Adobe corregge grave vulnerabilità in Flash Player, Reader e Acrobat

Da Adobe arrivano numerosi update per Acrobat Pro (versione 9.x e 10.x), per il Reader (versione 9.x e 10.x) e per il Flash player, necessari per risolvere alcuni problemi di sicurezza e falle riscontrate nelle precedenti versioni. Adobe ha messo a disposizione vari update per Acrobat Pro (versione 9.x e 10.x), per il Reader (versione 9.x e 10.x) e per il Flash player, necessari per risolvere alcuni problemi di sicurezza e falle riscontrate nelle precedenti versioni.

Adobe ha rilasciato un aggiornamento per Flash Player, Adobe Reader e Adobe Acrobat che risolve la vulnerabilità individuata la scorsa settimana. Per la particolare gravità del bug, la patch è stata rilasciata “out-of-cycle”, ovvero prima del consueto aggiornamento trimestrale dei software Adobe. Un vulnerabilità critica è stata identificata nella componente authplay.dll fornita con Adobe Reader e Acrobat X (10.0.1) e 10.xe 9.x versioni precedenti per i sistemi operativi Windows e Macintosh. 

Questa vulnerabilità (CVE-2011-0609), come indicato nel Security Advisory APSA11-01 , potrebbe causare un crash e potenzialmente consentire ad un malintenzionato di prendere il controllo del sistema interessato. Ci sono rapporti che questa vulnerabilità viene sfruttata in attacchi mirati tramite Flash (. Swf) in un file incorporato di Microsoft Excel (. Xls) fornita come allegato e-mail. In questo momento, Adobe non è a conoscenza di attacchi diretti Adobe Reader e Acrobat. 

Adobe Reader X Protected Mode attenuanti potrebbero impedire a un exploit di questo tipo di esecuzione. Adobe consiglia agli utenti di Adobe Reader X (10.0.1) per Macintosh l'aggiornamento ad Adobe Reader X (10.0.2). Per gli utenti di Adobe Reader 9.4.2 per Windows e Macintosh, Adobe ha reso disponibile l'aggiornamento, Adobe Reader 9.4.3. Adobe consiglia agli utenti di Adobe Acrobat X (10.0.1) per Windows e Macintosh aggiornamento ad Adobe Acrobat X (10.0.2). 

Adobe consiglia agli utenti di Adobe Acrobat 9.4.2 per Windows e Macintosh aggiornamento ad Adobe Acrobat 9.4.3. Perché Adobe Reader X Protected Mode potrebbero impedire a un exploit di questo tipo da eseguire, stiamo progettando di affrontare questo problema in Adobe Reader X per Windows con il prossimo aggiornamento trimestrale di sicurezza per Adobe Reader, attualmente prevista per il 14 giugno 2011. 

Come da indicazioni Adobe, Flash Player 10.2.153.1 è scaricabile direttamente dall'Adobe Flash Player Download Center. Le ultime versioni di Adobe Acrobat e Reader sono raggiungibili seguendo le indicazioni presenti all'interno del relativo bollettino di sicurezza. Oltre che attraverso il menu Aiuto -> Ricerca aggiornamenti, gli update possono essere scaricati da questa pagina, dopo aver selezionato il software corretto, oppure cliccando sui link elencati qui di seguito:

- Flash Player 10.2.153.1 (5.5MB)

- Adobe Reader 10.0.2 per Mac con CPU Intel (11.4MB)

- Adobe Reader 9.4.3 per Mac con CPU PowerPC (17.8MB)

- Adobe Reader 9.4.3 per Mac con CPU Intel (16.7MB)

- Acrobat Pro 10.0.2 (10MB)

- Acrobat Pro 9.4.3 (38.4MB)

Adobe consiglia agli utenti di Adobe Flash Player 10.2.152.33 e versioni precedenti (Adobe Flash Player 10.2.154.18 e versioni precedenti per gli utenti di Chrome) per Windows, Macintosh, Linux e sistemi operativi Solaris l'aggiornamento ad Adobe Flash Player 10.2.153.1. Adobe consiglia agli utenti di Adobe Flash Player 10.1.106.16 versioni precedenti e per l'aggiornamento ad Android di Adobe Flash Player 10.2.156.12. 

Adobe consiglia agli utenti di Adobe AIR 2.5.1 e versioni precedenti per Windows, Macintosh e Linux l'aggiornamento ad Adobe AIR 2.6. Il proprio browser Google Chrome include già Adobe® Flash® Player incorporato. Google Chrome si aggiorna automaticamente quando è disponibile una nuova versione di Flash Player. Per ulteriori informazioni riguardo il supporto avanzato di Flash Player per Chrome, incluse le informazioni per gli sviluppatori, vedere questa nota tecnica.

