Adobe rilascia update per fissare 82 bug in Flash, Acrobat e Reader

Microsoft ha rilasciato gli aggiornamenti di sicurezza relativi al Patch Day di luglio e Adobe ha chiuso 52 vulnerabilità trovate all'interno di Flash Player, molte delle quali portano all'esecuzione di codice remoto. L'aggiornamento include correzioni nei sistemi operativi Microsoft Windows, Apple Mac, Linux e Chrome OS, così come Google Chrome, Microsoft Edge e Internet Explorer 11. Oltre a Flash Player, Adobe ha anche fissato 30 problemi di sicurezza in Adobe Acrobat e Reader, e un problema di divulgazione delle informazioni in XMP Toolkit per Java, un altro dei prodotti di Adobe. Non ci sono falle zero-day incluse in questo aggiornamento, a differenza dello scorso mese.

Adobe risolve 26 difetti in Flash, RoboHelp Server e Creative Cloud

In occasione del tradizionale Patch day mensile di aprile, Microsoft ha rilasciato 13 aggiornamenti che risolvono 31 vulnerabilità specifiche in diversi suoi prodotti, inclusa la correzione per il bug I bollettini affrontano problemi in Windows che potrebbero causare l'esecuzione remota di codice, privilegi più elevati, denial of service o funzione di by-pass di sicurezza, se lasciato senza patch. Il difetto Badlock nei file Windows server e Samba è stato rivelato dopo settimane di anticipazione. Adobe ha rilasciato una serie di nuove patch per l'applicazione Creative Cloud Desktop e RoboHelp Server 9 seguente all'aggiornamento critico  di Adobe Flash Player della scorsa settimana.

Terrorismo: Kaspersky, sistemi di videosorveglianza a rischio hacker

Kaspersky Lab ha lanciato Securing Smart Cities, una nuova iniziativa non-profit globale che  mira a risolvere le sfide di sicurezza informatica  delle città intelligenti. Una ricerca condotta da Kaspersky Lab sui sistemi di sorveglianza video delle città ha svelato che le reti progettate per proteggere le persone dai criminali e dai terroristi potrebbero essere sfruttate da terze parti grazie ai difetti di configurazione del sistema. Non è certamente un segreto che la polizia ed i governi monitorino da anni le strade delle città usando telecamere di sicurezza che si sono dimostrate essere un elemento fondamentale per le investigazioni e per la prevenzione del crimine.

WhatsApp down per quattro ore, esperti trovano nuove vulnerabilità

WhatsApp, il noto servizio di messaggistica istantanea acquistato da Mark Zuckerberg per 19 miliardi di dollari, è tornato a funzionare dopo un black out di 210 minuti per problemi al server. "Il servizio di WhatsApp è stato ripristinato. Siamo dispiaciuti per il tempo di inattività", afferma WhatsApp su Twitter. "Spiacenti stiamo avendo problemi di server, speriamo di poter tornare e recuperare presto": così WhatsApp sul suo profilo Twitter si è giustificata del disservizio che ha colpito la chat bloccando milioni di utenti, senza fornire ulteriori dettagli.

WhatsApp: Garante Privacy chiede chiarimenti su uso dati degli utenti

Il Garante per la privacy ha chiesto alla società californiana che fornisce WhatsApp di comunicare ogni informazione utile per valutare il rispetto della privacy degli utenti italiani. L’intervento dell’Autorità trae origine dagli esiti di un recente rapporto dei Garanti per la privacy canadesi e olandesi dal quale sono emerse alcune caratteristiche nel funzionamento dell’applicazione sviluppata dalla società che potrebbero comportare implicazioni e rischi specifici per la protezione dei dati personali degli utenti.

Microsoft: primo Patch day 2013, emessi falsi certificati a nome di Google

Microsoft ha rilasciato la sua relazione pre-Patch Tuesday, dicendo che emetterà sette patch per fissare 12 falle di codice quest'oggi - ma non fornirà una soluzione permanente per l'exploit scoperto durante le vacanze recenti che è già in uso. In particolare, si tratta di cinque bollettini contrassegnati dal livello "importante" e due dal livello "critico" (due bollettini). 

I bollettini con critical rating risolvono i problemi in Windows, Office, strumenti di sviluppo e software Microsoft. I bollettini con important rating risolvono problemi in Microsoft Windows, .NET Framework e Software Server Microsoft. Se non verrà distribuita una patch out-of-band bisognerà attendere il Patch Tuesday del 12 febbraio.

Con un bollettino separato di sicurezza, Microsoft ha comunicato di aver revocato due falsi certificati digitali ottenuti dai cybercriminali creati "erroneamente" a nome di Google da due intermediarie della Certication Authority turca TurkTrust. Microsoft è a conoscenza di attacchi attivi che utilizzano un certificato digitale fraudolento emesso da TurkTrust Inc. 

Questo certificato fraudolento potrebbe essere utilizzato per accesso ai contenuti, effettuare attacchi di phishing, o eseguire man-in-the-middle. Questo problema riguarda tutte le versioni supportate di Microsoft Windows.  TurkTrust Inc. ha creato due società CA controllate CA (*. ego.gov.tr ed e-islem.kktcmerkezbankasi.org). 

