Adobe rilascia update per fissare 82 bug in Flash, Acrobat e Reader

Microsoft ha rilasciato gli aggiornamenti di sicurezza relativi al Patch Day di luglio e Adobe ha chiuso 52 vulnerabilità trovate all'interno di Flash Player, molte delle quali portano all'esecuzione di codice remoto. L'aggiornamento include correzioni nei sistemi operativi Microsoft Windows, Apple Mac, Linux e Chrome OS, così come Google Chrome, Microsoft Edge e Internet Explorer 11. Oltre a Flash Player, Adobe ha anche fissato 30 problemi di sicurezza in Adobe Acrobat e Reader, e un problema di divulgazione delle informazioni in XMP Toolkit per Java, un altro dei prodotti di Adobe. Non ci sono falle zero-day incluse in questo aggiornamento, a differenza dello scorso mese.

Adobe: aggiornamento per sistemare 34 vulnerabilità in Flash e AIR

In occasione del tradizionale Patch day mensile di agosto, Microsoft ha rilasciato 14 aggiornamenti per risolvere 58 vulnerabilità che affliggono diversi suoi prodotti, tra cui il nuovo sistema operativo Windows 10. Anche Adobe ha rilasciato un bollettino di sicurezza che risolve 34 vulnerabilità nei suoi prodotti Flash Player e Air, alcune delle quali potrebbero consentire a un utente malintenzionato di assumere il controllo del sistema interessato. Ci sono stati numerose falle di sicurezza in Flash nel corso del tempo, la più recente all'inizio di luglio di quest'anno, che si è conclusa con gli hacker che hanno eseguito codice maligno su un computer tramite un sito Web.

Adobe rilascia una patch di emergenza per risolvere un bug in Flash

Adobe Systems ha rilasciato un aggiornamento di emergenza per la protezione che corregge una vulnerabilità critica sfruttata da un gruppo di cyberspionaggio. Nel corso delle ultime settimane, un gruppo di hacker identificato dalla ditta di sicurezza FireEye come APT3 e responsabile per la cosiddetta operazione Clandestine Fox, ha utilizzato la falla per attaccare organizzazioni delle industrie aerospaziale, difesa, costruzioni, ingegneria, tecnologia, telecomunicazioni e trasporti. Il gruppo di hacker prende di mira le aziende con e-mail di phishing generiche che contengono un link ad un server compromesso, hanno detto i ricercatori di FireEye.

Adobe rilascia update di sicurezza che risolve 13 bug in Flash Player

Microsoft in occasione del patch day di giugno ha rilasciato 45 correzioni per Windows. Due degli otto aggiornamenti sono considerati critici e i restanti importanti. Microsoft ha detto che tutti e i difetti critici potrebbero essere sfruttati in remoto dagli hacker. Diverse sono le vulnerabilità che colpiscono Internet Explorer e la più grave può consentire l'esecuzione di codice in modalità. Anche Adobe ha rilasciato un bollettino di sicurezza che risolve 13 bug in Flash Player, uno dei quali potrebbe consentire a un utente malintenzionato di assumere il controllo del sistema interessato. Nessuno dei problemi di sicurezza vengono comunque sfruttati pubblicamente.

Adobe rilascia due bollettini di sicurezza per Acrobat, Reader e Flash

Microsoft in occasione del patch day di maggio ha rilasciato 13 di correzioni per Windows, Internet Explorer, .NET Framework, Microsoft Office, Microsoft Lync e Microsoft Silverlight. La più grave delle vulnerabilità affrontate potrebbe consentire l'esecuzione di codice in modalità remota se un utente visualizza una pagina Web dannosa. Nel contempo, Adobe Systems ha rilasciato il suo pacchetto di correzioni pianificato. Si tratta di due aggiornamenti critici di sicurezza per Adobe Reader, Acrobat e Flash Player. A entrambi sono stati dati un punteggio di 2 da Adobe. I difetti riguardano versioni del software su Mac, PC e LInux, sostiene Adobe nei security advisory.

Adobe: tre bollettini risolvono bug in ColdFusion, Flex e Flash Player

Microsoft in occasione del patch day di aprile ha rilasciato 26 di correzioni per Windows, Office ed Internet Explorer. Oracle ha rilasciato patch per risolvere 98 bug di sicurezza nei suoi prodotti, 14 in Java. Nel frattempo, Adobe Systems ha rilasciato il suo pacchetto di correzioni pianificato. Si tratta di tre bollettini di sicurezza che chiudono complessivamente 24 vulnerabilità nei prodotti Flash Player, ColdFusion e Flex. Adobe ha rilasciato update di sicurezza per Flash Player per Windows, Macintosh e Linux. Questi aggiornamenti riguardano 22 bug che potrebbero consentire a un utente malintenzionato di assumere il controllo del sistema interessato.

Adobe rilascia importanti aggiornamenti per Flash, AIR e ColdFusion

Adobe, Microsoft e Oracle hanno rilasciato aggiornamenti per tappare falle di sicurezza critiche nei loro prodotti. Adobe ha rilasciato le patch per il suo software Flash Player, Adobe AIR e ColdFusion. Una patch da Oracle corregge almeno 25 falle in Java. E Microsoft ha spinto le patch per risolvere almeno due dozzine di vulnerabilità in un certo numero di componenti di Windows, tra cui Office e Internet Explorer. Uno degli aggiornamenti risolve una falla zero-day già sfruttata in attacchi attivi di cyber spionaggio.

