Oracle rilascia update di emergenza per chiudere falla critica in Java

Oracle ha rilasciato una patch di sicurezza per chiudere una vulnerabilità in Java che, se lasciata incontrollata potrebbe portare alla completata compromissione dei sistemi Microsoft Windows. Contestualmente Microsoft ha rilasciato 13 aggiornamenti destinati alla risoluzione di alcuni problemi presenti in Windows, Office, Internet Explorer e Microsoft Edge. Adobe ha rilasciato 4 aggiornamenti che risolvono diverse vulnerabilità nei prodotti Photoshop, Bridge, Flash Player, Experience Manager e Adobe Connect. La lacuna di sicurezza di Oracle risolvere un difetto che può essere sfruttato quando Java versione 6, 7 o 8 è installata su una piattaforma Windows.

Oracle, aggiornamento critico trimestrale: bloccate 193 vulnerabilità

In occasione del tradizionale Patch day mensile di luglio, Microsoft ha rilasciato 14 aggiornamenti per risolvere 59 vulnerabilità che affliggono diversi suoi prodotti, tra cui Internet Explorer. Adobe ha rilasciato le patch per il suo software Flash che fissano un paio di vulnerabilità di sicurezza critiche esposte dal mega breach di Hacking Team. Facebook e Mozilla hanno criticato il plugin per i gravi problemi di sicurezza. Allo stesso tempo, Oracle ha reso disponibile il pacchetto di aggiornamenti critici del terzo trimestre dell'anno. La società ha rilasciato correzioni per chiudere un toatle di 193 falle, che sono molte di più rispetto a quelle chiuse ad aprile.

Adobe: tre bollettini risolvono bug in ColdFusion, Flex e Flash Player

Microsoft in occasione del patch day di aprile ha rilasciato 26 di correzioni per Windows, Office ed Internet Explorer. Oracle ha rilasciato patch per risolvere 98 bug di sicurezza nei suoi prodotti, 14 in Java. Nel frattempo, Adobe Systems ha rilasciato il suo pacchetto di correzioni pianificato. Si tratta di tre bollettini di sicurezza che chiudono complessivamente 24 vulnerabilità nei prodotti Flash Player, ColdFusion e Flex. Adobe ha rilasciato update di sicurezza per Flash Player per Windows, Macintosh e Linux. Questi aggiornamenti riguardano 22 bug che potrebbero consentire a un utente malintenzionato di assumere il controllo del sistema interessato.

Adobe rilascia importanti aggiornamenti per Flash, AIR e ColdFusion

Adobe, Microsoft e Oracle hanno rilasciato aggiornamenti per tappare falle di sicurezza critiche nei loro prodotti. Adobe ha rilasciato le patch per il suo software Flash Player, Adobe AIR e ColdFusion. Una patch da Oracle corregge almeno 25 falle in Java. E Microsoft ha spinto le patch per risolvere almeno due dozzine di vulnerabilità in un certo numero di componenti di Windows, tra cui Office e Internet Explorer. Uno degli aggiornamenti risolve una falla zero-day già sfruttata in attacchi attivi di cyber spionaggio.

Oracle rilascia Java 7 Update 40, maggior sicurezza con la white list

Oracle ha rilasciato da qualche giorno una nuova versione di Java SE 7 che introduce un'importante novità per la sicurezza. Oracle ha aggiunto una funzione in Java che consente alle aziende di impostare regole specifiche per consentire l'esecuzione sul proprio computer endpoint di applet fidate, che potrebbe aiutarle a gestire meglio i rischi di sicurezza di Java. La nuova funzionalità si chiama "Deployment Rule Set" (set di regole di distribuzione) ed è stata aggiunta in Java 7 Update 40 (Java 7u40).

