Etiqueta: segurança

Vulnerabilidades criticas de segurança Joomla 1.5,2.5 e 3.X

Foi lançada hoje a versão 3.4.6 do Joomla que corrige uma grave vulnerabilidade de segurança entretanto descoberta sendo recomendado que actualize de imediato os seus sites que utilizam a versão 3.X do Joomla para esta nova versão.

Para além disso e em jeito de prenda de Natal (visto normalmente as versões em fim de vida (EOL) não receberem normalmente qualquer update, mesmo de segurança) dada a gravidade da vulnerabilidade encontrada foram ainda lançadas correcções de segurança para as versões 1.5 e 2.5 do Joomla que se encontram descontinuadas já à vários anos.
Estas correcções de segurança podem ser encontradas aqui sendo recomendada a sua aplicação imediata. A já muito antiga versão 1.0 do Joomla não é afectada por esta vulnerabilidade não existindo por isso correcção para a mesma.

De qualquer das formas a PTServidor recomenda que não utilize softeware descontinuado (no caso as versões 1.0,1.5 e 2.5) do Joomla ou de qualquer outro software pois para além de utilizarem tecnologias obsoletas coloca o seu site em risco de ser atacado por hackers.

Nova vulnerabilidade de segurança no TimThumb (0-day)

Foi descoberta uma grave vulnerabilidade no TimThumb 2.8.13 (e anteriores) que ainda não tem resolução sem ser a desactivação do “webshot” utilizado por alguns templates.
Considerando que já não é a primeira vez que ocorrem problemas de segurança com o TimThumb recomendamos a todos os nossos clientes que o deixem de utilizar de imediato (e apagando-o do servidor) substituindo o mesmo pela funcionalidade nativa do WordPress (the_post_thumbnail()) de criação de thumbnails sendo que para além de resolver os problemas de segurança aumentará a performance do site.
Para converter o seu template para a funcionalidade nativa do WordPress recomendamos a leitura a http://wpengineer.com/1930/the-ultimative-guide-for-the_post_thumbnail-in-wordpress-2-9/

Se utilizar um template da empresa http://themify.me/ o seu template estará vulnerável através da utilização do wordthumb (versão antiga do TimThmb) utilizada pelo ficheiro /themify/img.php presente na pasta do template.

Mais informações sobre a vulnerabilidade podem ser encontradas em  http://seclists.org/fulldisclosure/2014/Jun/117 e https://code.google.com/p/timthumb/issues/detail?id=485&thanks=485&ts=1403690188

Nova vulnerabilidade de segurança OpenX

Depois de à pouco menos de dois anos ter existido uma grave vulnerabilidade de segurança no software de gestão de publicidade OpenX foi agora anunciada uma nova vulnerabilidade neste software que requer o update imediato para a nova versão 2.8.11 conforme anunciado no forum oficial do OpenX devendo ainda seguir as recomendações de segurança para este software descritas aqui.

Para além de todas as recomendações deverá ainda verificar se não se encontram na sua conta outros ficheiros estranhos ao OpenX que possam ter sido injectados devido a esta vulnerabilidade. Recomendamos ainda que analise a sua instalação de forma a verificar se não foram alterados os códigos dos seus banners e/ou colocados outros códigos em sua substituição.

A PTServidor relembra que qualquer que seja o script/software que utilize na sua conta de alojamento deverá consultar regularmente o site do seu programador (alguns scripts dispõem de alertas automáticos na administração do mesmo) assim como dos respectivos plugins e templates muitas vezes utilizados nas plataformas WordPress, Joomla! entre outras assim como remover todo o software antigo que já não utilize pois este simples gesto poderá evitar bastantes infecções de malware futuras.

Em caso de duvida bastará entrar em contacto com a nossa equipa técnica que terá todo o gosto em o auxiliar pois cada vez mais a segurança é uma das nossas principais prioridades.

DNSSEC em domínios .PT

O DNSSEC (Domain Name System Security Extensions) é um standard que adiciona extensões de segurança aos DNS protegendo e autenticando o tráfego DNS através de assinaturas digitais assimétricas prevenindo falsificação de zonas DNS e assegurando que o website digitado é de facto aquele a que se está a aceder.

Dada a relevância do DNSSEC, a PTServidor criou um grupo de trabalho e desenvolvimento que repartiu a sua implementação em três fases:

Numa primeira fase foram analisadas as alterações a produzir na plataforma de serviços PTServidor resultando em testes numa infra-estrutura paralela e tendo conduzido à implementação com sucesso deste protocolo de segurança em domínios .PT em ambiente de produção e conjunto com alguns clientes mais visionários.

Numa segunda fase a PTServidor iniciou a implementação de DNSSEC em domínios .PT existentes em serviços dedicados dos seus clientes que tenham manifestado interesse em ver os seus domínios assinados por este protocolo.

A terceira fase de implementação prevê a curto prazo o alargamento à totalidade da oferta de serviços PTServidor, adotando de raiz o DNSSEC logo desde o registo do domínio.

O DNSSEC encontra-se implementado actualmente em mais de 150 domínios .PT sob gestão da PTServidor.

No caso de necessitar de uma solução dedicada com adopção de DNSSEC contacte-nos!

PTServidor torna-se membro da Rede CSIRT

A operar desde a criação da nossa empresa encontra-se um grupo de resposta a incidentes de segurança informática.

Este grupo é constituído por profissionais ligados às áreas de Segurança Informática, Administração de Sistemas e Apoio Jurídico, estando aptos a responder aos mais variados incidentes de segurança tais como SPAM, violação de direitos de autor, cibercrime e fraude informática entre muitos outros..

Para assegurar a agilização processual e uma melhor comunicação entre as partes a PTServidor assinou no passado mês de Setembro um protocolo com a FCCN (Fundação para a Computação Cientifica Nacional) sendo actualmente membro integrante da Rede Nacional CSIRT.

Poderá consultar mais informações sobre a Equipa CSIRT no site da PTServidor aqui ou no site CERT.pt.