[wordpress]

WordPress ya está maduro y cosas como esta hacen darle un voto positivo.

Instalado un template en un cliente me aparece este error:

Warning: touch() [function.touch]: SAFE MODE Restriction in effect. The script whose uid is 10277 is not allowed to access /tmp owned by uid 0 in /var/www/vhosts/dominio.comm/httpdocs/wordpress/wp-admin/includes/file.php on line 199  Download failed. Could not create Temporary file.

Es normal en los alojamientos con safe_mode activado y seguramente no quieran desactivarlo por seguridad.

Para ello, nos creamos nuestro propio tmp ( teniendo en cuenta los problemas de seguridad que podría ocasionar )

mkdir /var/www/vhosts/dominio.com/httpdocs/tmp 

# ajustar el usuario real para asignarle al directorio
chown dominio.com:psacln  /var/www/vhosts/dominio.com/httpdocs/tmp

# para que el usuario apache pueda escribir tambien
chmod 777 /var/www/vhosts/dominio.com/httpdocs/tmp

Ahora lo más interesante ,a gregar a nuestro fichero wp-config.php, esta linea :

define('WP_TEMP_DIR','/var/www/vhosts/dominio.com/httpdocs/tmp');

Con este cambio lo que hemos hecho ha sido preprar un tmp e indicarle a wordpress que por defecto ese es el directorio temporal.

Me ha gustado mucho encontrarme con estos detalles que demuestran la madured del proyecto.

[movistar] Comerciales que graban las conversaciones sin avisar

Acaban de hacerme una boludo-llamada en nombre de movistar para cambiarme de compañía, y bueno… no suelo escuchar las ofertas por que me parecen todas un timo. Pero bueno, en este caso les he dado una oportunidad.

Todo ha empezado como la típica charla boludeña… pero me ha extrañado algunos silencios al pronunciar algunas palabras y números, cosa que me ha mosqueado y mucho. Por ejemplo: si, no, números . Ese silencio me recordó a la época en la que trabajaba con centralitas digitales. Así que le he preguntado al operador que si estaba grabando la conversación y tras intentar hacerse el sueco, siendo argentino me ha dicho que sí, que qué problema hay ?.

Parece ser que las empresas que sub-sub-sub-sub-contrata movistar no conocen que hay una ley de protección de datos en España y que están obligados a informar que la conversación se está grabando. Parece que a las megacorporaciones le siguen siendo indiferentes las leyes.

[debian][rails] Could not find [GEM] locally or in a repository

Arrrrrg !!!!!!

Tiempo hacía que tenía ganas de volver a rails pero el trabajo le quita a uno la vida y las ganas :D.
Hoy he retomado un ambicioso proyecto que tengo funcionando de forma automática y que me apetece evolucionar. Para ello estoy montando mi plataforma de desarrollo e instalando el software necesario.

Llevo perdida como una hora y media intentando instalar gemas ( ‘gems’ ) de ruby, así que como ya está soucionado, aquí os dejo la solución ( con Debian claro )

El caso es que al intentar hacer algo como esto :gem install nokogiri -r

siempre me aparecía este error :
Could not find nokogiri locally or in a repository

Al final he optado por hacer una búsqueda en el repositorio :
# gem list –remote

*** REMOTE GEMS ***

ERROR: While executing gem … (Gem::RemoteFetcher::FetchError)
bad response Found 302 (http://gems.rubyforge.org/latest_specs.4.8)

WTF !!!

Ruby y Rails siempre me han dado la impresión de ser algo muy estable usable y funcional… vamos una JOYA .

El caso es que parce que hay algún problema con el paquete ‘gems’ de ruby y genera un fichero en ~/.gem que provoca estos contratiempos. Eliminandolo parece volver a funcionar como debe ser.

p.d.: se me ha tostao firefox mientras escribía con scribefire y me ha conversado lo que llevaba escrito !!!!

[xploit] Grave fallo de seguridad en el kernel 2.6

Aunque llegamos tarde para anunciar la noticia, es necesario comentar aquí la necesidad de aplicar los parches que salieron hace dos días 21 de Septiembre que corrijen un grabe fallo de seguridad en los kernels 2.6 bajo máquinas con arquitectura x86_64.

El fallo se puede explotar localmente en la máquina y consiste en acceder vía  “compat_alloc_user_space()” esta función no está correctamente securizada y no se verifican los tamaños de los punteros con lo que se puede hacer un buffer overflow y todo lo que ello conlleva… Al parecer el fallo lleva 2 años en el kernel y no fué comunicado en todo este tiempo por la gente que ha desarrollado el xploit pero sí lo han utilizado para su beneficio propio:

  • Signed-off-by: David L Stevens <dlstevens@us.ibm.com>
  • Signed-off-by: YOSHIFUJI Hideaki <yoshfuji@linux-ipv6.org>
  • Signed-off-by: David S. Miller <davem@davemloft.net>

El exploit lo podeis localizar en ABftw.c al menos se han preocupado de eliminar las partes jugosas para que los scriptkidies no hagan de las suyas.

Más interesante que leerse el exploit es comprobar que tu máquina no esté infectada y para ello debes descargar este binario y ejecutarlo con un usuario que no sea root ( recuerda que es sólo para máquinas x86_64 ->  uname -p  )$ wget -N https://www.ksplice.com/support/diagnose-2010-3081
$ chmod +x diagnose-2010-3081
$ ./diagnose-2010-3081
Diagnostic tool for public CVE-2010-3081 exploit — Ksplice, Inc.
(see http://www.ksplice.com/uptrack/cve-2010-3081)

$$$ Kernel release: 2.6.18-194.11.3.el5
$$$ Backdoor in LSM (1/3): checking…not present.
$$$ Backdoor in timer_list_fops (2/3): not available.
$$$ Backdoor in IDT (3/3): checking…not present.

Your system is free from the backdoors that would be left in memory
by the published exploit for CVE-2010-3081.

Para evitar que se explote el fallo hay una solución que lo mitiga y consiste en no permitir ejecutar binarios x86 o i386 en la máquina usando esta linea# echo ‘:32bits:M::x7fELFx01::/bin/echo:’ > /proc/sys/fs/binfmt_misc/register

Provoca que los binarios de 32 bits sólo hagan un “echo” con su nombre de fichero y sus parámetros. El problema es que necesites algunos binarios de 32 bits como es el caso del drweb-update.

De todas formas ya hay kernel nuevo para instalar, reiniciar y listo.

Más información en :

https://access.redhat.com/kb/docs/DOC-40265
https://www.ksplice.com/uptrack/cve-2010-3081
https://rhn.redhat.com/errata/RHSA-2010-0704.html
https://rhn.redhat.com/errata/RHSA-2010-0705.html
http://seclists.org/fulldisclosure/2010/Sep/268