Facebook e siti Web a rischio vulnerabilità HTTP Parameter Pollution

I siti Web negli ultimi anni si sono fatti sempre più interattivi, tramutandosi forma, da semplici pagine statiche, in delle applicazioni complesse e dinamiche. Questo ha portato dei grandi vantaggi agli utenti, in termini di piacevolezza e completezza dell’esperienza di navigazione, ma ha anche reso i siti stessi molto più vulnerabili sotto il profilo della sicurezza. Alcune delle principali falle di sicurezza sono ben note e studiate, altre non hanno finora ricevuto la stessa attenzione. Un giovane studioso italiano che lavora in Francia, all’istituto di ricerca Eurecom, Marco Balduzzi, ha presentato settimana scorsa alla conferenza «Black hat» di Barcellona, assieme a tre colleghi un rapporto che analizza appunto una delle vulnerabilità meno considerate, la «Http Parameter Pollution (Hpp)» che, come Balduzzi ha dimostrato analizzando 5.000 domini Internet popolari di Alexa, grazie a un sistema di scanning automatizzato creato ad hoc, è presente nel 30 % dei siti. L'HTTP Parameter Pollution (HPP) rappresenta una nuova classe di problemi per le applicazioni web. Una vulnerabilità  HPP permette ad un aggressore di iniettare un parametro (e il suo valore) all'interno dell'URL generato dall'applicazione. Come qualcuno saprà, il 14 maggio @ OWASP AppSec Polonia 2009, CTO Minded Security* e Stefano di Paola hanno presentato una nuova categoria di attacco chiamata HTTP Parameter Pollution (HPP). Gli attacchi HPP possono essere definiti come la possibilità di modificare o aggiungere parametri HTTP GET / POST iniettando delimitatori di stringa di query. Possono colpire tutte le tecnologie web quindi server-side e client-side. Le conseguenze dell'attacco dipendono dalla logica dell'applicazione, e può variare da un semplice fastidio a una corruzione totale del comportamento dell'applicazione. In altre parole, quasi un sito su tre, tramite dei link creati ad hoc, che vanno a rimpiazzare una delle variabili gestita dalle pagine, può essere indotto a comportarsi in maniera anomala. Le conseguenze possono essere l’invio di un post sulla propria pagina Facebook, cliccando per esempio su un link che in teoria doveva servire ad altro.

Http Parameter Pollution, a new category of web attacks

View more presentations from Wisec

Oppure, nei casi più gravi, si può giungere alla modifica fraudolenta della scelta di un utente in un sondaggio online, fino alla completa compromissione delle funzionalità di un sito di e-commerce, cambiando il prezzo di una merce in vendita. «Se controlli i parametri - ha spiegato Balduzzi a Forbes - puoi fare qualsiasi cosa». Sebbene l'HTML Parameter Pollution fu rivelato come una vulnerabilità due anni fa, Balduzzi ha creato uno strumento che individua i bug sul Web con uno scanner che egli chiama Parameter Pollution Analysis System, o PAPAS. Dallo scanning automatizzato messo a punto dai quattro ricercatori, è risultato che anche domini appartenenti a grandi entità del Web come Google, Facebook, Microsoft e Symantec potrebbero soccombere a un attacco di «parameter pollution», il che, a giudizio degli studiosi conferma come il problema sia stato finora sottostimato. «Per ora non si conoscono casi in cui la vulnerabilità Hpp sia stata sfruttata - afferma il giovane scienziato italiano - ma è solo questione di tempo. Gli sviluppatori Web devono diventare consapevoli della sua esistenza e scrivere il codice in maniera sicura. Altrimenti, prima o poi, qualcuno ne approfitterà». Balduzzi, classe 1982, è originario di Seriate e si è laureato all’Università di Bergamo. Dopo esperienze in Norvegia in Germania, e il lavoro come consulente di sicurezza informatica per aziende italiane e straniere, è approdato nel 2008 all’Eurecom, dove sta svolgendo il dottorato di ricerca. A questa pagina potete inviare il vostro sito per essere testato gratuitamente da PAPAS. Il sistema automatico analizzerà la vostra domanda e invierà un rapporto in formato HTML quando la scansione sarà completata.  PAPAS rappresenta il primo e unico sistema per rilevare in tempo reale problemi HPP in siti internet. Il sistema funziona attraverso la scansione dell'applicazione e il controllo di ogni pagina con un meccanismo fuzzing intelligente per scoprire eventuali iniezioni nei collegamenti e forms. Con questa iniziativa ci si augura di sensibilizzare e richiamare l'attenzione sul problema HPP. La documentazione completa in formato .PDF è disponibile a questo indirizzo.

* Minded Security è un operatore dell'informazione globale di protezione focalizzato sulla sicurezza delle applicazioni.

