Oracle rilascia update di emergenza per chiudere falla critica in Java

Oracle ha rilasciato una patch di sicurezza per chiudere una vulnerabilità in Java che, se lasciata incontrollata potrebbe portare alla completata compromissione dei sistemi Microsoft Windows. Contestualmente Microsoft ha rilasciato 13 aggiornamenti destinati alla risoluzione di alcuni problemi presenti in Windows, Office, Internet Explorer e Microsoft Edge. Adobe ha rilasciato 4 aggiornamenti che risolvono diverse vulnerabilità nei prodotti Photoshop, Bridge, Flash Player, Experience Manager e Adobe Connect. La lacuna di sicurezza di Oracle risolvere un difetto che può essere sfruttato quando Java versione 6, 7 o 8 è installata su una piattaforma Windows.

Oracle, aggiornamento critico trimestrale: bloccate 193 vulnerabilità

In occasione del tradizionale Patch day mensile di luglio, Microsoft ha rilasciato 14 aggiornamenti per risolvere 59 vulnerabilità che affliggono diversi suoi prodotti, tra cui Internet Explorer. Adobe ha rilasciato le patch per il suo software Flash che fissano un paio di vulnerabilità di sicurezza critiche esposte dal mega breach di Hacking Team. Facebook e Mozilla hanno criticato il plugin per i gravi problemi di sicurezza. Allo stesso tempo, Oracle ha reso disponibile il pacchetto di aggiornamenti critici del terzo trimestre dell'anno. La società ha rilasciato correzioni per chiudere un toatle di 193 falle, che sono molte di più rispetto a quelle chiuse ad aprile.

Oracle rilascia 36 aggiornamenti per fissare 144 vulnerabilità in Java

Adobe,  Microsoft  e Oracle hanno rilasciato separatamente degli aggiornamenti di sicurezza per risolvere gravi vulnerabilità nei loro prodotti. Adobe ha rilasciato alcune patch per Acrobat, Flash, Reader e AIR, mentre Microsoft ha spinto fuori correzioni per fissare almeno una mezza dozzina di bug di sicurezza in Windows e Office. Oracle ha rilasciato un aggiornamento per Java che risolve almeno tre dozzine di vulnerabilità di sicurezza nel programma ampiamente utilizzato. 

Martedì scorso Oracle ha rilasciato una Critical Patch Update di un (CPU) con nuovi aggiornamenti di sicurezza per 144 vulnerabilità nei suoi prodotti, di cui 36 correzioni per Java Standard Edition 7 (Java SE 7). Trentaquattro delle vulnerabilità Java possono essere sfruttate da remoto senza autenticazione. L'elenco dei prodotti Oracle interessati comprende diverse versioni di Oracle Database e Fusion Middleware, così come le sue applicazioni aziendali, prodotti sistemi Sun e MySQL.

Questi sono tra i più pericolosi tipi di difetti del software Java. Andando a un passo ulteriore, Oracle ha classificato cinque delle nuove vulnerabilità con il più alto Common Vulnerability Scoring System (CVSS) punteggio di 10. Oltre a Java, Oracle Fusion Middleware Suite viene patchato per diverse vulnerabilità. In totale, Oracle ha patchato 22 falle di sicurezza in Fusion, di cui diciannove sfruttabili da remoto senza autenticazione dell'utente e un solo difetto comporta un punteggio CVSS di 10.

A causa di attacchi riusciti Oracle raccomanda di applicare le correzioni al più presto. Oracle rilascia CPU su base trimestrale il Martedì più vicino al 17° giorno di gennaio, aprile, luglio e ottobre, quindi l'annuncio era stato previsto. Ma Oracle è sotto i riflettori dei media, perché ciò fa seguito alla notizia che i server pubblicitari di Yahoo! sono stati usati per la distribuzione di malware a centinaia di migliaia di utenti, soprattutto in Europa, attraverso un exploit abilitato da una vulnerabilità Java.

Gli analisti di Fox-IT, una società di sicurezza con sede in Olanda, ha dato la notizia dell'attacco il 3 gennaio scorso. Secondo quanto riportato, a partire dal 30 dicembre 2013, cliccare su alcuni annunci pubblicitari distribuiti dai server di Yahoo! portava all'installazione sul proprio PC di trojan horse come ZeuS, Andromeda e Necurs. Gli exploit sembravano essere contenuti in un dominio dei Paesi Bassi. Yahoo! ha comunicato di aver rimosso i contenuti pubblicitari in questione. 

