Alert Logic: nuovo bug Grinch colpisce le piattaforme basate su Linux

I ricercatori di sicurezza di Alert Logic hanno portato alla luce una vulnerabilità nelle piattaforme Linux che potrebbe interessare ogni sistema, compresi server, smartphone e tablet Android. Questa vulnerabilità, soprannominata "Grinch", nome che rievoca il famoso personaggio dei fumetti creato da Dr. Seuss, potrebbe potenzialmente consentire a un utente di ottenere l'accesso di root di un sistema, bypassando quindi tutti i meccanismi di sicurezza per lasciare la macchina di destinazione del tutto inerme. Questo difetto, dopo la vulnerabilità "Poodle" che colpisce i prodotti conformi alle specifiche SSL 3.0, permetterebbe di scalare i privilegi ad insaputa dell'utente.

NAS di Buffalo Technology non colpiti dalla vulnerabilità Hearthbleed

I NAS delle famiglie LinkStation e TeraStation, così come tutti i router AirStation operanti con i firmware firmati Buffalo Technology, non sono stati messi a rischio dai problemi di sicurezza provocati dalla vulnerabilità Heartbleed. Buffalo, tuttavia, invita gli utenti a prestare attenzione alle impostazioni di tre dei suoi router fuori produzione, su cui potrebbe essere stato installato il firmware DD-WRT.

Heartbleed Scanner, tool gratuito per controllo Android app a rischio

Heartbleed bug esiste in OpenSSL, un'implementazione comune del protocollo SSL utilizzato per proteggere le comunicazioni su Internet. Non importa quale browser o dispositivo si sta utilizzando, se ci si connette, o interagendo con siti e servizi che utilizzano una versione vulnerabile di OpenSSL, eventuali dati trasmessi sono  a rischio di compromissione. La scoperta della falla ha reso urgente un cambio di password che però potrebbe non essere sufficiente.

La maggior parte dei siti Web sono stati rapidi nel rispondere a questa notizia, ma dato che l'exploit è esistito per oltre 2 anni, non è chiaro se tutti gli utenti malintenzionati lo abbiano scoperto autonomamente e siano rimasti in silenzio per rubare i dati degli utenti. Questo è grave, sebbene la patch per Heartbleed è stata resa disponibile fin da quando la vulnerabilità è stata divulgata pubblicamente, e la maggior parte dei siti hanno già adottato le opportune misure correttive. 

Ma i restanti siti e dispositivi consumer orientati Internet-of-things che si basano sul protocollo OpenSSL e non hanno ancora provveduto alla correzione dell'Heartbleed bug sono a maggior rischio,  dato che la falla è pubblica e gli aggressori generalmente si concentrano su obiettivi facili ad alto valore, come le applicazioni mobili. Al CM Security Research Lab, sono state identificate oltre 1.700 applicazioni che sono vulnerabili a questo difetto a partire dal 19 aprile 2014. 

Le app sono a rischio, dato che molte di esse comunicano con i server Web per convalidare le informazioni degli account e trasferire i dati. Nei giorni scorsi, la stessa Google Security ha comunicato che i device con installata la versione Android 4.1.1 sono potenzialmente vulnerabili ad un attacco hacker, che potrebbe causare la perdita di password, messaggi ed altre informazioni degli utenti. Google sta inviando le patch per questo problema ai suoi partner Android.

Anche se Heartbleed è principalmente una vulnerabilità Web, alcune delle app comunicano con i server via HTTP/HTTPS utilizzando OpenSSL, e quindi possono essere colpite dal bug. La società di sicurezza CloudFlare ha dimostrato che sfruttando la falla è possibile rubare i certificati di sicurezza che stabiliscono l'autenticità di un sito. Intanto, è stato arrestato il primo hacker che avrebbe approfittato del bug per rubare dati all'agenzia delle entrate canadese.

Per questo KS Mobile, una sussidiaria di Kingsoft Internet Security Software e nota per la produzione di Cleanmaster, tool gratuito per l'ottimizzazione dei dispositivi Android, nonché di Battery Doctor, offre a tutti gli utenti Heartbleed Scanner, disponibile gratuitamente nel Google Play store. Heartbleed Scanner, che ha ricevuto oltre 1 milione di download in una settimana, dirà se le app installate sono affette dalla vulnerabilità con possibile rischio per la sicurezza.

