Se ha descubierto una vulnerabilidad en WordPress que permitiría saltar la confirmación de usuario administrador y mail para hacer el reset de la password del mismo. Por el momento no hay parche oficial y compromete a todas las versiones de WordPress del branch 2.8 (no se ha probado en el branch 2.7).

Esta vulnerabilidad que podría parecer trivial y de poca importancia no es tan así dado que un atacante que tenga la posibilidad de ponerse en medio de la comunicación de envío de mail podría obligar a enviar el reset de la password y hacerse con la misma para luego cambiarla y quitar el acceso al verdadero admin. Así también sería trivial realizar un ataque automatizado a hostings que tienen muchas cuentas de WordPress.

Read More

Ponga su password aquí

Inaugurando la serie de Tips de seguridad comenzaremos con un tema que es bastante preocupante y a la vez difícil de manejar para los administradores de seguridad y sistemas de las empresas.

Las Passwords de los usuarios.

Y es que es entendible que a medida que se aumentan las barreras para evitar el ingreso no autorizado a la información los niveles de confort se vean afectados. Pero de allí a pegar las password en los monitores con un Post-It hay un trecho grande.

Una de las cosas que se realizan en una auditoría es mirar el entorno de los usuarios. Existe una alta probabilidad de que el mismo tenga a la vista información que permita el ingreso a su equipo, cuenta de mail, sistema, y hasta los datos para la ingresar al home banking. Si no es directamente mediante un papel pegado en el monitor, será en el escritorio, en la última hoja del talonario del calendario o en otro lugar.

Pero, ¿por que esto que parece tan de sentido común ocurre? y ¿como evitar que ocurra en nuestra organización?.

Read More