Inoltre, ha aggiunto che gli annunci pubblicitari contenenti malware sono stati rimossi e che gli utenti di Apple o dispositivi mobili non sono stati attaccati. Fox-IT ha stimato che gli annunci in questione sono stati visualizzati da circa 300.000 utenti all'ora, e di questi circa 27.000 all'ora sono stati infettati. I paesi con gli utenti più colpiti sono stati la Romania, Gran Bretagna e Francia. le potenziali vittime sono state soprattutto gli utenti senza un recente update dei software che gestiscono Java. 

Via: Krebs On Security

Oracle rilascia Critical Patch che consente di risolvere 40 vulnerabilità

Oracle ha appena rilasciato il suo Critical Patch Update di giugno 2013 per Oracle Java SE. Questo Critical Patch Update numero 25 di Java 7, è una raccolta delle patch per tappare diverse vulnerabilità di sicurezza in Oracle Java SE. L'aggiornamento contiene in totale 40 nuove correzioni di vulnerabilità di sicurezza, 37 delle quali affrontano delle vulnerabilità che portano all'esecuzione di malware. Le vulnerabilità di sicurezza sono segnati con CVSS versione 2.0.

Tra gli aggiornamenti uno risolve una vulnerabilità frame injection trovata nello strumento JavaDoc, un generatore di documentazione comunemente usato nei siti web. A causa della minaccia rappresentata da un attacco di successo, Oracle raccomanda vivamente di applicare il Critical Patch Update al più presto possibile. La suddetta vulnerabilità, identificata come CVE-2013-1571, può essere usata per rubare importanti dati degli utenti, iniettando un frame controllato dall'attaccante generato nella pagina JavaDoc HTML. 

Javadoc è uno strumento che genera documentazione .HTML da commenti Javadoc nel codice. Java fornisce un meccanismo automatico per generare la documentazione in formato .HTML. La vulnerabilità è dovuta a un difetto nel codice JavaScript che è incluso come parte delle pagine HTML generate dallo strumento Javadoc. Quindi tutti i siti web che utilizzano tali pagine HTML possono essere sfruttate da un utente malintenzionato per rubare i loro dati utente o per installare malware reindirizzando l'utente ignaro al sito web controllato dall'utente malintenzionato. 

Questa vulnerabilità può essere utilizzata attraverso tecniche d'ingegneria sociale o tramite phishing, e potrebbe essere utilizzata per lo sfruttamento del browser web, se combinata con un'altra vulnerabilità del browser correlata. Oracle ha rilasciato in particolare due correzioni nel suo Critical Patch Update per risolvere questa vulnerabilità. Un'altra vulnerabilità facilmente sfruttabile nel componente Java Runtime Environment di Oracle Java SE, permette attacchi di rete riusciti non autenticati tramite protocolli multipli. 

Un attacco di successo di questa vulnerabilità, identificata come CVE-2013-2400, può causare aggiornamento non autorizzato, inserire o cancellare l'accesso ad alcuni dati accessibili Runtime Environment Java. Le seguenti versioni di Oracle Java SE sono interessate: JDK e JRE 7 Update 21 e versioni precedenti; JDK e JRE 6 Update 45 e precedenti; JDK e JRE 5.0 Update 45 e precedenti; JavaFX 2.2.21 e precedenti. Le prossima data in programma per Oracle Java SE Critical Patch Update è il 15 ottobre 2013.

Via: Oracle

Oracle anticipa update critico di febbraio e corregge 50 falle in Java 7

Oracle ha deciso di rilasciare in anticipo il Critical Patch Update di febbraio 2013 (CPU) per Java SE. L'aggiornamento originale era stato programmato per essere rilasciato il 19 febbraio prossimo, ma Oracle ha deciso di accelerare il rilascio di questo CPU per lo sfruttamento attivo "in the wild" di una delle vulnerabilità che interessano il Java Runtime Environment (JRE) nei browser desktop.