Via: La Stampa

Furti d'identità: i più esposti sono i giovani navigatori della Rete

I giovani saranno anche esperti conoscitori della rete, ma sta di fatto che l'identikit dell'italiano più esposto al furto di identità in Rete è proprio quello di giovani, residente nell'Italia nord occidentale, con un'età compresa tra i 25 e i 30 anni. Con l'evoluzione digitale, si sta assistendo ad una crescita del fenomeno del furto d'identità, inteso come appropriazione indebita di informazioni personali di un soggetto con lo scopo di commettere in suo nome atti illeciti a fini di guadagno personale. Secondo una ricerca realizzata da Cpp Italia, divisione della multinazionale inglese specializzata nella tutela delle carte di credito e dei documenti personali, in collaborazione con Unicri, è a rischio la sicurezza dei dati sensibili non solo di quanti vanno su Internet regolarmente (circa 55%) ma anche coloro che non ci vanno mai (34%). Le aree geografiche più esposte sono soprattutto il Nordovest e il Centro e in misura inferiore il Nordest e il Sud con le Isole. Proseguendo la lettura dei risultati della ricerca di Cpp si evince anche che i più attenti navigatori sono i cittadini con un età compresa tra i 31 e i 40 anni, perchè più smaliziati rispetto ai possibili pericoli del Web.

La minore padronanza di Internet, forse perchè acquisita in età adulta, mette a rischio anche la fascia dei 41-50enni. «La nostra ricerca - spiega Walter Bruschi, amministratore delegato di Cpp Italia - ha rilevato una serie di comportamenti potenzialmente pericolosi, che tutti poniamo in essere ogni giorno. L'82,5%, degli intervistati, ad esempio, rilascia online il proprio nome e cognome. Il 59% mette anche la data di nascita, il 48% anche il proprio indirizzo e il 33% anche il proprio numero di cellulare. Anche se pochi rilasciano tranquillamente il numero della propria carta di credito o il codice Pin». «Tutti questi comportamenti - aggiunge Bruschi - non sono pericolosi in assoluto. A fare la differenza sono i siti Internet sui cui vengono rilasciati i dati. Ad esempio, una nostra intervistata ha raccontato di aver acquistato un'auto online per il proprio figlio. Una volta inviata la foto del vaglia postale, i truffatori hanno immediatamente intascato la somma di 2.500 euro e sono entrati in possesso dei dati personali della famiglia riportati nel vaglia stesso».

«Il consiglio - spiega il manager di Cpp - è quindi sempre quello di prestare attenzione all'attendibilità di chi ci richiede le informazioni e soprattutto di non accedere mai a un sito Internet cliccando su un link presente in una e-mail ricevuta, ma digitare sempre personalmente l'indirizzo: quel link, infatti, potrebbe riportare a un sito «falso» ma con tutte le caratteristiche grafiche di quello originale. Immettendoci i nostri dati, li consegneremmo nelle mani dei truffatori». È preferibile dunque, «non inserire troppi dati personali quando ci si iscrive a un social network e soprattutto meglio utilizzare password differenti per i vari accessi a siti o servizi Internet». Un ultimo aspetto che merita di essere esaminato è quello delle difese adottate in Internet.  Il 92% degli intervistati da Cpp Italia utilizza un antivirus, l'84% cancella le e-mail di sconosciuti, mentre solo il 57% utilizza password differenziate. Una quota di intervistati, compresa tra il 50% e il 54%, utilizza firewall e antispyware o cancella la cronologia del browser e i suoi cookies.

Analizzando lo stato psicologico di chi subisce una frode, Cpp ha rilevato che forte è il sentimento di rabbia, frustrazione e impotenza con risvolti di depressione specie nelle donne. Fra quanti non sono stati vittime di furto di identità, molti hanno dichiarato che sarebbero colti dal panico per le tante cose da fare contemporaneamente e perchè non hanno le idee chiare su tutti i passi da seguire per risolvere il problema. «Molti - conclude Bruschi - non sanno con precisione a chi rivolgersi, oltre che alle forze dell'ordine, e tanti auspicano un maggiore livello di informazioni da parte dei media». Obiettivo di Cpp Identity Protection è soprattutto prevenire il furto dell'identità, mettendo a disposizione del cliente un numero verde che lo guiderà nell'affrontare eventuali chiarimenti e/o dubbi. Nel caso in cui comunque il furto d'identità avvenga, il cliente avrà un'assistenza legale specializzata che lo aiuterà a ripristinare la sua identità nel minor tempo possibile. La polizza inoltre coprirà le spese per il rifacimento dei documenti, per eventuali giorni di lavoro persi e le spese legali necessarie per ripristinare la situazione.

Via: La Stampa