Adobe risolve bug in Flash Player, ritarda patch per Reader e Acrobat

Microsoft ha rilasciato gli aggiornamenti di sicurezza relativi al Patch Day di settembre e Adobe ha tappato dodici vulnerabilità critiche in Flash Player. Diversi anni fa, Adobe ha scelto di consegnare i suoi aggiornamenti mensili lo stesso giorno di Microsoft, poiché i prodotti di Adobe come Flash e Acrobat sono legati così strettamente a Internet Explorer. Ma citando problemi durante i test di regressione, altre correzioni che riguardano i prodotti Acrobat e Reader per i sistemi Windows e Macintosh, verranno rilasciate da Adobe la settimana del 15 settembre 2014.

Adobe risolve diverse vulnerabilità di sicurezza in Flash Player e AIR

Microsoft ha rilasciato gli aggiornamenti di sicurezza relativi al Patch Day di giugno e Adobe ha tappato diverse vulnerabilità critiche in Flash Player e AIR. Una delle sei vulnerabilità descritte nel Security Bulletin APSB14-16 permette di iniettare codice arbitrario ed eseguirlo. Adobe ha rilasciato gli aggiornamenti di sicurezza per Adobe Flash Player 13.0.0.214 e Adobe Flash Player 11.2.202.359 e versioni precedenti per Windows e Macintosh Linux. Questi aggiornamenti riguardano vulnerabilità che potrebbero consentire a un utente malintenzionato di assumere il controllo del sistema interessato. 

Le Common Vulnerabilities and Exposures sono: CVE-2014-0531, CVE-2014-0532, CVE-2014-0533, CVE-2014-0534, CVE-2014-0535, CVE-2014-0536. Adobe RIA-Plattform (Rich Internet Application) AIR, che si basa su Flash, è disponibile su tutti i sistemi supportati nella nuova versione 14.0.0.110. Adobe consiglia agli utenti di aggiornare le installazioni dei prodotti alle ultime versioni. Gli utenti di Adobe Flash Player 13.0.0.214 e versioni precedenti per Windows e Macintosh devono aggiornare Adobe Flash Player 14.0.0.125. 

Gli utenti di Adobe Flash Player 11.2.202.359 e precedenti versioni per Linux devono aggiornare a Adobe Flash Player 11.2.202.378. Adobe Flash Player 13.0.0.214 installato con Google Chrome verrà aggiornato automaticamente alla versione più recente di Google Chrome, che comprenderà Adobe Flash Player 14.0.0.125 per Windows, Macintosh e Linux. Adobe Flash Player 13.0.0.214 installato con Internet Explorer 10 sarà automaticamente aggiornato alla versione più recente di Internet Explorer 10, che comprenderà Adobe Flash Player 14.0.0.125 per Windows 8.0. 

Adobe Flash Player 13.0.0.214 installato con IE 11 sarà automaticamente aggiornato alla versione più recente di Internet Explorer 11, che comprenderà Adobe Flash Player 14.0.0.125 per Windows 8.1. Gli utenti di Adobe AIR SDK 13.0.0.111 e versioni precedenti devono aggiornare a Adobe AIR SDK 14.0.0.110. Gli utenti di Adobe AIR SDK 13.0.0.111 & Compiler e versioni precedenti devono aggiornare ad Adobe AIR SDK 14.0.0.110 & Compiler. Gli utenti di Adobe AIR 13.0.0.111 e versioni precedenti per Android dovrebbero aggiornare a Adobe AIR 14.0.0.110. 

Gli utenti di Adobe AIR 13.0.0.111 e versioni precedenti per Windows e Macintosh devono aggiornare a Adobe 14.0.0.110. Per verificare la versione di Adobe Flash Player installato sul proprio sistema, accedere alla pagina Informazioni su Flash Player, oppure fare clic destro sul contenuto eseguito in Flash Player e selezionare "Informazioni su Adobe (o Macromedia) Flash Player" dal menu. Se si utilizzano più browser, eseguire la verifica per ogni browser installato sul proprio sistema. Per verificare la versione di Adobe AIR installato sul proprio sistema, seguire le istruzioni della nota tecnica di Adobe AIR.

Microsoft: contenuti streaming di Infinity arrivano sulla console Xbox

Microsoft e Infinity (gruppo Mediaset), annunciano la partnership che consente ai possessori di console Xbox di accedere ai contenuti on demand di Infinity. Grazie alla consulenza tecnologica di Accenture e alla nuova versione di Accenture Video Solution, Infinity continua ad ampliare i propri servizi, offrendo nuove modalità di intrattenimento ed interazione al pubblico. Dai prossimi giorni le famiglie avranno una possibilità in più di vivere il meglio del cinema senza interruzioni e con la migliore qualità non solo su smartphone, tablet, PC o Smart TV, ma anche dalla propria console Xbox senza costi aggiuntivi rispetto alla sottoscrizione mensile.