Oltre al fix di sicurezza in profondità, la CPU di febbraio per Java SE si rivolge a un totale di 50 vulnerabilità, 44 delle quali influiscono sulla distribuzione del client di Java. Tre dei bug possono essere sfruttati su desktop tramite Java Web Start e Java applet nel browser, o nei server, e due delle correzioni si applicano alla distribuzione server di  Java Secure Socked Extension (JSSE).

49 di queste vulnerabilità possono essere sfruttate da remoto senza autenticazione, ad esempio, possono essere sfruttati tramite una rete senza la necessità di un nome utente e una password. La descrizione di questa matrice di rischio può essere trovata qui. I punteggi CVSS suppongono che un utente esegue un applet Java o applicazioni Java Web Start con privilegi di amministratore (tipico in Windows).

Quando l'utente non esegue con privilegi di amministratore (tipico su Solaris e Linux), i corrispondenti punteggi CVSS di impatto riservatezza, integrità e disponibilità sono "Parziali" invece di "Complete", abbassando il punteggio Base CVSS. Ad esempio, un punteggio base di 10,0 diventa 7,5. Per problemi nella distribuzione, le correzioni sono messi a disposizione solo per JDK e JRE 7 e 6.

Oracle raccomanda ai clienti di applicare le correzioni (Update 13) al più presto possibile. Fino a quando non verranno applicate le correzioni, è possibile ridurre il rischio di successo limitando i protocolli di rete richiesti da un attacco. Per gli attacchi che richiedono determinati privilegi o l'accesso a certi pacchetti, è possibile ridurre il rischio di successo di un attacco, eliminando i privilegi o la possibilità di accedere ai pacchetti da parte di utenti non privilegiati

Twitter ha annunciato di aver subito un attacco informatico che ha messo a rischio la sicurezza dei dati di 250  mila utenti. Anche se il portavoce di Twitter, Jim Prosser, non ha specificato come i cracker abbiano potuto piratare gli account, all'origine dell'attacco ci sarebbe proprio la vulnerabilità nel software Java di Oracle. Va segnalato, al riguardo, che Apple non consegna più computer con java attivato e ha già provveduto a disabilitare Java sui computer già installati.

Via: Oracle

Oracle, rilasciata patch di emergenza per chiudere vulnerabilità in Java 7

A pochi giorni dalla pubblicazione dei dettagli su una pericolosa vulnerabilità di Java, Oracle ha rilasciato un Security Alert per risolvere tre vulnerabilità distinte ma correlate e un singolo problema di sicurezza a più livelli di cui è affetto il pacchetto Java funzionante sui browser desktop. Queste vulnerabilità sono: CVE-2012-4681, CVE-2012-1682, CVE-2012-3136 e CVE-2012-0547.

Queste vulnerabilità non sono applicabili alle app desktop standalone Java o Java in esecuzione sul server, vale a dire queste vulnerabilità non influenzano alcun software basato su server Oracle. Le vulnerabilità CVE-2012-4681, CVE-2012-1682 e CVE-2012-3136 hanno ricevuto un punteggio CVSS di base 10,0. Questo punteggio presuppone che gli utenti interessati debbano disporre di privilegi amministrativi, come è tipico in Windows XP.

La vulnerabilità CVE-20120-0547 ha ricevuto un punteggio CVSS di base 0.0, perché questa vulnerabilità non è sfruttabile direttamente nelle distribuzioni degli utenti tipici, ma Oracle ha rilasciato una protezione in profondità per correggere questo problema in quanto può essere utilizzato in combinazione con altri fattori di vulnerabilità per aumentare in modo significativo l'impatto complessivo di un exploit di successo.

Se sfruttata, questa vulnerabilità può fornire ad un malintenzionato la possibilità di piantare binari discrezionali sul sistema compromesso, ad esempio, la vulnerabilità può essere sfruttata per installare malware, tra cui trojan, sul sistema di destinazione. Si noti che questo malware può in alcuni casi essere rilevato da correnti firme antivirus al momento dell'installazione.

A causa della gravità elevata di queste vulnerabilità, Oracle consiglia di applicare questo Avviso di protezione il più presto possibile. Inoltre, si noti che i dettagli tecnici di queste vulnerabilità sono ampiamente disponibili su Internet e Oracle ha ricevuto segnalazioni esterne che queste vulnerabilità possono essere sfruttate in natura. Gli sviluppatori devono scaricare l'ultima versione da http://www.oracle.com/technetwork/java/javase/downloads/index.html.

