In questa categoria sono visualizzati i bollettini di sicurezza pubblicati dal CERT-SPC relativi alle vulnerabilità informatiche che interessano la sicurezza delle tecnologie in uso alle pubbliche amministrazioni connesse al Sistema Pubblico di Connettività (SPC). Soltanto le vulnerabilità valutate critiche ed importanti, secondo lo metrica CVSS con valore superirore a 7,5, sono preventivamente segnalate dal servizio di "early warning"; per le altre vulnerabilità il CERT-SPC eroga il servizio informatico alle Amministrazioni che ne fanno espressamente richiesta secondo la procedura condivisa.
Vulnerabilità rilevate
- Vuln: Pligg CMS 'status' Parameter SQL Injection Vulnerability
- Vuln: pidgin-otr 'log_message_cb()' Function Format String Vulnerability
- Vuln: HP OpenVMS Integrity Server Unspecified Local Privilege Escalation Vulnerability
- Vuln: Hewlett-Packard Virtual SAN Appliance 'hydra.exe' Remote Buffer Overflow Vulnerability
- Microsoft Windows TrueType code execution
- Java AtomicReferenceArray Sandbox Evasion and Code Execution
- SAMBA RPC Memory Corruption and Code Execution
- Microsoft Windows ActiveX Control Code Execution
- Adobe Flash Player for Chrome Sandbox Bypass Vulnerabilities
- (1) HIGH: Google Chrome Sandbox Escapes
- (3) HIGH: Mozilla Firefox Use-After-Free Vulnerability
- Bugtraq: H2HC Brazil 9th Edition - Call for Papers
- (2) HIGH: Microsoft Remote Desktop Protocol Vulnerability
- SANSFIRE 2011
- 2.8 Mozilla Firefox/Thunderbird/SeaMonkey "shlwapi.dll" Use-After-Free Memory Corruption
| Microsoft: aggiornamenti di sicurezza per il mese di Gennaio |
| Mercoledì 13 Gennaio 2010 10:13 | |||
|
Microsoft ha reso disponibile un aggiornamento di sicurezza nell'ambito del programma mensile di rilascio del software correttivo per le proprie tecnologie. Il bollettino MS10-001 corregge una vulnerabilità (CVE-2010-0018) relativa a Embedded OpenType (EOT) - 972270 - che interessa le seguenti versioni di Microsoft Windows: Microsoft Windows 2000 Service Pack 4 La vulnerabilità interessa i tipi di carattere EOT, e si manifesta quando avviene la decompressione attraverso LZCOMP (t2embed.dll) di tipi di carattere Microtype Express contenenti valori alterati in grado di causare un'errata allocazione della memoria (integer-overflow). La vulnerabilità se sfruttata con successo da un attaccante consente l'esecuzione remota di codice arbitrario nel contesto di sicurezza dell'utente. Lo scenario di attacco compatibile con le caratteristiche di questa vulnerabilità prevede la predisposizione di un documento Office (Microsoft Office PowerPoint, Microsoft Office Word) o di una pagina web (HTML) che contiene o richiama particolari tipologie di caratteri predisposti con parametri alterati in grado di creare l'errata allocazione della memoria. E' necessaria, pertanto, l'interazione da parte dell'utente che deve essere indotto dall'attaccante a visitare pagine web o ad aprire documenti Office appositamente predisposti. Gli utenti connessi al sistema vulnerabile con privilegi di Amministratore risultano maggiormente esposti rispetto agli utenti con privilegi ristretti. Considerata la tendenza ad utilizzare siti web per diffondere malware e la facilità di realizzare exploit in grado di sfruttare questa specifica vulnerabilità, si raccomanda la massima prudenza e l'installazione tempestiva degli aggiornamenti. Ulteriori dettagli ed il software correttivo sono disponibili presso la seguenti URL: http://www.microsoft.com/technet/security/Bulletin/MS10-001.mspx Tags:
|
|||
| Ultimo aggiornamento Mercoledì 13 Gennaio 2010 10:56 |
Ultimi bollettini
- Microsoft: bollettini di sicurezza per il mese di Novembre 2011
- Microsoft: bollettini di sicurezza per il mese di Ottobre 2011
- Adobe: aggiornamento di sicurezza per flash player
- Allerta vulnerabilità dei sistemi SCADA e PLC
- Adobe: aggiornamento di sicurezza quadrimestrale - settembre 2011
- Microsoft: aggiornamenti di sicurezza per il mese di Settembre 2011
Commenti