Scoperta grave falla zero-day in tutte le versioni di Internet Explorer

Microsoft è al lavoro per risolvere una grave falle nel suo browser Internet Explorer che ha permesso ai criminali informatici di impersonare siti Web noti per rubare i dati degli utenti. Microsoft ha avvertito che la vulnerabilità è stata già utilizzata in "attacchi limitati e mirati" contro persone e reti che utilizzano le versioni di Internet Explorer da 6 a 11, che costituiscono più di un quarto di tutti i browser Web, secondo la società di ricerca Netmarketshare. 

L'azienda non ha ancora rilasciato un update per proteggere gli utenti dagli hacker che stanno approfittando di questo bug, ma ha detto che prenderà le "misure appropriate" quando avrà completato la sua indagine. Nel Security Advisory n.2963983 Microsoft spiega di essere a conoscenza di attacchi limitati e mirati che tentano di sfruttare una vulnerabilità in IE 6, IE 7, Internet Explorer 8, Internet Explorer 9, Internet Explorer 10, e Internet Explorer 11.

La vulnerabilità zero-day CVE-2014-1776 è legata all'esecuzione di codice in modalità remota. La falla è dovuta al modo in cui Internet Explorer accede a un oggetto in memoria che è stato eliminato o non è stato correttamente assegnato. La vulnerabilità potrebbe danneggiare la memoria in un modo che potrebbe consentire a un utente malintenzionato di eseguire codice arbitrario nel contesto dell'utente corrente all'interno di Internet Explorer. 

Un utente malintenzionato potrebbe pubblicare un sito Web appositamente predisposto per sfruttare la vulnerabilità tramite Internet Explorer e quindi convincere un utente a visualizzare il sito Web. Al termine di questa indagine, Microsoft prenderà i provvedimenti del caso per proteggere i clienti. La patch potrebbe essere inclusa  nel suo processo di rilascio di aggiornamento mensile, o attraverso un update di sicurezza out-of-cycle.

I computer che eseguono Windows XP non riceveranno alcun update perché Microsoft ha concluso l'8 aprile l'assistenza tecnica del sistema operativo lanciato tredici anni fa. Come riporta la BBC, sono circa il 30% di tutti gli utenti desktop che eseguono il vecchio O.S. e gli analisti hanno già avvertito che gli utenti sono vulnerabili agli attacchi dei cyber-criminali. I test di Symantec hanno confermato la vulnerabilità di Internet Explorer in Windows XP.

Microsoft ha rilasciato suggerimenti sul suo sito web su come i reparti IT possano mitigare la vulnerabilità mentre lavora su un modo per risolvere il problema. Enhanced Mitigation Experience Toolkit (EMET) consente di ridurre lo sfruttamento di questa vulnerabilità con l'aggiunta di strati di protezione aggiuntive che rendono la vulnerabilità più difficile da sfruttare. Per ulteriori informazioni, vedere l'articolo della Microsoft Knowledge Base 2458544.

Oltre a utilizzare EMET, il Symantec Security Response incoraggia gli utenti a passare temporaneamente a un browser Web diverso fino a quando una patch non verrà rilasciata. Symantec protegge contro l'attacco Bloodhound.Exploit.552. La rivelazione del  bug segue la scoperta di una delle vulnerabilità più importanti mai trovate nei software. Heartbleed bug è stato usato per rubare le password degli utenti e dati confidenziali, come i numeri di previdenza sociale canadesi. 

Adobe rilascia patch importanti per due bug da tappare nel suo Flash

Adobe ha legato il suo programma di aggiornamento mensile al Patch Tuesday di Microsoft. Questo mese ha rilasciato un aggiornamento leggero (APSB14-08) con solo due patch per Flash in Windows, Mac e Linux, probabilmente perché le patch critiche sono state rilasciate come correzioni out-of-band di emergenza nel corso dell'ultimo mese. Le correzioni di Martedì che risolvono le vulnerabilità CVE-2014-0503 e CVE-2014-0504, sono entrambe classificate come importanti, senza attualmente exploit attivi noti.  La prima consentirebbe a un utente malintenzionato di by-passare il same-origin policy, e potrebbe quindi agevolare attacchi di cross-site request-forgery.

La seconda potrebbe essere utilizzata per leggere il contenuto degli appunti. Adobe ha rilasciato gli aggiornamenti di sicurezza per Adobe Flash Player 12.0.0.70 e versioni precedenti  per Windows e Mac e Adobe Flash Player 11.2.202.341 e versioni precedenti per Linux. Questi aggiornamenti riguardano vulnerabilità importanti, e Adobe consiglia agli utenti di aggiornare le installazioni dei prodotti alle ultime versioni. Gli utenti di Adobe Flash Player 12.0.0.70 e versioni precedenti per Windows e Mac dovrebbero aggiornare a Adobe Flash Player 12.0.0.77. Gli utenti di Adobe Flash Player 11.2.202.341 e precedenti versioni per Linux dovrebbero aggiornare a Adobe Flash Player 11.2.202.346. 

Adobe Flash Player 12.0.0.70 installato con Google Chrome verrà aggiornato automaticamente alla versione più recente di Google Chrome, che comprenderà Adobe Flash Player 12.0.0.77 per Windows, Macintosh e Linux. Adobe Flash Player 12.0.0.70 installato con Internet Explorer 10 sarà automaticamente aggiornato alla versione più recente di Internet Explorer 10, che comprenderà Adobe Flash Player 12.0.0.77 per Windows 8.0. L'11 marzo 2014, Microsoft ha rilasciato un aggiornamento (2938527) per Internet Explorer 10 su Windows 8, Windows Server 2012 e Windows RT e per Internet Explorer 11 su Windows 8.1, Windows Server 2012 R2 e Windows RT 8.1. 