Gli utenti Java utenti devono scaricare l'ultima versione di JRE a http://java.com/it, e, naturalmente, gli utenti Windows possono usufruire del Java Automatic Update per ottenere la versione più recente. Gli utenti possono verificare l'esecuzione della versione più recente di Java visitando: http://java.com/it/download/installed.jsp. Le istruzioni per la rimozione di vecchie (e meno sicure) versioni di Java può essere trovato a http://java.com/it/download/faq/remove_olderversions.xml.

Fonte: Oracle

Oracle patcha 87 vulnerabilità che includono tutti i prodotti della società

Oracle (NSDQ: ORCL ) ha rilasciato un Critical Update Patch (CPU) di consulenza per luglio con un totale di 87 patch di sicurezza che comprendono tutto il portafoglio dei prodotti globali della società. Ci sono cinque vulnerabilità presenti nei prodotti database server di Oracle, quattro delle quali potrebbero consentire l'esecuzione di codice in modalità remota senza autenticazione. La vulnerabilità più importante riguarda Oracle JRockit, (CVE-2012-3135), che è elencata con un punteggio di base 10,0, il rating più alto e più critico a disposizione.

Altre correzioni importanti sono 22 falle in Oracle Fusion Middleware, 9 in PeopleSoft, 7 in Siebel e 21 in Solaris. Sono state stabilite inoltre sei falle in MySQL, per fortuna nessuna delle quali può causare l'esecuzione di codice in modalità remota. A proposito di questo aggiornamento Critical Patch (CPU), a differenza delle patch di Microsoft, Oracle conserva le sue per un comunicato stampa trimestrale. Due vulnerabilità nel bollettino sono valutati a 7,8 sulla stessa scala di 10. Le patch per uno qualsiasi dei prodotti Oracle sono cumulativi, cioè includono tutte le correzioni dei precedenti CPU.

"Questa è come una tempesta perfetta", ha detto Marcus Carey, ricercatore di sicurezza a Rapid7. Una vulnerabilità nella componente dei livelli di rete Server Database Oracle (CVE-2012-1745). Le versioni supportate interessate sono 10.2.0.3, 10.2.0.4, 10.2.0.5, 11.1.0.7, 11.2.0.2 e 11.2.0.3. Vulnerabilità facilmente sfruttabili permettono il successo degli attacchi di rete non autenticati tramite Oracle NET. L'attacco con successo di questa vulnerabilità può provocare un blocco o un crash frequentemente ripetibile (completo DOS) del livello di rete. CVSS Base punteggio 5.0 (impatti disponibilità).

Una vulnerabilità nel componente di Oracle Application Express Listener di Listener Oracle Application Express (CVE-2012-1740). Le versioni supportate interessate sono le 1.1, 1.1.1, 1.1.2 e 1.1.3. Vulnerabilità facilmente sfruttabili permettono il successo degli attacchi di rete non autenticati tramite HTTP. L'attacco con successo di questa vulnerabilità può causare non autorizzato accesso in lettura a qualsiasi posizione arbitraria del sistema operativo. Nota : il punteggio di base CVSS è 7.8 solo per Windows. Per Linux, Unix e altre piattaforme, il punteggio di base CVSS è di 5,0, e l'impatto per la riservatezza è parziale.

Listener Application Express è un prodotto Oracle che è indipendente da Application Express, non è parte della distribuzione Application Express e può essere ottenuto solo attraverso il download di OTN. Viene utilizzato come metodo alternativo per mettere in comunicazione TLS protetto tra Application Express e i client. Solo i clienti che hanno scelto di scaricare e installare questa applicazione separata devono applicare questa patch. Punteggio CVSS Base 7.8 (impatti di riservatezza).

Una vulnerabilità nel componente Apache di Oracle Secure Backup, (CVE-2011-3192). Le versioni supportate interessate sono 10.3.0.3 e 10.4.0.1. Vulnerabilità facilmente sfruttabili permettono il successo degli attacchi di rete non autenticati tramite HTTP. L'attacco con successo di questa vulnerabilità può provocare il blocco non autorizzato del sistema operativo o un crash frequentemente ripetibile (completo DOS). Punteggio di base CVSS 7.8 (impatti disponibilità).