Molti utenti domestici possono proteggersi da attacchi rivolti a Java disabilitando il plug-in Java nei browser o disinstallando completamente il software. Tuttavia, la maggior parte delle aziende non possono farlo, perché i loro dipendenti hanno bisogno di accedere alle applicazioni web-based, business-critical che richiedono il supporto Java. Molte aziende non possono effettuare l'aggiornamento a nuove versioni di Java per ragioni di compatibilità, aumentando il rischio di compromissione dei loro computer attraverso exploit Java, mentre i loro dipendenti navigano sul web. 

Un recente studio condotto dalla società di sicurezza Bit9 ha mostrato che oltre l'80% dei computer aziendali Java-enabled funziona con Java 6, la versione più diffusa essendo Java 6 Update 20. Oracle ha concluso il suo sostegno pubblico di Java 6 in aprile e solo gli utenti con contratti di supporto commerciale possono ancora ottenere le patch di sicurezza. I ricercatori di sicurezza hanno criticato Oracle in passato per non aver aggiunto una funzione whitelist in Java che potrebbe essere utilizzata per consentire solo le applet specifiche scelti dall'utente da eseguire all'interno del browser.

Sembra che la società abbia ascoltato e il nuovo "set di regole di distribuzione" può ora essere utilizzato per continuare a utilizzare le applicazioni aziendali  in un contesto di protezione. La funzionalità Deployment Rule Set permette di creare un file XML contenente regole per come applet conosciute dovrebbero essere gestite dal plug-in Java. Le regole stabiliscono le Java RIA applications (Rich Internet), applet Java e le applicazioni Java Web Start, dalla loro locazione URL e definiscono le azioni che devono essere intraprese per loro. 

Le azioni possibili sono: eseguire senza visualizzare messaggi di protezione e gestire utilizzando il comportamento predefinito del plug-in; in esecuzione durante la visualizzazione di tutte le richieste di sicurezza del caso o bloccarli. Le regole aggiunte al file XML vengono testati in sequenza, in modo che possano essere utilizzate per creare una white list. Gli amministratori possono creare prima le regole che dovrebbero corrispondere a specifiche RIA e permetterne l'avvio e quindi aggiungere una regola generale alla fine del file per bloccare tutte le applicazioni che non corrispondono alle prime regole. 

Il file del set di regole deve essere firmato digitalmente con un certificato digitale emesso da un'autorità di certificazione attendibile, confezionato come un archivio Java (JAR) e collocato in una directory specifica all'interno dell'installazione di Java su tutti i computer in cui tali norme devono essere applicate. "La funzione set di regole di distribuzione è facoltativa e deve essere utilizzata solo internamente in un'organizzazione con un ambiente controllato", ha dichiarato Oracle nella documentazione della funzione.

"Se un file JAR che contiene un set di regole è distribuito o reso disponibile al pubblico, il certificato utilizzato per firmare il set di regole sarà dunque nella lista nera e bloccato in Java". Per la sintassi delle regole che sono necessarie per eseguire o bloccare le RIA, vedere il Java Deployment Rule Set. Le imprese devono installare Java 7 Update 40, ma è comunque possibile creare regole per le applicazioni compatibili con le vecchie versioni del plug-in. La nuova versione di Java 7 Update 40 è disponibile per il download da http://www.java.com/it/download/.

Fonte: Pc World

Via: Oracle

Oracle rilascia Critical Patch che consente di risolvere 40 vulnerabilità

Oracle ha appena rilasciato il suo Critical Patch Update di giugno 2013 per Oracle Java SE. Questo Critical Patch Update numero 25 di Java 7, è una raccolta delle patch per tappare diverse vulnerabilità di sicurezza in Oracle Java SE. L'aggiornamento contiene in totale 40 nuove correzioni di vulnerabilità di sicurezza, 37 delle quali affrontano delle vulnerabilità che portano all'esecuzione di malware. Le vulnerabilità di sicurezza sono segnati con CVSS versione 2.0.

