiento.
En definitiva, LibSSH Scanner nos indica qué servidores son vulnerables y por tanto requieren de ser parcheados correctamente. Es una herramienta gratuita e interesante.
Fuente | RedesZone
Etiquetas:
Herramientas
,
SSH
,
Vulnerabilidad
Suscribirse a:
Entradas (Atom)
Entradas populares
-
Lamento que te enteres por este medio pero tu pareja te engaña. Hace tiempo estoy saliendo con alguien y me engaño diciendo que no tenia ...
-
El Análisis Forense de computadores y sistemas es una de la rama fascinantes de la seguridad informática que año tras año va tomando más fu...
-
En algún momento hablamos lo simple y práctico que es contactar con reportes reportes web, completos analizadores de Logs que nos permiten m...
-
La idea de este post es dejarle una lista de gente que realmente se dedica a Seguridad Informática y sus temas relacionados, gente apasio...
-
Hoy les quiero compartir un nuevo Webcast parte de la segunda temporada de ElevenPaths Talks . Para esta sesión nos encontramos con Diego Es...
-
Luego de un par de semanas de programacion y algunos commits en los repositorios de GitHub , les quería anunciar la version 1.0 de WPHarde...
-
Esto es parte de las nuevas tecnologías con la que hoy contamos. Solo basta con leer un par de líneas para saber de que estas ideas son las ...
-
Figura 1: 4 consejos para proteger SSH en RouterOS Hace algunos días publiqué un Dork en Google y en Shodan donde nos permite encontra...
-
Excelente investigación por parte de Sheila Berta ( @UnaPibaGeek ) sobre un mecanismo de vulnerar un Android y que dió nombre a su confere...
-
No quería dejar pasar esta oportunidad para celebrar junto a todos los lectores de este, mi pequeño espacio donde me gusta hablar ( escribir...