Una vulnerabilità nel componente di Oracle HTTP Server di Oracle Fusion Middleware (sottocomponente: Listener Web), (CVE-2011-3368). Le versioni supportate interessate sono 10.1.3.5, 11.1.1.5 e 11.1.2.0. Vulnerabilità facilmente sfruttabili permettono il successo degli attacchi di rete non autenticati tramite HTTP. L'attacco con successo questa vulnerabilità può causare l'accesso non autorizzato l'accesso in lettura a un sottoinsieme di dati Oracle HTTP Server accessibili. Punteggio 5,0 Base CVSS (impatti di riservatezza).

Una vulnerabilità nel componente PeopleSoft Enterprise HRMS Products di Oracle PeopleSoft (sottocomponente: Gateway Candidate), (CVE-2012-1748). La versione supportata che è interessata è di 9,1. Vulnerabilità facilmente sfruttabili permettono il successo degli attacchi di rete autenticate tramite HTTP. L'attacco con successo di questa vulnerabilità può causare non autorizzato accesso in lettura a un sottoinsieme di dati accessibili PeopleSoft Enterprise HRMS. CVSS Base punteggio 4.0 (impatti di riservatezza). Gli aggiornamenti sono applicabili direttamente dal sito di Oracle.

Microsoft: 7 patch risolvono 28 vulnerabilità e nuovo Windows Update

Microsoft ha pubblicato il Security Bulletin Advance Notification di giugno con il quale comunica gli aggiornamenti che verranno distribuiti martedì prossimo agli utenti di Windows. E' d'un patch day corposo che comprende in totale 7 bollettini che risolvono 28 vulnerabilità. Tre dei sette aggiornamenti sono classificati come critici e riguardano i sistemi operativi Windows, Internet Explorer (da 6 a 9) e .NET framework.

Per il bollettino numero 1 Microsoft ha adottato una classificazione anomala: la vulnerabilità viene considerata moderata per Windows 7 e critica per Windows 7 SP1. Lo stesso update riguarderà tutte le release di Windows Server, dalla 2003 alla 2008 R2, e probabilmente introdurrà modifiche per Terminal Services, il servizio che gestisce le licenze mediante certificati digitali, principale bersaglio del malware Flame.

Dato che Flame lavora con una particolare struttura modulare, anche i tecnici di Redmond hanno pianificato una strategia di difesa in diverse fasi. Con la prima patch rilasciata domenica scorsa (Security Advisory 2718704) sono stati invalidati tutti i certificati di autenticazione compromessi che i malintenzionati usano per distribuire il malware, e anche quelli appartenenti al sistema di licenze di Terminal Server.

Visto che Flame passa dalla porta principale, mandando in tilt il meccanismo che viene utilizzato proprio per distribuire le patch di sicurezza, Microsoft ha dovuto poi rivedere il modo in cui Windows Update e Windows Server Update Services, gestiscono le certificazioni. Da questo momento, assicura l'azienda, non sarà più possibile aggirare le protezioni e far circolare Flame tramite il sistema degli aggiornamenti automatici.

Le patch riguarderanno anche Windows XP SP3, Microsoft Office, Microsoft Visual Basic for Applications e Microsoft Dynamics AX 2012. Le patch critiche più una di quelle importanti risolvono vulnerabilità che consentono di eseguire codice da remoto. Una delle patch per IE chiuderà forse la falla 0-day, scoperta durante il recente Pwn2Own, che permette di superare la modalità protetta del browser.

Fonte: Web News
Via: Punto Informatico

Chrome 15, importante update risolve vulnerabilità ad alto rischio

Google ha rilasciato un aggiornamento per Chrome 15, rivolto a risolvere una vulnerabilità ad alto rischio. Il problema di sicurezza è il risultato di un out-of-bounds nella scrittura della memoria nel motore JavaScript del browser. In circostanze normali, tale vulnerabilità potrebbe consentire l'esecuzione di codice in modalità remota e sarebbe considerata critica. 