In uno scenario di attacco dal Web - spiega Microsoft - dove l'utente utilizza Internet Explorer per desktop, un utente malintenzionato potrebbe ospitare un sito Web contenente una pagina utilizzata per sfruttare una di queste vulnerabilità. Inoltre, i siti Web manomessi e quelli che accettano oppure ospitano contenuti o annunci pubblicitari forniti dagli utenti potrebbero presentare contenuti appositamente predisposti per sfruttare una di queste vulnerabilità. Adobe Flash Player 12.0.0.70 installato con Internet Explorer 11 sarà automaticamente aggiornato alla versione più recente di Internet Explorer 11, che comprenderà Adobe Flash Player 12.0.0.77 per Windows 8.1. 

Come spiega Adobe nel suo bollettino di sicurezza, per verificare la versione di Adobe Flash Player installata sul proprio sistema, accedere alla pagina Informazioni su Flash Player , oppure fare clic destro sul contenuto eseguito in Flash Player e selezionare "Informazioni su Adobe (o Macromedia) Flash Player" dal menu. Se si utilizzano più browser, eseguire la verifica per ogni browser installato sul proprio sistema. Per verificare la versione di Adobe Flash Player per Android, andare a Impostazioni> Applicazioni> Gestisci Applicazioni> Adobe Flash Player xx. Per verificare la versione di Adobe AIR installato sul proprio sistema, seguire le istruzioni riportate nella nota tecnica Adobe AIR.

Via: Computer World

Adobe day, aggiornamenti di sicurezza per Flash Player e Shockwave

Adobe e Microsoft hanno ciascuno rilasciato separatamente aggiornamenti di sicurezza per rimediare a bug zero-day e altre vulnerabilità critiche nei loro software. Adobe ha rilasciato correzioni per il suo Flash Player e Shockwave, mentre Microsoft ha spinto fuori 11 aggiornamenti per affrontare almeno due dozzine di difetti di Windows e altri software.  In cima alla lista delle priorità per gli utenti Windows c'è la MS13-096, una patch che risolve un buco di sicurezza critico in alcune versioni di Windows e Office. 

Microsoft per primo ha messo in guardia su questo difetto all'inizio di novembre. Adobe ha rilasciato gli aggiornamenti di sicurezza per Adobe Flash Player 11.9.900.152 e versioni precedenti per le versioni precedenti per Windows e Macintosh Linux e Adobe Flash Player 11.2.202.327. Questi aggiornamenti riguardano vulnerabilità che potrebbero causare un crash e potenzialmente consentire a un utente malintenzionato di assumere il controllo del sistema interessato. 

Adobe ha detto che è a conoscenza di segnalazioni di un exploit progettato per ingannare l'utente ad aprire un documento di Microsoft Word con Flash (.Swf) dal contenuto maligno (CVE-2013-5331). Adobe Flash Player 11.6 e versioni successive forniscono una mitigazione contro questo attacco. Adobe consiglia agli utenti di aggiornare le installazioni dei prodotti alle ultime versioni: gli utenti di Adobe Flash Player 11.9.900.152 e versioni precedenti per Windows e Macintosh dovrebbero aggiornare Adobe Flash Player 11.9.900.170. 

Gli utenti di Adobe Flash Player 11.2.202.327 e precedenti versioni per Linux dovrebbero aggiornare a Adobe Flash Player 11.2.202.332. Adobe Flash Player 11.9.900.152 installato con Google Chrome verrà aggiornato automaticamente alla versione più recente di Google Chrome, che comprenderà Adobe Flash Player 11.9.900.170 per Windows, Macintosh e Linux. Adobe Flash Player 11.9.900.152 installato con Internet Explorer 10 sarà automaticamente aggiornato alla versione più recente di Internet Explorer 10, che comprenderà Adobe Flash Player 11.9.900.170 per Windows 8.0. 

Adobe Flash Player 11.9.900.152 installato con Internet Explorer 11 sarà automaticamente aggiornato alla versione più recente di Internet Explorer 11, che comprenderà Adobe Flash Player 11.9.900.170 per Windows 8.1. Gli utenti di Adobe AIR 3.9.0.1210 e versioni precedenti per Windows e Macintosh dovrebbero aggiornare ad Adobe AIR 3.9.0.1380. Gli utenti di Adobe AIR 3.9.0.1210 e versioni precedenti per Android dovrebbero aggiornare a Adobe AIR 3.9.0.1380. 

Gli utenti di Adobe AIR SDK 3.9.0.1210 e versioni precedenti dovrebbero aggiornare a Adobe AIR 3.9.0.1380 SDK. Gli utenti di Adobe AIR 3.9.0.1210 SDK & Compiler e versioni precedenti dovrebbero aggiornare a Adobe AIR 3.9.0.1380 SDK & Compiler. Per verificare la versione di Adobe Flash Player installato sul proprio sistema, accedere alla pagina Informazioni su Flash Player, oppure fare clic destro sul contenuto eseguito in Flash Player e selezionare dal menu "Informazioni su Adobe (o Macromedia) Flash Player". 

