Semana 24 Febrero - 2 Marzo 2003
Editorial
Sin duda alguna, la noticia de la semana es el anuncio de una importante vulnerabilidad descubierta en el popular servidor de correo (MTA) Sendmail, noticia de la que nos hacemos eco en este mismo boletín, donde pueden encontrar más información al respecto.
En boletines anteriores, analizamos el impacto del gusano “SQL Slammer”, que afectaba a sistemas Windows con SQL Server, y realizamos una interesante comparativa entre los modelos de seguridad de los sistemas propietarios y los sistemas libres. Es el momento de ver si las conclusiones obtenidas entonces son realmente válidas, ahora que contamos con un caso para un entorno abierto.
El grupo X-Force de la empresa Internet Security Systems (ISS) descubrió la vulnerabilidad a finales de la semana pasada y, tras elaborar el correspondiente informe y ponerse en contacto con el responsable del paquete (Sendmail.org), la dió a conocer al público a través de sus lista de correo. Gracias a la disponibilidad del código fuente, alguien externo a los responsables fueron capaces de auditar el software, algo imposible con entornos propietarios. Así mismo, al ofrecer información detallada al respecto, los distintos fabricantes de distribuciones Linux han sido capaces de elaborar parches que han puesto a disposición de sus usuarios inmediatamente. Finalmente, los administradores de los sistemas afectados cuentan con los medios de atajar esta nueva amenaza con total garantía, siempre y cuando sean técnicos cualificados y responsables que no pongan en peligro a sus sistemas por su neglicencia (tal y como ha ocurrido con el “SQL Slammer”, cuya existencia y solución se conocían seis meses antes del reciente ataque). Y todo esto en menos de una semana. Quedan claras, pues, las ventajas del software de código abierto desde el punto de vista de la seguridad.
¿Alguien da más? Hasta la semana que viene.
Empresa
Oracle9i certificado para SuSE Linux Enterprise Server 8
SuSE ha anunciado que han completado el proceso de certificación de SuSE Linux Enterprise Server 8, basado en UnitedLinux 1.0, tanto con Oracle9i como con Oracle9i Real Application Clusters.
Según Paula Hunter, directora general de UnitedLinux LLC, la certificación de Oracle supone un paso importante en su empeño de mostrar UnitedLinux al mercado como una distribución global, consistente e interoperable. Así, aquellos clientes que elijan las soluciones de Oracle pueden utilizar SuSE Linux Enterprise Server 8 con toda confianza.
Distribuciones
Freeduc, problemas con GPL
La Organización para el Software Libre en la Educación y la Enseñanza (OFSET) ha anunciado que retira de la libre descarga a través de Internet a Freeduc, un sistema Linux basado en Knoppix/Debian con software educativo, todo en un CD de arranque. Según los responsables del proyecto, OFSET no cuenta en la actualidad con los recursos necesarios para distribuir el código fuente de Freeduc junto con su versión binaria, por lo que incumplirían la licencia GPL. Por ello, y hasta nuevo aviso, han decidido optar por esta opción drástica, aunque así se mantienen dentro de la legalidad.
Enlaces:
Elección de nuevo líder del Proyecto Debian
Tras la finalización del periodo de nominaciones, cuatro candidatos inician sus campañas ante la elección del nuevo líder del Proyecto Debian, que tendrá lugar del 7 al 28 de Marzo. Los candidatos finales son Moshe Zadka, Bdale Garbee, Martin Michlmayr y Branden Robinson.
Enlaces:
Núcleo
Preparando el IO scheduler
Ya falta menos para la próxima versión del núcleo, todavía sin nombre (seguimos con la duda entre 2.6 ó 3.0). Si bien el próximo kernel no nos sorprenderá demasiado desde fuera, tiene diversascaracterísticas que harán que se note su uso en todos losentornos posibles.
Uno de estos entornos es por ejemplo el escritorio. Es obvio que las necesidades de una estación de trabajo no son las mismas que las de un servidor. Por ello, dispondremos de diversas optimizaciones en uno y otro sentido según sea el uso que demos a nuestro sistema.
Hemos visto ya nuevos parches como el “preemtive patch” de Robert Love, destinados a disminuir la latencia del núcleo, grandes mejoras en la memoria virtual y se empieza ya a consolidar el nuevo “IO scheduler”, del cual habla Andrew Morton esta semana.