La controllata CA *. ego.gov.tr è stata poi utilizzata per il rilascio di un certificato digitale fraudolento *. Google.com il 24 dicembre scorso, spiega Google. Questo certificato fraudolento potrebbe essere utilizzato per accesso ai contenuti, effettuare attacchi di phishing, o eseguire attacchi di tipo man-in-the-middle contro diverse proprietà web di Google.

Per difendere gli utenti da un uso fraudolento del certificato digitale, Microsoft sta aggiornando l'elenco di certificati attendibili (CTL) e fornisce un aggiornamento per tutte le versioni supportate di Microsoft Windows che rimuove la fiducia dei certificati che causano questo problema. Per ulteriori informazioni su questi certificati vedere advisory 2798897

Per i sistemi che utilizzano il programma di aggiornamento automatico dei certificati revocati (Microsoft Knowledge Base 2677070 per maggiori informazioni), tra cui Windows 8, Windows RT, Windows Server 2012, e dispositivi con Windows Phone 8, non è necessaria alcuna azione in quanto questi sistemi saranno automaticamente protetti. 

Fonte: Blog Technet
Via: Google Security

Secondo un rapporto quasi 200.000 siti Web HTTPS sono vulnerabili

Il 90% dei siti 200.000 Internet abilitati HTTPS sono vulnerabili ai noti attacchi SSL, secondo un rapporto pubblicato Giovedi dal Trustworthy Internet Movement (TIM), un'organizzazione non-profit dedicata alla soluzione di sicurezza Internet, privacy e problemi di affidabilità. La relazione si basa sui dati di un nuovo progetto di TIM chiamato SSL Pulse, che utilizza la tecnologia di scansione automatizzata sviluppata dal vendor di sicurezza Qualys, per analizzare la forza delle implementazioni HTTPS su siti web elencati nella top dei milioni pubblicati dalla società Alexa Web analytics.

SSL Pulse controlla quali protocolli sono supportati dai siti web abilitati HTTPS (SSL 2.0, SSL 3.0, TLS 1.0, TLS 1.1, ecc), la lunghezza della chiave utilizzata per le sicure comunicazioni (512 bit, 1024 bit, 2048 bit, ecc) e la forza dei cipher supportati (256 bit, 128 bit o inferiore). Un algoritmo è usato per interpretare i risultati della scansione e assegnare un punteggio tra 0 e 100 per ogni configurazione HTTPS. Il punteggio viene poi tradotto in un grado, con A che è il più alto (oltre 80 punti).

La metà dei quasi 200.000 siti web nei top dei milioni di Alexa che supportano HTTPS hanno ricevuto una A per la qualità delle loro configurazioni. Ciò significa che usano una forte combinazione di moderni protocolli cipher e chiavi lunghe. Nonostante ciò, solo il 10% dei siti acquisiti sono stati considerati veramente sicuri. Il 75% - circa 148.000 - sono risultati vulnerabili ad un attacco conosciuto come BEAST, che può essere utilizzato per decriptare i token di autenticazione e i cookie dalle richieste HTTPS.

L'attacco BEAST è stato dimostrato da ricercatori di sicurezza Juliano Rizzo e Thai Duong alla ekoparty Security Conference a Buenos Aires, Argentina, nel mese di settembre 2011. Il modo più semplice per mitigare l'attacco BEAST sul lato server è quello di privilegiare la cifratura RC4 per le connessioni HTTPS, ha dichiarato via email a PC World, Ivan Ristic, direttore di ingegneria presso Qualys. RC4 è un cifrario a flusso e non è vulnerabile a questo attacco. Oltre a supportare protocolli multipli, molti server HTTPS abilitati supportano anche più cifre al fine di assicurare la compatibilità con un'ampia varietà di client.

Un ambiente speciale può essere utilizzato sul server per specificare l'ordine in cui le cifre dovrebbero essere utilizzate e dare la priorità RC4. "Credo che la maggior parte degli amministratori non sono consapevoli della necessità di eseguire questa operazione", ha detto Ristic. Protezioni contro l'attacco BEAST sono già state costruite nei nuovi browser. Tuttavia, ci sono molte persone, specialmente in ambienti di lavoro, che utilizzano vecchi browser come Internet Explorer 6, che sono ancora vulnerabili, ha detto Ristic.

Scansioni SSL Pulse hanno anche rivelato che oltre il 13% dei 200.000 siti web HTTPS abilitati sostengono la rinegoziazione insicura delle connessioni SSL. Questo può portare ad attacchi man-in-the-middle che compromettono le comunicazioni SSL protette tra utenti e i server vulnerabili. Riparare la vulnerabilità della rinegoziazione insicura è abbastanza facile e richiede solo l'applicazione di un patch, Ristic ha detto. L'organizzazione ha anche annunciato la creazione di un SSL Internet Taskforce, per sviluppare e proporre soluzioni per i problemi noti in questi fondamentali settori.

Credit immagine: Trustworthyinternet