Se si utilizzano più browser, eseguire la verifica per ogni browser installato sul proprio sistema. Per verificare la versione di Adobe Flash Player per Android, andare su Impostazioni> Applicazioni> Gestisci Applicazioni> Adobe Flash Player xx. Per verificare la versione di Adobe AIR installato sul proprio sistema, seguire le istruzioni riportate nella nota tecnica Adobe AIR. Questi aggiornamenti risolvono vulnerabilità di corruzione della memoria che potrebbero provocare l'esecuzione di codice (CVE-2013-5329, CVE-2013-5330).

Adobe ha rilasciato un aggiornamento di sicurezza per Adobe Shockwave Player 12.0.6.147 e versioni precedenti sui sistemi operativi Windows e Macintosh. Questo aggiornamento risolve una vulnerabilità che potrebbe consentire a un utente malintenzionato che sfrutti questo difetto, di eseguire codice dannoso sul sistema interessato. Adobe consiglia agli utenti di Adobe Shockwave Player 12.0.6.147 e versioni precedenti l'aggiornamento ad Adobe Shockwave Player 12.0.7.148, disponibile qui. Questo aggiornamento risolve vulnerabilità di corruzione della memoria che potrebbero provocare l'esecuzione di codice (CVE-2013-5333, CVE-2013-5334).

Via: Adobe

Adobe, rilasciati nuovi aggiornamenti di sicurezza per Flash Player 11

Microsoft ha rilasciato otto bollettini di sicurezza per il Patch Day di novembre 2013 che risolvono 19 vulnerabilità. Tra gli aggiornamenti critici c'è un aggiornamento cumulativo per la protezione di Internet Explorer che permette di fissare dieci vulnerabilità presenti nel browser di Microsoft. L'update riguarda tutte le versioni di Internet Explorer (dalla sei alla recentissima versione 11). Secondo Microsoft, con Internet Explorer 11 il caricamento dei siti Web è più veloce del 9% rispetto alla versione precedente e del 30% rispetto ai browser concorrenti.

La patch critica finale risolve essenzialmente una falla zero-day di Internet Eplorer mostrata in  attacchi mirati alla fine della scorsa settimana, che compromette chiunque visiti un sito web malevolo, un classico attacco del tipo drive-by download. Contestualmente, anche Adobe ha anche rilasciato un aggiornamento Flash Player, fissando due vulnerabilità. Adobe ha rilasciato gli aggiornamenti di sicurezza per Adobe Flash Player 11.9.900.117 e versioni precedenti per Windows e Macintosh e Adobe Flash Player 11.2.202.310 e versioni precedenti per Linux. 

Questi aggiornamenti riguardano vulnerabilità che potrebbero causare un crash e potenzialmente consentire a un utente malintenzionato di assumere il controllo del sistema interessato. Adobe consiglia agli utenti di aggiornare le installazioni dei prodotti alle ultime versioni. Gli utenti di Adobe Flash Player 11.9.900.117 e versioni precedenti per Windows e Macintosh dovrebbero aggiornare ad Adobe Flash Player 11.9.900.152. Gli utenti di Adobe Flash Player 11.2.202.310 e versioni precedenti per Linux dovrebbero aggiornare a Adobe Flash Player 11.2.202.327.

Google Chrome con installato Adobe Flash Player 11.9.900.117 verrà aggiornato automaticamente alla versione più recente di Chrome, che include Flash Player 11.9.900.152 per Windows, Macintosh e Linux. IE 10 con installato Adobe Flash Player 11.9.900.117 verrà aggiornato automaticamente alla versione più recente di Internet Explorer 10, che comprende Flash Player 11.9.900.152 per Windows 8.0. IE 11 con installato Flash Player 11.9.900.117 verrà aggiornato automaticamente alla versione più recente di IE 11, che comprende Flash Player 11.9.900.152 per Windows 8.1.

Gli utenti di Adobe AIR 3.9.0.1030 e versioni precedenti per Windows e Macintosh dovrebbero aggiornare ad Adobe AIR 3.9.0.1210. Gli utenti di Adobe AIR 3.9.0.1060 e versioni precedenti per Android dovrebbero aggiornare ad Adobe AIR 3.9.0.1210. Questi aggiornamenti risolvono vulnerabilità di corruzione della memoria che potrebbero provocare l'esecuzione di codice (CVE-2013-5329, CVE-2013-5330). Per verificare la versione di Adobe Flash Player installato sul sistema, accedere alla pagina Informazioni su Flash Player.

L'aggiornamento sembra non far riferimento al recente attacco hacker subito da Adobe e in seguito al quale Facebook ha deciso di inviare un avviso agli utenti che utilizzano la medesima password sia sul social network che su Adobe con cui chiede di modificarla. Adobe ha ammesso, il 3 ottobre 2013, che il suo sito era stato violato ed aveva stimato che 2,9 milioni di password erano state compromesse. Sembra che Adobe aveva sottovalutato la portata della pirateria informatica. I numeri rivisti potrebbero essere fino a 38 milioni di password e informazioni relative a carte di credito e anche il codice sorgente di Photoshop, Clodfusion e Acrobat.