Tra gli aggiornamenti uno risolve una vulnerabilità frame injection trovata nello strumento JavaDoc, un generatore di documentazione comunemente usato nei siti web. A causa della minaccia rappresentata da un attacco di successo, Oracle raccomanda vivamente di applicare il Critical Patch Update al più presto possibile. La suddetta vulnerabilità, identificata come CVE-2013-1571, può essere usata per rubare importanti dati degli utenti, iniettando un frame controllato dall'attaccante generato nella pagina JavaDoc HTML. 

Javadoc è uno strumento che genera documentazione .HTML da commenti Javadoc nel codice. Java fornisce un meccanismo automatico per generare la documentazione in formato .HTML. La vulnerabilità è dovuta a un difetto nel codice JavaScript che è incluso come parte delle pagine HTML generate dallo strumento Javadoc. Quindi tutti i siti web che utilizzano tali pagine HTML possono essere sfruttate da un utente malintenzionato per rubare i loro dati utente o per installare malware reindirizzando l'utente ignaro al sito web controllato dall'utente malintenzionato. 

Questa vulnerabilità può essere utilizzata attraverso tecniche d'ingegneria sociale o tramite phishing, e potrebbe essere utilizzata per lo sfruttamento del browser web, se combinata con un'altra vulnerabilità del browser correlata. Oracle ha rilasciato in particolare due correzioni nel suo Critical Patch Update per risolvere questa vulnerabilità. Un'altra vulnerabilità facilmente sfruttabile nel componente Java Runtime Environment di Oracle Java SE, permette attacchi di rete riusciti non autenticati tramite protocolli multipli. 

Un attacco di successo di questa vulnerabilità, identificata come CVE-2013-2400, può causare aggiornamento non autorizzato, inserire o cancellare l'accesso ad alcuni dati accessibili Runtime Environment Java. Le seguenti versioni di Oracle Java SE sono interessate: JDK e JRE 7 Update 21 e versioni precedenti; JDK e JRE 6 Update 45 e precedenti; JDK e JRE 5.0 Update 45 e precedenti; JavaFX 2.2.21 e precedenti. Le prossima data in programma per Oracle Java SE Critical Patch Update è il 15 ottobre 2013.

Via: Oracle

Oracle anticipa update critico di febbraio e corregge 50 falle in Java 7

Oracle ha deciso di rilasciare in anticipo il Critical Patch Update di febbraio 2013 (CPU) per Java SE. L'aggiornamento originale era stato programmato per essere rilasciato il 19 febbraio prossimo, ma Oracle ha deciso di accelerare il rilascio di questo CPU per lo sfruttamento attivo "in the wild" di una delle vulnerabilità che interessano il Java Runtime Environment (JRE) nei browser desktop.

Oltre al fix di sicurezza in profondità, la CPU di febbraio per Java SE si rivolge a un totale di 50 vulnerabilità, 44 delle quali influiscono sulla distribuzione del client di Java. Tre dei bug possono essere sfruttati su desktop tramite Java Web Start e Java applet nel browser, o nei server, e due delle correzioni si applicano alla distribuzione server di  Java Secure Socked Extension (JSSE).

49 di queste vulnerabilità possono essere sfruttate da remoto senza autenticazione, ad esempio, possono essere sfruttati tramite una rete senza la necessità di un nome utente e una password. La descrizione di questa matrice di rischio può essere trovata qui. I punteggi CVSS suppongono che un utente esegue un applet Java o applicazioni Java Web Start con privilegi di amministratore (tipico in Windows).

Quando l'utente non esegue con privilegi di amministratore (tipico su Solaris e Linux), i corrispondenti punteggi CVSS di impatto riservatezza, integrità e disponibilità sono "Parziali" invece di "Complete", abbassando il punteggio Base CVSS. Ad esempio, un punteggio base di 10,0 diventa 7,5. Per problemi nella distribuzione, le correzioni sono messi a disposizione solo per JDK e JRE 7 e 6.

