Come precedentemente annunciato dal CERT-SPC, Microsoft ha reso disponibile nella tarda serata di ieri 4 bollettini di sicurezza, di cui 3 classificati come livello di pericolosità critico ed uno come importante, rilasciati nell'ambito del programma mensile di aggiornamento del software.

Alcune fonti monitorate dal CERT-SPC riportano la notizia della disponibilità in Rete di un exploit, di tipo Proof-of-Concept (PoF) che interessa il servizio di web mail - Outllook Web Access (OWA) - di Microsoft Exchange Server 2007 e probabilmente anche della verisone 2003. La vulnerabilità è causata da un errore nella validazione di alcuni dati fornti all'applicazione da un utnete malintenzioanto. Un' attaccante può sfruttarela vulnerabilità da remoto inducendo in utente a connettersi ad una pagina web appositamente predisposta. Secondo quanto indicato dall'autore dell'exploit la vulnerabilità è stata corretta e quindi non sfrutabile nel Service Pack 3 di Exchange Server 2007 mentre Exchenge server 2003 non è più supportato. Si consiglia gli amministratori di sistema di installare gli aggiornamenti più importanti relativamente alle versioni interessate.

Ulteriori dettagli sono disponibili presso le seguneti URL:
http://sites.google.com/site/tentacoloviola/pwning-corporate-webmails
http://www.securityfocus.com/bid/41462/
http://www.exploit-db.com/exploits/14285/ 

Adobe ha pubblicato lo scorso 29 Luglio un aggiornamento di sicurezza (APSB10-15) ritenuto critico per correggere molteplici vulnerabilità che interessano tutte le versioni di Adobe Reader fino alla 9.3.2 per i sistemi Windows, Macintosh e UNIX. L'aggiornamento di sicurezza interessa, altresì, anche tutte le versioni precedenti di Adobe Acrobat fino alla 9.3.2 inclusa per i sistemi Windows e Macintosh.

L'aggiornamento cumulativo di sicurezza corregge anche la vulnerabilità CVE-2010-1297 precedentemente segnalata dal CERT-SPC ed annunciata da Adobe nell'aggiornamento APSA10-01. Adobe raccomanda di aggiornare i propri sistemi alle versioni più recenti rilasciate quale correttivo alle vulnerabilità segnalate diffidando di link proposti in messaggi di posta elettronica sospetti o tramite ricerche in Rete. Si raccomanda di collegarsi direttamente al sito web della Adobe per installare le ultime versioni dei prodotti interessati dall'aggiornamento di sicurezza.

http://www.mozilla.com/en-US/firefox/3.6.4/releasenotes/
http://www.mozilla.org/security/announce/2010/mfsa2010-26.html
http://www.mozilla.org/security/announce/2010/mfsa2010-27.html
http://www.mozilla.org/security/announce/2010/mfsa2010-28.html
http://www.mozilla.org/security/announce/2010/mfsa2010-29.html
http://www.mozilla.org/security/announce/2010/mfsa2010-30.html
http://www.mozilla.org/security/announce/2010/mfsa2010-31.html
http://www.mozilla.org/security/announce/2010/mfsa2010-32.html
http://www.mozilla.org/security/announce/2010/mfsa2010-33.html
http://secunia.com/advisories/40309/
http://threatpost.com/en_us/blogs/new-firefox-flaw-enables-url-spoofing-code-injection-062210 

http://www.adobe.com/support/security/bulletins/apsb10-14.html
http://www.adobe.com/support/security/advisories/apsa10-01.html
http://blogs.adobe.com/asset/2010/06/background_on_apsa10-01_patch.html 

Alcune fonti monitorate dal CERT-SPC segnalano una vulnerabilità nel servizio di guida in linea e supporto tecnico offerto da Microsoft. Tale servizio è l'applicazione predefinita per accedere on-line alla documentazione per Microsoft Windows. Microsoft supporta l'accesso ai documenti di aiuto direttamente tramite gli URL con l'installazione di un gestore di protocollo "hcp". La vulnerabilità segnalata interessa la gestione di valori anomali del protocollo hcp://. Un attaccante remoto può sfruttare questa vulnerabilità, non ancora confermata da Microsoft, per eseguire comandi arbitrari se l'utente visita una url appositamente predisposta. E' necessaria, pertanto, l'interazione dell'utente affinché la vulnerabilità sia sfruttata con successo. Raccomandiamo, come sempre, agli utenti di prestare la massima attenzione quando si accedono a siti web o servizi on-line sconosciuti o suggeriti tramite link contenuti in messaggi di posta elettronica sosptetti o quale risultato di ricerche sul web.

Ulteriori dettagli tecnici sono disponibili alla seguente URL: http://seclists.org/fulldisclosure/2010/Jun/205

Aggiornamento

Ancora oggi permane un livello di attenzione elevato in ordine a questa vulnerabilità che, non essendo ancora risolta dalla MIcrosoft, puo essere sfruttata per l'esecuzione di codice da remoto. Pur non essendo ancora noti exploit in grado di sfruttarla, si ha notizia di diversi proof of concept reperibili in Rete. Fino a che non sarà realizzato l'aggiornamento di sicurezza, si raccomanda di fare riferimento, oltre alla url sopra riportata, anche Security advisory realizzato da Microsoft ed aggiornato lo scorso venerdì:

http://www.microsoft.com/technet/security/advisory/2219475.mspx