Fonte: Adobe

Via: US-Cert

Microsoft: pericoloso exploit in Internet Explorer 8, rilasciato un fix-it

Una vulnerabilità critica presente in Internet Explorer 8 viene sfruttata in wild. Gli attacchi vengono realizzati utilizzando pagine web che contengono codice malevolo in grado di sfruttare tale vulnerabilità. A seguito della scoperta della nuova vulnerabilità zero-day nella versione del browser IE 8, Microsoft ha rilasciato un "fix-it" che affronta i vettori di attacco noti. Nel frattempo i tecnici di Microsoft stanno sviluppando un aggiornamento per risolvere la vulnerabilità in maniera definitiva. 

Un recente attacco ad un sottosito del Dipartimento del Lavoro degli Stati Uniti, scoperto dai ricercatori di Alien Vault, ha rivelato che gli aggressori stavano in realtà utilizzando un nuovo exploit per una vulnerabilità 0-day che riguarda solo Internet Explorer 8. La settimana scorsa, i ricercatori della AlienVault hanno scoperto che il sito web del Dipartimento del Lavoro degli Stati Uniti era stata compromesso ed è stato al servizio del malware tramite un drive-by download. 

Si credeva di essere sfruttare CVE-2012-4792, una vulnerabilità in Internet Explorer versioni dalla 6 alla 8, che è stata scoperta alla fine dell'anno scorso e da allora è stata patchata. Tuttavia, dopo ulteriori indagini, si è scoperto che il sito in realtà è stato sfruttato attraverso una nuova vulnerabilità precedentemente sconosciuta. La nuova vulnerabilità (CVE-2013-1347) riguarda solo Internet Explorer 8 e consente l'esecuzione di codice arbitrario. AlienVault dice che almeno altri nove siti sono stati sfruttati con la stesso malware.

Il difetto è un problema uso-after-free che corrompe la memoria in modo tale da consentire l'inezione di codice arbitrario. Quando la vittima si connette al sito infetto, il browser esegue a sua insaputa uno script in grado di rilevare delle informazioni come le versioni di Microsoft Office e Flash, o il tipo di antivirus in esecuzione sulla macchina. Un Metasploit Framewok - uno strumento comunemente usato per i test di penetrazione - che sfrutta la vulnerabilità è ora disponibile, il che significa che la tecnica è generalmente accessibile. 

Per mitigare il rischio di exploit, Microsoft consiglia di aggiornare a IE 9 o 10 e d'impostare il livello dell'area di protezione Internet e Intranet locale su "Alta", così da bloccare i controlli ActiveX e script in tali aree. Configurare IE 8 in modo che venga richiesta conferma prima dell'esecuzione di script o disattivare tali script nell'area di protezione Internet e Intranet locale. Fin quando non sarà rilasciata una patch, Gerardo Di Giacomo, Security Program Manager del Microsoft Security Response Center, segnala il rilascio di un "fix it", disponibile a questa pagina.

Fonte: H Online

Via: Alien Vault
Foto credit 2: Url Query

Microsoft annuncia nove aggiornamenti per Patch Day di aprile 2013

Microsoft ha annunciato che Martedì 9 aprile, in occasione del patch day, rilascerà un totale di nove aggiornamenti per la protezione. Le patch chiudono le lacune in tutte le attuali versioni di Windows e di Windows Defender per Windows 8 e RT e SharePoint Server. Dei nove aggiornamenti di sicurezza che Microsoft rilascerà, ci sono due "critici" e sette "importanti". Con questi aggiornamenti, un totale di 57 vulnerabilità di sicurezza. Per la prima volta, la serie di patch interesserà anche IE10 su Windows 7, l'ultima versione del browser rilasciata alla fine di febbraio.

Microsoft rilascia sette bollettini di sicurezza per il Patch Day di marzo

Microsoft è in procinto di rilasciare quattro patch "critiche" in occasione del suo aggiornamento mensile delle patch per la protezione di Martedì in base alla comunicazione avanzata. In totale, Microsoft dovrebbe rilasciare sette bollettini che riguardano tutte le versioni del suo sistema operativo Windows, alcuni componenti di Office e anche Mac OS X, con Silverlight e Office. Quattro dei sette bollettini sono considerati critici, con i primi problemi di indirizzamento del browser.

All'inizio di quest'anno, Microsoft ha rilasciato un aggiornamento di emergenza per Internet Explorer, dopo tutto il trambusto sulle falle di sicurezza di Java. L'aggiornamento mira a correggere una vulnerabilità di sicurezza in Internet Explorer che viene utilizzata per gli attacchi contro i contractors dei governi e altre organizzazioni. Gli aggiornamenti di sicurezza verranno installati automaticamente sul computer degli utenti se la funzione Aggiornamenti automatici è attivata.

Microsoft fornisce informazioni vulnerabilità ai principali fornitori di software di protezione in anticipo rispetto alla pubblicazione mensile dell'update di sicurezza. Il bollettino più importante, consente di risolvere le vulnerabilità critiche nelle versioni di Internet Explorer 6 a 10 che potrebbero essere utilizzate per l'acquisizione della macchina, ha detto Wolfgang Kandek, chief technology officer della scoietà di sicurezza Qualys. Il bollettino ha lo scopo di patchare vulnerabilità critiche in Microsoft Silverlight, sia su Windows e Mac OS X.