Tuttavia, dato che Google Chrome utilizza una sandbox nativa che impedisce agli aggressori di eseguire codice dannoso, la gravità del bug è stata declassata. La vulnerabilità è stata scoperta dall'ingegnere di sicurezza di Mozilla Christian Holler, che è stato ricompensato per la sua segnalazione con 1.000 dollari attraverso il programma Chromium Vulnerability Rewards. 

Il nuovo Google Chrome 15.0.874.121 per Windows, Mac e Linux, si rivolge anche alla risoluzione di un problema non legato alla sicurezza che ignora eventuali dimensioni specificate per determinati elementi SVG caricati all'interno di iframes. Questo è in realtà un bug di regressione introdotto da recenti modifiche al codice. 

Altre correzioni contenute in questo update sono l'aggiornamento del NAT traversal utilizzato dalla funzionalità di accesso remoto Chromoting, il processo di login, la blacklist della GPU e la visualizzazione della cartella dei download.  Chromoting (Me2Mom) è la webapp ancora in fase beta del team di Google, che permette di condividere il proprio desktop con un altro utente Google Chrome, visualizzando e gestendo in modo facile e sicuro il proprio PC. 

L'aggiornamento include anche alcune correzioni di bug minori nel motore JavaScript V8. Informazioni dettagliate sulle modifiche a Chrome sono disponibili nel log delle revisioni SVN. Come al solito, Chrome 15.0.874.121 può essere scaricato per Windows da qui, per Mac OS X da qui e per Linux da qui. Per gli utenti che hanno già in esecuzione il browser, Chrome effettuerà l'aggiornamento in maniera automatica.

Via: PC World

Disponibili aggiornamenti di sicurezza per Adobe Reader e Acrobat

Oltre agli aggiornamenti odierni di Microsoft, gli utenti di Adobe Reader e Acrobat su entrambi i sistemi Windows e iOS hanno bisogno di aggiornare il proprio software al più presto. Adobe ha rilasciato il Bollettino APSB11-24, rilevando almeno tredici errori di corruzione della memoria, e diversi privilege escalation, logig flaw, e questioni di bypass.

Oracle prepara il rilascio di numerose patch per fissare 78 vulnerabilità

Oracle si sta preparando a rilasciare un aggiornamento di sicurezza Martedì 19 luglio, al fine di patchare decine di vulnerabilità che colpiscono centinaia dei suoi prodotti. "Questa patch di aggiornamento critico contiene 78 nuovi aggiornamenti di sicurezza su vulnerabilità di centinaia di prodotti Oracle. Alcune delle vulnerabilità affrontate in questa patch di aggiornamento critico riguardano più prodotti", dichiara l'azienda. Trovata vulnerabilità in Oracle JRockit di Oracle Fusion Middleware, Oracle Secure Backup e SPARC Serie T3, SPARC Serie Netra T3 di Oracle Sun Products Suite portano il punteggio massimo della scala CVSS. Tredici vulnerabilità saranno patchate nel server database di Oracle, la più grave delle quali ha un punteggio CVSS base di 7.1. Due delle falle possono essere sfruttate da remoto. Tre falle saranno affrontate in Oracle Secure Backup. Tutte queste possono essere sfruttate attraverso la rete senza autenticazione e il loro punteggio più alto è 10. Nel frattempo, la famiglia dei prodotti Oracle Fusion Middleware riceverà sette correzioni di vulnerabilità, alcune delle quali affronteranno difetti per l'esecuzione di codice remoto. Un altra grande serie di patch si rivolgerà a diciotto vulnerabilità in Oracle Enterprise manager Grid Control. Nove di queste sono sfruttabili da remoto, ma il punteggio più alto CVSS è di 6,8. La catena di fornitura prodotti della suite Oracle e Oracle E -Business Suite riceveranno ciascuno una correzione di sicurezza per i difetti con un punteggio di 4 e 4,3 rispettivamente. Dodici le vulnerabilità che saranno affrontate nella famiglia di prodotti Oracle PeopleSoft. Solo una di esse può essere sfruttata da remoto. Tuttavia, il maggior numero di vulnerabilità, 23, sarà fissato nei prodotti ereditati da parte di Oracle Sun, tra cui Solaris e VirtualBox. "A causa della minaccia rappresentata da un attacco riuscito, Oracle raccomanda di applicare correzioni Critical Patch Update il più presto possibile", scrive la compagnia.