Adobe rilascia tre bollettini che risolvono 26 difetti in Flash e Reader

In occasione del Patch day di marzo, Microsoft ha rilasciato 13 bollettini per risolvere 44 vulnerabilità che affliggono diversi suoi prodotti, tra cui il nuovo sistema operativo Windows 10. Anche Adobe ha rilasciato tre bollettini di sicurezza che risolvono complessivamente 26 vulnerabilità nei suoi prodotti Flash Player, Acrobat e Reader e Adobe Digital Editions. Il mese scorso, Adobe ha patchato 32 difetti in diversi suoi prodotti, alcuni dei quali relativi alla corruzione di memoria. Il trio di vulnerabilità che colpiscono Acrobat e Reader sono stati resi noti in privato ad Adobe dai ricercatori della Zero Day Initiative di HP e nessuno di questi problemi è stato finora avvistato in natura.

Google Chrome 18: seconda patch in otto giorni, risolte 12 vulnerabilità

Google ha patchato 12 vulnerabilità in Chrome, la seconda volta in otto giorni dopo che la società di ricerca ha aggiornato il suo browser portandolo alla versione 18.0.1025.151. Otto vulnerabilità della dozzina sono stati identificate come "use-after-free bugs", un tipo comune di vulnerabilità di memoria che i ricercatori hanno trovato in gran numero all'interno di Google Chrome utilizzando proprio lo strumento di rilevamento AddressSanitizer. Sette dei 12 bug sono stati classificati "alti", il secondo più grave nel sistema di punteggio ranking di Google. Quattro sono stati segnati "medi" e uno è stato etichettato come "basso".

Pwn2Own 2012: Google offre un milione di dollari per chi viola Chrome

Google offrirà un milione di dollari a chi riuscirà a violare il suo browser Chrome, in occasione del Pwn2Own contest della prossima settimana. Come spiega l'azienda di Mountain View in un post sul suo blog, la gara annuale di hackeraggio offrirà la possibilità di mettere Chrome alla prova con alcuni dei più bravi hacker del mondo. "Non solo possiamo aggiustare i difetti, ma studiando la vulnerabilità e le tecniche usate dagli hacker possiamo ottenere miglioramenti nella sicurezza del browser" affermano gli ingegneri di Chrome, Chris Evans e Justin Schuh. 

"Questo ci permetterà di proteggere meglio i nostri utenti". La gara di hackeraggio si terrà a Vancouver in concomitanza con la conferenza annuale CanSecWest sui problemi della sicurezza informatica. La manifestazione è organizzata da Hewlett Packard, di proprietà dello Zero Day Iniziative, un progetto che premia i ricercatori in grado di mettere in luce i punti deboli dei programmi. In realtà, per vincere una parte del bottino, gli hacker non dovranno necessariamente prendere di mira Chrome. 

Google pagherà, infatti, 20.000 dollari anche a tutti i partecipanti che riusciranno a sfruttare i difetti di programmazione di Windows, Flash o altri driver.  Nel dettaglio, l’azienda americana pagherà nel Pwn2Own 20.000 dollari a chi riuscirà a sfruttare bug esterni in Windows, Flash o driver di dispositivi, violando così la sicurezza del browser. Mentre 40.000 dollari andranno a chi sfrutterà bug “a metà” tra Chrome e per esempio il sistema operativo. 

Ma per gli hacker che si concentreranno su Chrome è disposto a sborsare le cifre più alte in assoluto: ben 60.000 dollari per chi riesce a trovare una falla nel browser.  In cambio della ricompensa Google chiede ai vincitori di cedere alla compagnia i dettagli dei difetti di programmazione sfruttati per l'hackeraggio, una condizione che lo Zero Day Iniziative non ha mai imposto agli hacker. Tutti i vincitori riceveranno anche un Chromebook. L'intento di Google è ovviamente anche quello di a fare pubblicità alla sicurezza del suo browser.

Via: TM News

Importante patch per Adobe Flash Player tappa vulnerabilità zero-day

Una vulnerabilità zero-day che esiste in Adobe Flash Player 11.1.102.55 e versioni precedenti per Windows è attualmente sfruttata dai criminali informatici con metodi ingegneria sociale che spinge gli utenti a fare clic sui link maligni inviati via email. In risposta alla falla che colpisce a quanto pare i clienti solo su Internet Explorer, Adobe ha rilasciato Flash Player 11.1.102.62. La zero-day è in realtà una cross-site scripting (XSS) che può essere utilizzato per eseguire azioni per conto di un utente su qualsiasi sito. Questo attacco ha successo solo se la vittima potenziale potrà essere indotta a cliccare sul link progettato in modo intelligente, ma come dimostra la pratica, questo non è un compito difficile per la maggior parte dei criminali cibernetici.