Silverlight è ampiamente installato, in particolare sulle workstation degli utenti finali per eseguire applicazioni multimediali come Netflix, ha detto Kandek. Il bollettino tre concerne una vulnerabilità in Visio e Microsoft Office Filter Pack. "E' sconcertante vedere un punteggio alto per questo software che in genere richiede l'apertura di un file infettoperchè l'attacco possa lavorare. Sarà interessante vedere il vettore di attacco per questa vulnerabilità che garantisce i rating critici", ha detto Kandek.

I bollettini importanti includono vulnerabilità che potrebbero portare a compromettere la riservatezza, l'integrità e la disponibilità dei dati degli utenti. L'ultimo bollettino critico è per SharePoint Server e riguarda una vulnerabilità che permette i privilegi più elevati. I tre bollettini rimanenti sono tutti classificati "importanti" e si applicano a OneNote, Office 2010 per Mac e Windows stesso, con una vulnerabilità di elevazione dei privilegi  che interessa tutte le versioni da Windows XP SP3 a Windows 8.

Via: Qualys

Ue, multa Microsoft per 561 milioni: mancato rispetto scelta browser

La Commissione europea ha imposto una multa 561.000.000 euro a Microsoft per non aver rispettato i suoi impegni di offrire agli utenti una schermata di scelta del browser che consente loro di scegliere facilmente il proprio browser web preferito. Nel 2009, la Commissione aveva fatto questi impegni giuridicamente vincolanti per Microsoft fino al 2014 (cfr. IP/09/1941). Nella decisione di oggi, la Commissione ritiene che Microsoft non è riuscito a tirare fuori la schermata di scelta del browser con il suo Windows 7 Service Pack 1 da maggio 2011 fino al luglio 2012. 

Quindici milioni di utenti Windows, nell'UE non hanno quindi visualizzatato la schermata di scelta in questo periodo. Microsoft ha riconosciuto che la schermata di scelta non è stata visualizzata in quel periodo. Il Vice presidente della Commissione responsabile della concorrenza, Joaquín Almunia, ha dichiarato:

"Nel 2009, abbiamo chiuso la nostra indagine su un presunto abuso di posizione dominante da parte di Microsoft a causa della vendita abbinata di Internet Explorer a Windows accettando gli impegni offerti dalla società. Impegni giuridicamente vincolanti raggiunti nelle decisioni antitrust giocano un ruolo molto importante nella nostra politica di esecuzione in quanto consentono soluzioni rapide ai problemi di concorrenza. Naturalmente, tali decisioni richiedono la stretta osservanza. L'inosservanza è una violazione molto grave che deve essere sanzionata di conseguenza". 

Nel dicembre 2009, la Commissione ha reso giuridicamente vincolanti gli impegni offerti dalla società statunitense di software Microsoft per risolvere problemi di concorrenza connessi alla vendita abbinata del browser Web di Microsoft, Internet Explorer, per la sua posizione dominante ai PC client del sistema operativo Windows (vedi IP/09/1941, MEMO/09/558 e MEMO/09/559).

In particolare, Microsoft si è impegnata a mettere a disposizione per cinque anni (cioè fino al 2014), nell'European Economic Area una "schermata di scelta" che permette agli utenti del sistema operativo Windows di scegliere in modo informato e imparziale quale browser web (s) volevano installare in aggiunta o al posto del browser web di Microsoft. La schermata di scelta è stata fornita a partire dal marzo 2010 agli utenti Windows europei che dispongono di serie Internet Explorer come browser Web predefinito.

Mentre è stato attuata, la "schermata di scelta" è stata un grande successo per gli utenti: ad esempio, fino a novembre 2010, 84 milioni di visitatori hanno effettuato il download attraverso di essa. Quando il mancato rispetto è stato rilevato e documentato nel luglio del 2012, la Commissione ha avviato un procedimento (cfr. IP/12/800 ) e prima di prendere una decisione ha notificato a Microsoft le sue obiezioni formali nel mese di ottobre 2012 (cfr. IP/12/1149 ).

Questa è la prima volta che la Commissione ha dovuto multare una società per il mancato rispetto di un impegno alla decisione. Nel calcolo dell'ammenda, la Commissione ha tenuto conto della gravità e della durata dell'infrazione, la necessità di garantire un effetto dissuasivo dell'ammenda e, come circostanza attenuante, il fatto che Microsoft ha collaborato con la Commissione e ha fornito informazioni che hanno contribuito alla Commissione di esaminare la questione in modo efficiente.

Quando la Commissione constata una violazione delle norme antitrust dell'Unione europea come un abuso di posizione dominante (articolo 102 del trattato sul funzionamento dell'Unione europea), può adottare una decisione ai sensi dell'articolo 7 del regolamento antitrust dell'Unione europea (1/2003) che vieta tale comportamento e sanzioni. La Commissione può infliggere una multa fino al 10% del fatturato totale dell'impresa durante l'esercizio sociale precedente.

Tuttavia, a norma dell'articolo 9 del regolamento, la Commissione può anche concludere un'indagine antitrust, rendendo giuridicamente vincolanti gli impegni proposti dalle imprese interessate. "Ci assumiamo la piena responsabilità per l'errore tecnico che ha causato questo problema - ha detto la società di Redmond - e ci scusiamo. Abbiamo fornito alla Commissione una valutazione completa e franca della situazione e abbiamo preso provvedimenti per rafforzare lo sviluppo del nostro software e altri processi per contribuire ad evitare questo errore, o altri simili, in futuro".