Oracle raccomanda ai clienti di applicare le correzioni (Update 13) al più presto possibile. Fino a quando non verranno applicate le correzioni, è possibile ridurre il rischio di successo limitando i protocolli di rete richiesti da un attacco. Per gli attacchi che richiedono determinati privilegi o l'accesso a certi pacchetti, è possibile ridurre il rischio di successo di un attacco, eliminando i privilegi o la possibilità di accedere ai pacchetti da parte di utenti non privilegiati

Twitter ha annunciato di aver subito un attacco informatico che ha messo a rischio la sicurezza dei dati di 250  mila utenti. Anche se il portavoce di Twitter, Jim Prosser, non ha specificato come i cracker abbiano potuto piratare gli account, all'origine dell'attacco ci sarebbe proprio la vulnerabilità nel software Java di Oracle. Va segnalato, al riguardo, che Apple non consegna più computer con java attivato e ha già provveduto a disabilitare Java sui computer già installati.

Via: Oracle

Oracle chiude pericolosa falla in Java 7 e aumenta protezione di default

La scorsa settimana, il ricercatore francese "Kaffeine" ha individuato un certo numero di siti che sono stati sfruttati da vulnerabilità zero-day in Java 7 Update 10. In natura, l'exploit è stato confermato da altri ed è stato assegnato un identificatore di vulnerabilità CVE-2013-0422. Il problema colpisce sistemi Windows, Mac o Linux e ha messo potenzialmente a rischio oltre 850 milioni di PC.

La vulnerabilità è stata abbastanza grave da giustificare avvisi separati del governo degli Stati Uniti, Apple e Mozilla, ciascuno dei quali è intervenuto per disabilitare Java plug-in, o consigliato  agli utenti di non utilizzare il software. La vulnerabilità, davvero molto grave tanto ha portato Oracle a rendere immediatamente disponibile una patch correttiva.

Oggi, la società ha rilasciato pareri sulla vulnerabilità, per voce del Software Security Assurance Director  di Oracle Eric Maurice su uno dei blog di sicurezza, rilasciando il più recente aggiornamento Java 7 Update 11 per mitigare la vulnerabilità zero-day, ma anche il codice CVE-2012-3174. La disponibilità della patch arriva dopo l'allarme lanciato dal Dipartimento Usa della Homeland Security. 

Secondo Oracle, la seconda "vulnerabilità facilmente sfruttabile permette il successo attacchi di rete non autenticati tramite più protocolli" , e che "un attacco di successo di questa vulnerabilità può causare acquisizione non autorizzata del sistema operativo, tra cui l'esecuzione di codice arbitrario".

Mentre sembra che siano disponibili ulteriori dettagli per CVE-2012-3174, la Mitre Common Vulnerability and Exposures database mostra che l'identificatore è stato assegnato il 6 giugno dello scorso anno. Come spiega ZDNet, identificativi CVE possono essere assegnati e riservati prima che una vulnerabilità venga conosciuta, ma sono generalmente usati entro un breve tempo di prenotazione.

A titolo di confronto, la CVE-2013-0422 è stato assegnata il 7 dicembre dello scorso anno, circa un mese prima che fosse scoperta dai ricercatori. A causa della gravità di queste vulnerabilità, Oracle raccomanda ai clienti di applicare gli aggiornamenti forniti dal suo security alert il più presto possibile.

Cliccare sul link nella colonna Patch Availability Table per accedere alla documentazione delle patch. Java 7 Update 11 porta anche un altro cambiamento per rinforzare la sicurezza che già esisteva in Java. Con la nuova patch, il livello di sicurezza di default di Java sarà cambiato da medio ad alto. Ciò comporterà che all'utente venga sempre richiesto quando esegue una applet Java o avvia l'applicazione Web se non è firmata.

Via: ZDNet

Oracle, rilasciata patch di emergenza per chiudere vulnerabilità in Java 7

A pochi giorni dalla pubblicazione dei dettagli su una pericolosa vulnerabilità di Java, Oracle ha rilasciato un Security Alert per risolvere tre vulnerabilità distinte ma correlate e un singolo problema di sicurezza a più livelli di cui è affetto il pacchetto Java funzionante sui browser desktop. Queste vulnerabilità sono: CVE-2012-4681, CVE-2012-1682, CVE-2012-3136 e CVE-2012-0547.

