El equipo samba a publicado en su sitio oficial una alerta de seguridad en la que un atacante podría tener acceso a archivos de configuración sensible en el servidor samba, esto se debe a unos valores predeterminados, el parámetro es wide links = yes, a como podemos ver con el comando testparm -v este esta en yes de manera predeterminada, por lo que si un administrador crea un link simbólico a un recurso compartido de manera local en el servidor los usuarios tendrán acceso a dichos datos, el equipo samba nos da el siguiente ejemplo
Dado el recurso compartido
[tmp]
path = /tmp
read only = no
guest ok = yes
El administrador podría agregar el link simbólico
$ ln -s /etc/passwd /tmp/passwd
Los usuarios de este recurso compartido verían dentro de tmp un archivo llamado passwd y esto les permitiría leer el contendido del recurso /etc/passwd, si el parámetro wide links esta configurado a no los usuarios recibirán un aviso de acceso denegado al tratar de leer dicho archivo
Este problema ocurre porque samba permite a los clientes usando extensiones UNIX crear symlinks en recursos compartidos en los cuales tienen acceso de escritura apuntando a cualquier punto en el sistema de archivos, las extensiones UNIX también están habilitadas de manera predeterminada.
Las aplicaciones ejecutándose en clientes UNIX necesitan crear este tipo de symlinks en el sistema de archivos en el cual tiene derechos de escritura apuntando a cualquier parte del sistema de archivos.
Los clientes UNIX resuelven estos links de manera local pero los clientes Windows lo hacen en el servidor, esta combinación es la que causa el problema.
El equipo samba resolverá esto desactivando el parámetro wide links a el valor predeterminado no y se explicara el problema en las paginas de ayuda de samba, de hecho es solo un problema de configuración, pero podría traer consecuencias.
En tavitos blog estamos identificados con el usuario final, los linuxeros ocultan este tipo de fallos, solo hablan las bondades de linux y gritan a los cuatro vientos que linux en invulnerable y que es gratis, también que Windows es el mas vulnerable que existe, pero se guardan este tipo de información, es por eso que tavitos blog en su labor social hace públicos estos fallos para que lo usuarios se preparen y tomen las medidas necesarias en sus servidores.
Msc Gustavo J. Sequeira A.
gsequeira@hotmail.es
miércoles, 17 de febrero de 2010
jueves, 4 de febrero de 2010
Universidades se exponen por usar Linux.
En días anteriores, apareció en las noticias, de que un grupo de jóvenes expertos en informática lograron penetrar los servidores de la Universidad UNAN León de nicaragua, logrando manipular las calificaciones de los estudiantes de nuevo ingreso de modo que les pusieron una nota de 105 puntos, esto los hacker lo pudieron hacer aunque los “expertos” en informática de esa alma Mater cambiaran la clave de root, ya que Linux es tan vulnerable que estos no la necesitaron para hacer esta demostración, esta universidad usa solo software libre, entre estos software están Linux como sistema operativo, PHP como intérprete, servidor Web Apache y un gestor de bases de datos PostgreSQL, lo que la hace mas vulnerable aun a ataques es la confianza errónea que los fanáticos del software libre tienen de que Linux es invulnerable a ataques por lo que descuidan muchos aspectos de la seguridad.
Los expertos de este grupo de hacker llamado Team Nicatech se ha dedicado a demostrar como estos sistemas son vulnerables así como sus promotores incompetentes, ya que han hecho este tipo de demostraciones varias veces en otros lugares, las demostraciones las hacen de una Manera constructiva solo para hacer la demostración del peligro de confiarse de que algo es seguro solo porque no es atacado, esto es lo que ellos dicen.
“esta acción se hizo para demostrar la gravedad que siguen estando los sistemas habilitados en las universidades del país”.
“La confianza en los sistemas automatizados de la UNAN no existe. ¿Cómo es posible que fallen, (es decir) que pueden fallar a la hora de controlar notas, becas y dinero”
Estos hacker están identificados con que el público sepa la verdad de lo que es Linux y aclararle a la gente que estos sistemas son vulnerables a ataques devastadores ya que alguien perfectamente se puede meter a estos sistemas en cualquier momento y eliminar datos valiosos.