Fonte: Commissione Europea
Via: Microsoft

Microsoft annuncia importante Patch Day, 12 bollettini risolvono 57 bug

Microsoft implementerà questo mese una serie di correzioni più grandi del solito. La prossima settimana la società rilascerà 12 patch per tappare 57 vulnerabilità in Windows, Internet Explorer e Office. Una patch sarà indirizzata anche ad una serie di prodotti enterprise, tra cui Microsoft Office e Windows Server, e strumenti di sviluppo, come .NET Framework. Cinque degli aggiornamenti sono classificati come "critici".

Senza le patch, un utente malintenzionato potrebbe sfruttare ciascuna delle vulnerabilità critiche, al fine di eseguire codice da remoto. Le vulnerabilità importanti potrebbero consentire attacchi denial of service e di elevazione dei privilegi. Da segnalare il gran numero di versioni del sistema operativo Windows che sono state colpite questo mese, con i "critici" che riguardano gli aggiornamenti di Windows XP fino al nuovo Windows RT.

Una vulnerabilità che permette l'esecuzione di codice in modalità remota è etichettata come "importante". Nel bollettino pre-release la società mette in guardia da due principali vulnerabilità in Internet Explorer. Le patch correggeranno un difetto che consente agli hacker di eseguire codice da remoto eseguito su macchine vulnerabili. Tutte le versioni da IE6 a IE10 sono interessate, tra cui Windows, RT alla base dei tablet Surface, che dovranno essere aggiornati.

Un altro aggiornamento critico affronterà una falla in Windows XP, Windows Vista e Windows Server 2003, ma non influisce sulle versioni successive del sistema operativo, come Windows 7 o Windows 8. La quarta patch è di vulnerabilità "critica" del server e-mail di Microsoft, Exchange, mentre la quinta vulnerabilità critica riguarda solo macchine basate su Windows XP.

Negli altri "importanti" aggiornamenti, Microsoft rilascerà anche una patch di SharePoint, che potrebbe essere oggetto di attacchi di code injection. Microsoft non rilascia i dettagli delle vulnerabilità fino a quando le patch non vengono messe a disposizione. L'avviso di consulenza di Microsoft serve come "warning" per il prossimo Martedì 12 febbraio, quando le patch vengono rilasciate attraverso i canali di aggiornamento usuali, come Windows Update.

Via: ZDNet

Cyberattacco contro sito Council on Foreign Relations sfrutta falla in IE

Il sito web del Council on Foreign Relations (CFR) è stato infettato nei giorni scorsi con un trojan che sfrutta una falla sconosciuta, o zero-day, nelle versioni di Internet Explorer 6, 7 e 8 (ad esclusione delle versioni 9 e 10). La vulnerabilità può essere sfruttata attraverso la manipolazione di un sito Web, al fine di attaccare i browser vulnerabili. In attesa di una patch correttiva che chiuda il nuovo bug in IE, Microsoft ha rilasciato un Fix it temporaneo e suggerisce fattori attenuanti per ridurre al minimo i rischi di infezione.

Un utente malintenzionato potrebbe pubblicare un sito Web appositamente predisposto per sfruttare la vulnerabilità tramite Internet Explorer e quindi convincere un utente a visualizzare il sito web. David Mikhail, un portavoce del Council on Foreign Relations, ha confermato l'attacco. "Il team di sicurezza del sito Council on Foreign Relations è a conoscenza del problema e sta studiando la situazione", ha detto Mikhail in una e-mail a Freebeacon. "Stiamo anche lavorando per ridurre la possibilità di eventi futuri di questo genere".

"Questo è stato un attacco molto sofisticato", ha detto uno degli specialisti. "Erano alla ricerca di informazioni molto specifiche da persone specifiche". L'entità del danno non è nota, ma membri del CFR che hanno visitato il sito web tra Mercoledì 26 e Giovedi 27 dicembre 2012 potrebbero essere stati infettati e compromesso i loro dati, hanno detto gli specialisti. Il CFR è una delle organizzazioni d'elite della politica estera degli Stati Uniti, con una adesione di circa 4700 funzionari, ex funzionari, giornalisti, ed altri.

I suoi membri sono Brian Williams di NBC, l'attrice di Hollywood Angelina Jolie, e l'ex senatore Chuck Hagel, candidato ideale come segretario della difesa di Obama. L'attuale Segretario di Stato Hillary Clinton e il Segretario di Stato Kurt Campbell, l'U.S. foreign policy e l'elite della sicurezza nazionale, che include il. comandante del Comando Centrale americano Generale John Abizaid, e segretari di Stato Madeleine K. Albright, Colin Powell e Henry Kissinger.

Anche il Ceo di Fox News Roger Ailes è membro, come Rupert Murdoch Ceo di News Corp. Gli ex presidenti George W. Bush e Bill Clinton sono membri, così come l'ex Segretario alla Difesa Robert M. Gates e l'ex direttore della CIA David Petraeus. All'FBI è stato notificato l'attacco e sta indagando. Il, portavoce dell'FBI Jennifer Shearer ha rifiutato di commentare quando gli viene chiesto dell'attacco. Ma lei ha detto in una mail a Freebeacon: "L'FBI riceve regolarmente informazioni sulle minacce e adotterà le misure necessarie per le indagini".

Via: Freebeacon