El “IOscheduler”, o administrador de entrada y salida, se encarga de gestionar convenientemente el flujo de datos sobre todo entre los dispositivos de almacenamiento y la memoria o CPU.
En el próximo núcleo dispondremos de tres “sabores” de la nueva versión de este administrador, el CFQ, el “deadline” y el “anticipatory”.
Enlaces:
Seguridad
Vulnerabilidad en webmin
Se ha descubierto una vulnerabilidad en el programa miniserv.pl, que es el núcleo de webmin, que permite enmascarar el identificativo de sesión mediante la inclusión de metacaracteres de la codificación BASE64 en el proceso de autentificación. Esto podría llevar a que un atacante obtuviese acceso administrativo completo a webmin. Se recomienda, por tanto, la actualización a la versión 1.070.
Enlaces:
Importante vulnerabilidad en Sendmail
El grupo ISS X-Force ha descubierto una vulnerabilidad de desbordamiento de buffer en Sendmail, concretamente en las versiones anteriores a la 8.12.8. Esta vulnerabilidad podría ser aprovechada por un intruso para obtener el control del servidor de correo.
El problema consiste en la recepción de cierto tipo de mensajes de correo electrónico, elaborados premeditadamente para aprovechar la vulnerabilidad. Lo que hace a este agujero realmente crítico es que no existe posibilidad de filtrar este tipo de mensajes a nivel de red, por lo que sistemas de protección como los cortafuegos son inútiles ante esta amenaza. Aún más, los servidores de correo no vulnerables, sean sendmail o no, dejarán pasar los mensajes maliciosos hacia otros servidores, ya que ellos no se ven afectados ni detectan nada especial en su contenido.
Por ello, se recomienda encarecidamente la aplicación de los parches publicados por Sendmail.org o de las actualizaciones ya disponibles por parte de los más importantes distribuidores de Linux.
Enlaces:
- https://web.archive.org/web/20030305/http://www.iss.net/issEn/delivery/xforce/alertdetail.jsp?oid=21950
- http://www.sendmail.com/security/
Software
XFree86 4.3.0
El proyecto XFree86 ha anunciado la publicación de la nueva versión 4.3.0 de su entorno gráfico para sistemas Unix y otras plataformas. Entre los cambios de esta edición destacan las diversas mejoras introducidas en los drivers de video, la autodetección del protocolo de ratones PS/2, el soporte para redimensionar la ventana raíz en tiempo de ejecución y la actualización de la biblioteca Mesa para dar mejor soporte a OpenGL® 1.3 y DRI.
Enlaces:
Plone Information Management System
A mediados de Febrero, en la conferencia SolutionsLinux 2003, se presentó la verión 1.0 de Plone Information Management System, que ha visto publicada su primera actualización, la 1.0.1, esta misma semana. Se trata de un sistema de gestión de contenidos de código fuente abierto diseñado para el mundo profesional. Está disponible en 22 idiomas diferentes y tiene detrás a una gran comunidad de usuarios muy activa.
Plone está construido sobre el servidor de aplicaciones Zope y se perfila como un entorno ideal para servidores de intranet, sistemas de publicación de documentos y como herramienta de grupo para la colaboración entre entidades remotas. Plone funciona sobre Linux, Windows, Mac OSX y otras variantes Unix.
Plone incluye flujo de trabajo administrativo, multimedia, metadatos, búsqueda integrada y un sistema de plantillas compatible con los estándares. Es posible su integración con Microsoft Word, OpenOffice, la generación de PDF y la gestión de versiones a través de módulos añadidos.
El software se distribuye bajo dos licencias, la GPL y una licencia comercial, según el caso del usuario.
Enlaces:
Ocio
Preparada beta de Neverwinter Nights
La versión Linux del Neverwinter Nights está ya preparada para su uso público pero aún no disponible para descarga. Según los propios creadores del videojuego, esto es a causa de ciertos asuntos con la casa comercial que deben de ser resueltos antes de hacer la beta disponible públicamente.
Los usuarios de Linux llevan esperando ya bastante tiempo su versión de este fantástico juego, y parece que seguirán esperando un poco más.
Enlaces: