Alcune fonti riportano la notizia della scoperta di una nuova vulnerabilità che interessa la tecnologia Adobe Flash Player per la quale non è disponibile il software correttivo. La vulnerabilità, non ancora confermata da Adobe, risulta sfruttata in rete da un malware che, secondo le informazioni al momento vagliate dal CERT-SPC, potrebbe essere una variante del worm noto come Wisp. Per la vulnerabilità segnalata risulta, infatti, disponibile in Rete un exploit in grado di sfruttarla consentendo ad un attaccante remoto di eseguire codice arbitrario nel contesto di sicurezza dell'utente che ha aperto il file "malevolo" con l'applicazione interessata.

Affinché la vulnerabilità sia sfruttata con successo è comunque necessaria l'interazione dell'utente che deve essere indotto a visualizzare, con l'applicazione interessata, un file multimediale appositamente predisposto. La versione di Flash Player al momento interessata risulta la 10.1.85.3 e, atteso lo scenario di attacco, gli utenti configurati con privilegi ristretti risultano meno esposti alle conseguenze di un eventuale attacco degli utenti con privilegi di amministrativi. Il malware in grado di sfruttare la vulnerabilità installa due file (nsunday.exe e nsunday.dll) al fine di compromettere la riservatezza dei dati e tenta di portare ad ulteriori conseguenze l'attacco tentando di accedere ad Internet per installare ulteriori malware sul sistema compromesso. Come già segnalato in circostanze analoghe, si rappresenta che anche Adobe Reader può essere interessato da questa vulnerabilità per il fatto che integra un proprio interprete di contenuti flash al fine di consentire la visualizzazione di contenuti multimediali ed animazioni all'interno di file PDF. Il prossimo aggiornamento di sicurezza per i prodotti Adobe è pianificato per il prossimo 8 Febbraio 2011, nell'ambito del programma quadrimestrale di rilascio del software correttivo,  ma non è da escludere un aggiornamento di sicurezza straordinario (out of band) qualora la vulnerabilità fosse confermata nelle prossime ore da Adobe. Al momento, infatti, alla vulnerabilità segnalata è stato attribuito un codice CVE (CVE-2010-3654) di tipo "candidate". Si raccomanda gli utenti, pertanto, di prestare la massima attenzione nell'accedere a siti web, anche attraverso link forniti da motori di ricerca o altre fonti non sicure, o a visualizzare documenti PDF inaspettati o provenienti da fonti non attendibili.

Ulteriori dettagli sono disponibili presso le seguenti URL:

http://contagiodump.blogspot.com/2010/10/potential-new-adobe-flash-player-zero.html

http://secunia.com/advisories/41917

http://news.softpedia.com/news/Unpatched-Critical-Flash-Player-Vulnerability-Possibly-Exploited-in-the-Wild-163371.shtml

Ulteriori informazioni sul malware sono disponibili, invece, presso la seguente URL:

http://www.microsoft.com/security/portal/Threat/Encyclopedia/Entry.aspx?Name=Trojan%3AWin32%2FWisp.B

Aggiornamento #1

Adobe nella tarda serata di ieri ha confermato la vulnerabilità con l'avviso di sicurezza APSA10-05 dove informa che il software correttivo per la vulnerabilità segnalata verrà rilasciato, come ipotizzato dal CERT-SPC, con un aggiornamento si sicurezza di tipo out of band il prossimo 9 Novembre, per quanto concerne le versioni interessate di flash player; nella  settimana del 15 Novembre, invece, saranno rilasciati gli aggiornamenti per Adobe Acrobat e Reader, anche queste ultime esposte alla minaccia segnalata.

Le versioni interessate dalla vulnerabilità confermata da Adobe sono:

• Adobe Flash Player 10.1.85.3 e versioni precedenti per i sistemi Windows, Macintosh, Linux e Solaris
• Adobe Flash Player 10.1.95.2 e versioni precedenti per Android
• Adobe Reader 9.4 e precedenti alla versione 9.x per i sistemi Windows, Macintosh e UNIX
• Adobe Acrobat 9.4 e versioni precedenti alla 9.x per i sistemi operativi Windows e Macintosh
• Adobe Reader and Acrobat 8.x non risultano vulnerabili a questa minaccia come pure Adobe Reader per Android
• Ulteriori dettagli sono disponibili presso la seguente URL:

http://www.adobe.com/support/security/advisories/apsa10-05.html

Aggiornamento #2

In queste ultime ore sono stati resi ulteriori dettagli circa la vulnerabilità che risulta interessare la libreria authplay.dll quando gestisce oggetti flash contenenti valori e parametri anomali in gradi di alterare il processo di allocazione della memoria fornendo all'attaccante remoto la possibilità di eseguire codice arbitrario. Lo scenario di attacco, oltre che con la visualizzazione di filmati ed animazioni multimediali di tipo falsh attraverso il player istanziato anche dai vari plugin dei web browser, può essere sfruttata, altresì, usando documenti PDF che integrano la tecnologia vulnerabile rendendo l'attacco ancora più esteso attesa la diffusione del formato PDF. Lo scenario di attacco rimane il medesimo indicato dal CERT-SPC dove è prevista sempre l'interazione dell'utente affinché l'attacco abbia successo

Il fornitore di servizi e prodotti antivirus Symantec ha rilevato in Rete alcuni malware che attraverso documenti PDF sfruttano la vulnerabilità descritta. Il malware individuato, come già accennato dal CERT-SPC, è un trojan identificato, secondo la nomenclatura Symantec,  come Trojan.Pidief ed n file eseguibile Backdoor.Trojan.

Si raccomanda, pertanto, gli utenti di tenere aggiornati i propri software e servizi di rete antivirus unitamente alle prudenze già in precedenza raccomandate. In attesa del rilascio del software correttivo per i prodotti interessati dalla vulnerabilità, Adobe, nel citato bollettino di sicurezza, ha indicato un workaround per mitigare l'impatto di un eventuale attacco: rinominare il file authplay.dll sui sistemi Windows. Per quanto concerne i sistemi Max OSX e Unix il file interessato e denominato rispettivamente AuthPlayLib.bundle e libauthplay.so.0.0.0

Di seguito si riportano le indicazioni tratte dal bollettino Adobe circa l'individuazione dei file interessati dalla vulnerabilità, al fine di applicare il workaround suggerito:

Il file authplay.dll fornito con Adobe Reader e Acrobat 9.x per i sistemi operativi Windows è memorizzato nel percorso C:\Programmi\Adobe\Reader 9.0\Reader\authplay.dll per Adobe Reader o C:\Programmi\Adobe\Acrobat 9.0\Acrobat\authplay.dll per Acrobat.

Per quanto riguarda i sistemi Macintosh e Unix seguire le istruzioni di seguito riportate (lingua inglese)

Adobe Reader 9.x - Macintosh
1) Go to the Applications->Adobe Reader 9 folder.
2) Right Click on Adobe Reader.
3) Select Show Package Contents.
4) Go to the Contents->Frameworks folder.
5) Delete or move the AuthPlayLib.bundle file.
Acrobat Pro 9.x - Macintosh
1) Go to the Applications->Adobe Acrobat 9 Pro folder.
2) Right Click on Adobe Acrobat Pro.
3) Select Show Package Contents.
4) Go to the Contents->Frameworks folder.
5) Delete or move the AuthPlayLib.bundle file.

Adobe Reader 9.x - UNIX
1) Go to installation location of Reader (typically a folder named Adobe).
2) Within it browse to Reader9/Reader/intellinux/lib/ (for Linux) or Reader9/Reader/intelsolaris/lib/ (for Solaris).
3) Remove the library named "libauthplay.so.0.0.0."

Aggiornamento #3

Adobe, con il bollettino di sicurezza APSB10-26, ha rilasciato la versione 10.1.102.64 di Flash Palyer disponibile per i sistemi Windows, Linux, Solaris e Mac OSX che corregge, tra le altre vulnerabilità, anche quella segnalata nel presente bollettino (CVE-2010-3654). Il software correttivo rilasciato da Adobe interessa soltanto il flash player e non anche le versioni segnalate di Acrobat e Reader anch'essi interessati dalla medesima vulnerabilità per la quale non è ancora disponibile l'aggiornamento di sicurezza. Per quanto concerne, invece, l'aggiornamento per la versione vulnerabile di flash player per Google Android, Adobe informa che sarà disponibile a partire dal 9 Novembre.

Ulteriori informazioni sono disponibili alla seguente URL: http://www.adobe.com/support/security/bulletins/apsb10-26.html

Commenti

roan

0

 

 

Nella giornata odierna alcuni fonti monitorate dal CERT-SPC segnalano la scoperta di un'altra vulnerabilità che interessa Adobe Shockwave Player al momento non ancora confermata da Adobe. Attese le informazioni disponibili risulta che la vulnerabilità, sfruttabile da remoto, richieda una forte interazione dell'utente che deve essere indotto non solo a visualizzare con l'applicazione interessata una pagina web appositamente predisposta ma addirittura deve configurare alcune impostazioni nel pannello di controllo di Adobe Shockwave Player. La vulnerabilità, infatti, interessa il processo di gestione di alcuni componenti aggiuntivi del player. Per queste modalità ed in attesa di ulteriori riscontri il CERT-SPC ha preferito questa modalità di segnalazione alla comunità della sicurezza in considerazione anche della pertinenza al bollettino commentato.

Giovedì 04 Novembre 2010, 12:29

E' necessario autenticarsi per poter inviare commenti