Nuova falla zero-day senza patch in Adobe Flash, Acrobat e Reader

Una nuova e pericolosa falla di sicurezza è stata individuata in Flash Player. Ne da notizia la stessa Adobe che ha pubblicato un apposito advisory di sicurezza classificando il bug come di 'livello critico'. Il bug si trova attualmente nella condizione 'zero-day' in cui non è ancora disponibile una patch correttiva e allo stesso tempo si segnalano i primi attacchi informatici che sfruttano la vulnerabilità. Un Security Advisory (APSA11-01) è stato pubblicato in relazione a un problema in Adobe Flash Player (CVE-2011-0609).

Una vulnerabilità critica in Adobe Flash Player e versioni precedenti 10.2.152.33 (Adobe Flash Player 10.2.154.18 e precedenti per gli utenti di Chrome) per Windows, Macintosh, Linux e sistemi operativi Solaris, Adobe Flash Player e versioni precedenti 101.106.16 per Android, e la componente authplay.dll fornita con Adobe Reader e Acrobat X (10.0.1) e 10.xe 9.x versioni precedenti per i sistemi operativi Windows e Macintosh.

Ci sono rapporti che questa vulnerabilità viene sfruttata in attacchi mirati tramite Flash (. Swf) in un file incorporato di Microsoft Excel (. Xls) fornita come allegato e-mail. Secondo un post nel blog del ricercatore senior malware di Kaspersky Lab Roel Schouwenberg, l'exploit non sembra funzionare su Windows 7. Questa vulnerabilità critica è stata identificata con il codice CVE-2011-0609.

In questo momento, Adobe non è a conoscenza di attacchi diretti Adobe Reader e Acrobat. Adobe è in procinto di mettere a punto una correzione al problema e auspica di mettere a disposizione un aggiornamento per Flash Player 10.xe versioni precedenti per Windows, Macintosh, Linux, Solaris e Android, e un aggiornamento per Adobe Acrobat X (10.0.1 ) e versioni precedenti 10.xe 9.x versioni per Windows e Macintosh, Adobe Reader X (10.0.1) per Macintosh e Adobe Reader 9.4.2 e precedenti versioni 9.x durante la settimana del 21 marzo 2011.

Dato che Adobe Reader X Protected Mode potrebbe impedire l'esecuzione d'un exploit di questo tipo, al momento Adobe sta pensando di affrontare la questione in Adobe Reader X per Windows con il prossimo aggiornamento trimestrale di sicurezza per Adobe Reader, attualmente prevista per il 14 giugno 2011.