Queste vulnerabilità non sono applicabili alle app desktop standalone Java o Java in esecuzione sul server, vale a dire queste vulnerabilità non influenzano alcun software basato su server Oracle. Le vulnerabilità CVE-2012-4681, CVE-2012-1682 e CVE-2012-3136 hanno ricevuto un punteggio CVSS di base 10,0. Questo punteggio presuppone che gli utenti interessati debbano disporre di privilegi amministrativi, come è tipico in Windows XP.

La vulnerabilità CVE-20120-0547 ha ricevuto un punteggio CVSS di base 0.0, perché questa vulnerabilità non è sfruttabile direttamente nelle distribuzioni degli utenti tipici, ma Oracle ha rilasciato una protezione in profondità per correggere questo problema in quanto può essere utilizzato in combinazione con altri fattori di vulnerabilità per aumentare in modo significativo l'impatto complessivo di un exploit di successo.

Se sfruttata, questa vulnerabilità può fornire ad un malintenzionato la possibilità di piantare binari discrezionali sul sistema compromesso, ad esempio, la vulnerabilità può essere sfruttata per installare malware, tra cui trojan, sul sistema di destinazione. Si noti che questo malware può in alcuni casi essere rilevato da correnti firme antivirus al momento dell'installazione.

A causa della gravità elevata di queste vulnerabilità, Oracle consiglia di applicare questo Avviso di protezione il più presto possibile. Inoltre, si noti che i dettagli tecnici di queste vulnerabilità sono ampiamente disponibili su Internet e Oracle ha ricevuto segnalazioni esterne che queste vulnerabilità possono essere sfruttate in natura. Gli sviluppatori devono scaricare l'ultima versione da http://www.oracle.com/technetwork/java/javase/downloads/index.html.

Gli utenti Java utenti devono scaricare l'ultima versione di JRE a http://java.com/it, e, naturalmente, gli utenti Windows possono usufruire del Java Automatic Update per ottenere la versione più recente. Gli utenti possono verificare l'esecuzione della versione più recente di Java visitando: http://java.com/it/download/installed.jsp. Le istruzioni per la rimozione di vecchie (e meno sicure) versioni di Java può essere trovato a http://java.com/it/download/faq/remove_olderversions.xml.

Fonte: Oracle

Apple rilascia aggiornamenti critici di sicurezza per piattaforma Java

Oracle rilasciato all'inizio del mese aggiornamenti di sicurezza per i pacchetti Java SE 1.6.0_26 per Windows, Linux e Solaris, per il fix di un totale di diciassette vulnerabilità, nove dei quali portavano un punteggio massimo sulla scala CVSS. Ma l'aggiornamento non era disponibile per gli utenti Mac, perché Apple distribuisce il proprio pacchetto Java e gli aggiornamenti di sicurezza. L’update, consigliato ovviamente a tutti gli utenti, è dedicato ai Sistemi Operativi Leopard e Snow Leopard. 

Nelle scorse ore la società ha rilasciato Java per Mac OS X 10.5 Update 10 e Java per Mac OS X 10.6 Update 5. Java per Mac OS X 10.5 Update 10 risolve alcune vulnerabilità in entrambi 1.6.0_24 e 1.5.0_28 Java, mentre Java per Mac OS X 10.6 Update 5 solo nel primo. Due delle patch, per CVE-2011-0868 e CVE-2011-0869, si applicano solo a Java 1.6.0_24. Il resto, per CVE-2011-0802, CVE-2011-0814, CVE-2011-0862, CVE-2011-0864, ​​CVE-2011-0865, CVE-2011-0867, CVE-2011-0871 e CVE-2011 -0873 si applicano a entrambe le versioni. 