Lo que los linuxeros dijeron
Pero, ¿Cuál es la posición de los linuxeros ante estos ataques? Bueno la única que tienen y la única que les queda, quedarse callados, en ninguna lista de correos o forum se le a advertido al publico de la posibilidad de estos ataques, por lo que los linuxeros de manera irresponsable dejan a los usuarios que han convencido que Linux es inmune a ataques a su propio riesgo.
Con esto no quiero hacerle publicidad a ningún grupo que se acredite estos ataques, eso es irrelevante, lo que aquí importa es el hecho de que un ataque se puede dar y debemos tomar las medidas correspondientes, no dejarnos llevar por filosofías baratas y concentrarnos en el aspecto tecnológico, usar los sistemas no porque cumplen con las cuatros libertades o sean gratis sino porque sea seguro, cumplan con el trabajo para que fue hecho y sean fáciles de usar, a los empresarios les aconsejo que seleccionen bien a su personal, ya que la información vital de una empresa no puede estar en manos de alguien para quien es mas importante una filosofía que los datos de la empresa.
Este es el link al artículo completo publicado en el periódico El Nuevo Diario.
http://impreso.elnuevodiario.com.ni/2010/02/04/informatica/117775
Msc. Gustavo J. Sequeira A.
gsequeira@hotmail.es
Publicado tambien en:
http://lacomunidad.elpais.com/tavito/2010/2/4/universidades-se-exponen-usar-linux-
Los expertos de este grupo de hacker llamado Team Nicatech se ha dedicado a demostrar como estos sistemas son vulnerables así como sus promotores incompetentes, ya que han hecho este tipo de demostraciones varias veces en otros lugares, las demostraciones las hacen de una Manera constructiva solo para hacer la demostración del peligro de confiarse de que algo es seguro solo porque no es atacado, esto es lo que ellos dicen.
“esta acción se hizo para demostrar la gravedad que siguen estando los sistemas habilitados en las universidades del país”.
“La confianza en los sistemas automatizados de la UNAN no existe. ¿Cómo es posible que fallen, (es decir) que pueden fallar a la hora de controlar notas, becas y dinero”
Estos hacker están identificados con que el público sepa la verdad de lo que es Linux y aclararle a la gente que estos sistemas son vulnerables a ataques devastadores ya que alguien perfectamente se puede meter a estos sistemas en cualquier momento y eliminar datos valiosos.
Lo que los linuxeros dijeron
Pero, ¿Cuál es la posición de los linuxeros ante estos ataques? Bueno la única que tienen y la única que les queda, quedarse callados, en ninguna lista de correos o forum se le a advertido al publico de la posibilidad de estos ataques, por lo que los linuxeros de manera irresponsable dejan a los usuarios que han convencido que Linux es inmune a ataques a su propio riesgo.
Con esto no quiero hacerle publicidad a ningún grupo que se acredite estos ataques, eso es irrelevante, lo que aquí importa es el hecho de que un ataque se puede dar y debemos tomar las medidas correspondientes, no dejarnos llevar por filosofías baratas y concentrarnos en el aspecto tecnológico, usar los sistemas no porque cumplen con las cuatros libertades o sean gratis sino porque sea seguro, cumplan con el trabajo para que fue hecho y sean fáciles de usar, a los empresarios les aconsejo que seleccionen bien a su personal, ya que la información vital de una empresa no puede estar en manos de alguien para quien es mas importante una filosofía que los datos de la empresa.
Este es el link al artículo completo publicado en el periódico El Nuevo Diario.
http://impreso.elnuevodiario.com.ni/2010/02/04/informatica/117775
Msc. Gustavo J. Sequeira A.
gsequeira@hotmail.es
Publicado tambien en:
http://lacomunidad.elpais.com/tavito/2010/2/4/universidades-se-exponen-usar-linux-
Suscribirse a:
Entradas (Atom)