Via: KS Mobile

Heartbleed Checker, da McAfee tool gratuito per verificare siti colpiti

McAfee, parte di Intel Security, ha rilasciato un tool gratuito per aiutare gli utenti a rendersi conto in modo semplice se rischiano di essere colpiti dagli effetti potenzialmente pericolosi del bug Heartbleed, una vulnerabilità del codice di crittografia OpenSSL, che ha esposto al rischio milioni di informazioni personali degli utenti. Inserendo il nome del dominio del sito web nello strumento Heartbleed Checker, gli utenti possono determinare immediatamente se i siti che frequentano sono stati colpiti da Heartbleed, o se sono stati aggiornati alla versione di OpenSSL insensibile al bug.

Heartbleed, milioni di password a rischio per grave falla in OpenSSL

Per milioni di utenti di internet carte di credito, password e dati sensibili sono a rischio da due anni. La colpa è di una falla nel sistema di crittografia "OpenSSL", utilizzato da due terzi dei server per proteggere le transazioni commerciali, le comunicazioni riservate e altri contenuti che dovrebbero rimanere inaccessibili. La minaccia è stata denominata "Heartbleed" (cuore sanguinante), e potrebbe essere stata sfruttata dagli hacker per impadronirsi di una gigantesca mole di dati senza lasciare alcuna traccia.

Il mal funzionamento è stato scoperto da un gruppo di ricercatori finlandesi che lavorano per Codenomicon, società che produce sistemi di sicurezza di Saratoga, California. Insieme a loro anche due ingegneri di Google hanno individuato l'errore. Heartbleed apre una falla nel sistema SSL/TLS (protocolli Transport Layer Security), la cui presenza è identificata da un lucchetto nella barra degli indirizzi del browser e dalla scritta "HTTPS", cioè i simboli che indicano all'utente che la connessione è sicura. 

Il bug Heartbleed consente a chiunque su Internet di leggere la memoria dei sistemi protetti dalle versioni vulnerabili del software OpenSSL. Questo compromette le chiavi segrete utilizzate per identificare i fornitori di servizi e per crittografare il traffico, i nomi e le password degli utenti e il contenuto effettivo. Ciò consente agli aggressori di spiare le comunicazioni, rubare dati direttamente da servizi e utenti, nonché di impersonare servizi e utenti. Nelle loro mani potrebbero essere finiti anche dati sanitari.

Non è ancora chiaro quanti e quali siano i siti Internet interessati dal problema, ma potrebbero essere moltissimi perché la criticità riguarda il sistema più utilizzato in Rete. Tra i sistemi operativi  vulnerabili: Debian Wheezy, Ubuntu 12.04.4 LTS, CentOS 6.5, Fedora 18, OpenBSD 5.3, FreeBSD 8.4, NetBSD 5.0.2 and OpenSUSE 12.2. CVE-2014-0160 è il riferimento ufficiale per questo bug. Secondo i ricercatori lo sfruttamento del bug non lascia traccia di qualsiasi cosa anormale accada ai registri. 

Il bug avrebbe messo a rischio soprattutto Yahoo! Mail, Tumblr e Flickr, ma non è escluso che potrebbero esser stati presi di mira anche Google, Facebook, Amazon e Twitter. L'aspetto più curioso è che si tratta di una falla non recente: risale infatti al 2011, ma è stata scoperta solo Lunedì. E' possibile controllare se un sito è vulnerabile inserendo l'indirizzo Web a questa pagina. Anche se la falla può essere chiusa con un update software, secondo gli esperti ci sono motivi per continuare ad essere preoccupati.

"Credo che nessuna persona che abbia usato questa tecnologia si trovi in una posizione tale da poter dire con certezza che i suoi dati non sono stati compromessi", afferma David Chartier, amministratore delegato della società di sicurezza informatica Codenomicon. Lunedì i ricercatori della società hanno invitato le aziende a cambiare le loro chiavi private di criptazione e chiesto agli utenti della Rete di inserire nuove password, soprattutto per i siti in cui si conservano informazioni sensibili.

"Se avete bisogno di restare anonimi o di avere privacy, fareste meglio a non usare Internet per i prossimi giorni", ha avvertito in un messaggio Tor Project, il sistema di comunicazione anonima. Come spiega Electronic Frontier Foundation (EEF), Heartbleed non è un bug nella progettazione di HTTPS in sé, ma piuttosto il risultato di un semplice errore di programmazione nel software OpenSSL. EEF consiglia di implementare Perfect Forward Secrecy, che protegge i dati cifrati, anche nel caso siano stati intercettati.