Gli utenti sono invitati a distribuire questi aggiornamenti di sicurezza il più presto possibile in quanto alcuni dei difetti possono essere sfruttati da remoto per eseguire codice arbitrario. Dopo l'applicazione di patch, i pacchetti Java verranno aggiornati alle versioni 1.6.0_26 e 1.5.0_30, rispettivamente. Gli hacker possono attaccare le installazioni obsolete Java ingannando gli utenti caricando un pericoloso applet Java. Questi possono essere serviti dalle legittimi siti web compromessi. 

Java è attualmente la tecnologia web più mirata su Windows, e sfruttata per essere integrata nella maggior parte dei kit di drive-by download. Ci sono state anche segnalazioni di malware per Mac che viene distribuito come applet Java. Alla fine di ottobre 2010 ricercatori di sicurezza ha scoperto una Java-based trojan chiamato Boonana che conteneva payload per Windows e Mac. L’aggiornamento può essere eseguito manualmente con gli installer standalone oppure (opzione consigliata) automaticamente attraverso Aggiornamento Software.

Disponibile aggiornamento Java 6 SE, risolte 26 vulnerabilità critiche

Oracle ha rilasciato 26 aggiornamenti per la sua piattaforma Java SE 6, al fine di affrontare una serie di 17 vulnerabilità sfruttabile da remoto, molte delle quali potrebbero causare l'esecuzione di codice arbitrario. Delle patch incluse, undici si applicano solo per il client Java SE e uno solo per la versione server. Le nove vulnerabilità portano il punteggio massimo di 10 sulla scala CVSS. Questo significa che possono essere sfruttate da remoto con facilità e senza autenticazione con conseguente completa riservatezza, integrità e disponibilità alla compromissione. I punteggi sono stati calcolati secondo la presunzione che gli utenti abbiano privilegi amministrativi, tipicamente su Windows, e sono in grado di eseguire applet Java o applicazioni Java Web Start. Tre delle restanti vulnerabilità portano un punteggio base di 7,6 CVSS, quattro di 5,0 e una di 2.6. CVSS è un sistema di valutazione della vulnerabilità progettato per fornire un metodo aperto e standardizzato per la valutazione delle vulnerabilità IT."A causa della minaccia rappresentata da un attacco riuscito, Oracle raccomanda vivamente ai clienti di applicare CPU (Critical Patch Update) che consente di risolvere il più presto possibile", scrive la società nella sua consulenza. Le vulnerabilità di Java sono comunemente sfruttate in attacchi drive-by download per infettare gli utenti con malware.

Java è richiesto per alcune popolari applicazioni desktop, come OpenOffice, per funzionare correttamente, ma è stato superato sul Web soprattutto da tecnologie come AJAX e HTML5. Le seguenti persone o organizzazioni hanno segnalato le vulnerabilità affrontate da Oracle: Zero Day un giornalista anonimo di TippingPoint; binaryproof via iDefense; binaryproof via Tipping Point; Chris Ries via Tipping Point, Hisashi Kojima di Fujitsu Laboratories via JPCERT/CC; iDefense, Marc Schoenefeld di Red Hat, Peter Vreugdenhil di TippingPoint DVLabs, e Harmony Security Stephen via TippingPoint.  Dal momento che la stragrande maggioranza degli attacchi vengono dal Web, Oracle invita tutti gli utenti Java ad installare tempestivamente l'"Update 26" di Java JRE/JDK 6.0 o comunque di aggiornarsi all'ultima release destinata alle precedenti versioni della piattaforma.  E' bene sempre controllare di aver rimosso tutte le precedenti versioni di Java che dovessero essere ancora presenti sul sistema in uso.  Come ricorda Oracle, "conservare nel sistema versioni obsolete e non supportate rappresenta un grave rischio per la sicurezza". Il download dell'Update 26 può essere effettuato dal sito ufficiale. Gli sviluppatori possono scaricare l'ultima versione da questa pagina.  Le prossime tre date per Java SE Oracle Critical Patch Updates saranno il 18 ottobre 2011, il 14 feb 2012 e il 12 Giugno 2012.